Una falsa startup DeFi ha assunto 3 presunti sviluppatori nordcoreani: cosa è successo dopo?

I ricercatori di intelligence sulle minacce hanno creato una falsa startup di Finanza Decentralizzata (DeFi), assunto presunti lavoratori IT nordcoreani come sviluppatori e li hanno osservati dall'interno.

L'operazione ha invertito il consueto manuale di infiltrazione. Invece di catturare gli agenti che cercavano di entrare, i ricercatori li hanno osservati lavorare dopo aver superato i colloqui.

Come la Falsa Startup ha Esposto i Lavoratori IT Nordcoreani

L'indagine è stata uno sforzo congiunto di Mauro Eldritch di BCA LTD, Heiner García di NorthScan e ANY.RUN. I ricercatori hanno registrato Ballena Azul LTD come un protocollo che serve le balene delle criptovalute.

Hanno creato un sito web, un branding aziendale e una registrazione aziendale nel Regno Unito corrispondente per sembrare legittimi. Si sono poi presentati come fondatori e un team lead.

I ricercatori hanno utilizzato la piattaforma sandbox di ANY.RUN come ambiente di lavoro. Ha registrato ogni mossa degli agenti. Angelo Cruz, un reclutatore che il team ha incontrato su GitHub, ha fornito il primo sviluppatore.

Quella assunzione ha raccomandato un secondo, che ha portato un terzo. Tutti e tre hanno superato i colloqui e hanno ricevuto accesso a desktop virtuali che erano in realtà ambienti di registrazione controllati.

Gli agenti sono descritti nel rapporto come presunti membri di Famous Chollima, un'unità collegata al Lazarus Group della Corea del Nord che si specializza nell'inserimento di falsi lavoratori IT in aziende occidentali.

Seguici su X per ricevere le ultime notizie in tempo reale

Cosa Hanno Trovato i Ricercatori

Gli sviluppatori hanno presentato credenziali statunitensi falsificate durante l'onboarding. Questo include patenti di guida, numeri di previdenza sociale rubati e conti presso Lead Bank, Citibank e Wise.

I metadati su una licenza mostrano che era stata elaborata con Google Gemini e portava un watermark SynthID incorporato. Questo ha esposto la falsificazione quasi immediatamente.

“Ormai, avevamo identità false, SSN rubati, conti bancari di mulo, possibili case sicure per facilitatori e portafogli di criptovalute con cronologia delle transazioni,” hanno scritto i ricercatori.

I lavoratori si sono affidati pesantemente all'intelligenza artificiale. Hanno usato ChatGPT per scrivere codice che sembrava non comprendere e per completare incarichi. Anche strumenti di traduzione in tempo reale erano attivi durante le interviste e le riunioni quotidiane.

L'operazione ha anche rivelato infrastrutture di supporto. I ricercatori hanno registrato nodi di uscita AstrillVPN, server ospitati su Vultr e Gorilla Servers, e portafogli di criptovalute con cronologia delle transazioni. Un server operativo era già stato contrassegnato attraverso i feed di intelligence sulle minacce, un segno che era stato riciclato da campagne precedenti.

“I risultati mostrano che i programmi di lavoratori IT della DPRK non sono solo un rischio di assunzione. Una volta dentro, gli agenti possono ottenere accesso legittimo a codice, sistemi, proprietà intellettuale e processi aziendali fidati,” recitava il rapporto.

Gli hacker nordcoreani hanno rappresentato una minaccia persistente per l'industria delle criptovalute. TRM Labs ha attribuito il 76% delle perdite da hack di criptovalute nel 2026 fino ad aprile alle squadre della DPRK. Il furto ha raggiunto i 2 miliardi di dollari nel 2025.

La tattica di infiltrazione funziona in modo diverso. I lavoratori nordcoreani si spacciano per ingegneri per ottenere lavori remoti, poi rubano segreti o piantano un modo per rientrare. Un progetto finanziato in Ethereum (ETH) ha precedentemente identificato 100 sospetti lavoratori IT nordcoreani in 53 progetti crypto.

Iscriviti al nostro canale YouTube per vedere leader e giornalisti fornire approfondimenti esperti

Fonte: BeInCrypto