A Chainalysis atribuiu mais de US$ 14,3 milhões em perdas com criptomoedas nos últimos 18 meses ao esquema norte-coreano de falsas entrevistas, que depois teve como alvo a Binance.
A empresa de análise de blockchain considera esses roubos menores um ensaio para o furto de US$ 6,3 bilhões.
Dezenas de falsas entrevistas de emprego levaram ao comprometimento de carteiras
As perdas resultaram de falsas entrevistas e esquemas com malware ligados à Coreia do Norte, cujos alvos iam de detentores individuais de criptomoedas e carteiras privadas a protocolos e DAOs.
“Identificamos dezenas de outros casos de entrevistas de emprego comprometidas que levaram ao comprometimento de carteiras” em nível individual, disse Tom McLouth, analista sênior de inteligência da Chainalysis. As perdas individuais variaram de dezenas de milhares a milhões de dólares.
As equipes norte-coreanas estavam “aperfeiçoando e evoluindo sua metodologia” nesses ataques, disse ele. “É assim que se acaba com o maior roubo da história”, disse McLouth.
O ataque à Binance pode ter sido o ápice de meses ou até anos de prática, afirma a Chainalysis. A Cryptopolitan informou que a Binance rastreou a própria invasão até um convite para uma entrevista de emprego enviado a um engenheiro em setembro.
O engenheiro baixou uma tarefa de entrevista que havia sido preparada com código malicioso, após duas etapas com uma empresa falsa. Alec Zebrick, gerente sênior de Serviços Globais da Chainalysis, chama isso de “entrevistas contagiosas”. Elas têm como alvo funcionários com acesso privilegiado, para que suas credenciais possam ser usadas contra o empregador.
A Chainalysis também destacou casos de roubo de chaves privadas do armazenamento em nuvem após uma entrevista maliciosa. Algumas vítimas disseram que suas frases-semente nunca estiveram no dispositivo infectado, o que, segundo a Chainalysis, pode indicar o roubo de credenciais de acesso à nuvem ou de sessões do navegador.
Em março, a Microsoft documentou que sua equipe Defender Experts rastreou uma campanha de Entrevistas Contagiosas ativa desde pelo menos dezembro de 2022.
Nessa campanha, falsos recrutadores de empresas de negociação de criptomoedas ou de IA convencem candidatos a executar pacotes de código malicioso.
Dentro do dispositivo, o malware procura frases mnemônicas de carteiras, cofres do KeePass e do 1Password e chaves criptográficas, informou a Microsoft.
Os Dead Drops de blockchain aumentaram cinco vezes em um ano
A Chainalysis também informa que os ciberataques habilitados por blockchain aumentaram cinco vezes nos últimos 12 meses. A Chainalysis chama essa prática de Dead Drops de blockchain, e o aumento tem sido atribuído a agentes estatais e ao possível uso de modelos de IA de pesos abertos.
Agentes norte-coreanos começaram a usar a técnica, chamada “Etherhiding”, no início de 2025. Ela conecta máquinas infectadas por meio de falsas entrevistas de emprego aos servidores de comando e controle dos invasores, já que é mais difícil para a polícia apreender um registro em blockchain do que uma hospedagem centralizada.
Uma configuração da Coreia do Norte dividia as instruções entre TRON e Aptos. Ambas as blockchains apontavam para a carga maliciosa hospedada na BSC, e os dispositivos infectados eram redirecionados para ela.
A Aptos é a alternativa caso a TRON falhe.
A abordagem mais recente, chamada “null receiver”, insere a instrução em um endereço especialmente criado. O endereço não é controlado por ninguém e não foi projetado para armazenar criptomoedas.
As máquinas infectadas interpretam o endereço como um comando.
Em setembro, o FBI, a Agência Nacional de Polícia do Japão e órgãos da Austrália e da Alemanha acusaram publicamente uma equipe norte-coreana chamada WaterPlum de um roubo de criptomoedas de cerca de US$ 10,71 milhões.
WaterPlum também é chamada de “Entrevista Contagiosa”. Sua operação afetou dados confidenciais de cerca de 7.000 contas de criptomoedas.
O FBI atribuiu o roubo à Binance ao grupo norte-coreano TraderTraitor, mas Pyongyang negou qualquer envolvimento. A Chainalysis espera que os fundos roubados continuem circulando nos próximos dias.
Se você está lendo isto, já está um passo à frente. Continue assim com nossa newsletter.