Pesquisadores de inteligência de ameaças criaram uma startup falsa de Finanças Descentralizadas (DeFi), contrataram suspeitos trabalhadores de TI norte-coreanos como desenvolvedores e os observaram de dentro.
A operação reverteu o manual usual de infiltração. Em vez de capturar operativos tentando invadir, os pesquisadores os observaram trabalhar após serem aprovados nas entrevistas.
Como a Startup Falsa Expos os Trabalhadores de TI Norte-Coreanos
A investigação foi um esforço conjunto de Mauro Eldritch da BCA LTD, Heiner García da NorthScan e ANY.RUN. Os pesquisadores registraram a Ballena Azul LTD como um protocolo que atende baleias de criptomoedas.
Eles deram a ela um site, branding corporativo e um registro de empresa no Reino Unido correspondente para parecer legítima. Em seguida, se passaram por fundadores e um líder de equipe.
Os pesquisadores usaram a plataforma sandbox ANY.RUN como ambiente de trabalho. Ela registrou cada movimento dos operativos. Angelo Cruz, um recrutador que a equipe conheceu no GitHub, forneceu o primeiro desenvolvedor.
Esse contratado recomendou um segundo, que trouxe um terceiro. Todos os três passaram nas entrevistas e receberam acesso a desktops virtuais que eram, na verdade, ambientes de gravação controlados.
Os operativos são descritos ao longo do relatório como suspeitos membros do Famous Chollima, uma unidade ligada ao Grupo Lazarus da Coreia do Norte que se especializa em colocar trabalhadores de TI falsos em empresas ocidentais.
Siga-nos no X para receber as últimas notícias à medida que acontecem
O que os Pesquisadores Encontraram
Os desenvolvedores apresentaram credenciais forjadas dos EUA durante a integração. Isso inclui carteiras de motorista, números de Seguro Social roubados e contas no Lead Bank, Citibank e Wise.
Os metadados de uma licença mostraram que ela havia sido processada com o Google Gemini e carregava uma marca d'água SynthID embutida. Isso expôs a falsificação quase imediatamente.
“Até agora, tínhamos identidades falsas, SSNs roubados, contas bancárias de mula, possíveis casas seguras de facilitadores e carteiras de criptomoedas com histórico de transações”, escreveram os pesquisadores.
Os trabalhadores dependiam fortemente da inteligência artificial. Eles usaram o ChatGPT para escrever código que pareciam não entender e para completar tarefas. Ferramentas de tradução ao vivo também foram utilizadas durante entrevistas e reuniões diárias.
A operação também revelou infraestrutura de apoio. Os pesquisadores registraram nós de saída do AstrillVPN, servidores hospedados na Vultr e Gorilla Servers, e carteiras de criptomoedas com histórico de transações. Um servidor operacional já havia sido marcado em feeds de inteligência de ameaças, um sinal de que havia sido reciclado de campanhas anteriores.
“As descobertas mostram que esquemas de trabalhadores de TI da RPDC não são apenas um risco de contratação. Uma vez dentro, os operativos podem obter acesso legítimo a código, sistemas, propriedade intelectual e processos de negócios confiáveis”, dizia o relatório.
Hackers norte-coreanos têm representado uma ameaça persistente à indústria de criptomoedas. O TRM Labs atribuiu 76% das perdas de hacks de criptomoedas de 2026 até abril a equipes da RPDC. O roubo alcançou $2 bilhões em 2025.
A tática de infiltração funciona de maneira diferente. Trabalhadores norte-coreanos se passam por engenheiros para conseguir empregos remotos, depois roubam segredos ou plantam uma forma de voltar. Um projeto financiado por Ethereum (ETH) identificou anteriormente 100 trabalhadores de TI suspeitos da Coreia do Norte em 53 projetos de criptomoeda.
Inscreva-se em nosso canal do YouTube para assistir líderes e jornalistas fornecerem insights especializados
Fonte: BeInCrypto
