Chainalysis atribuyó más de $14.3 millones en pérdidas de criptomonedas durante los últimos 18 meses al manual de entrevistas falsas norcoreanas que luego se usó contra Binance. Según los hallazgos de la firma de análisis de blockchain, esos hurtos menores sirvieron como práctica para el robo de $6.3 mil millones a la casa de cambio.

Las pérdidas provienen de entrevistas falsas y esquemas de malware vinculados a la RPDC, con objetivos que van desde titulares individuales de criptomonedas y billeteras privadas hasta protocolos y organizaciones autónomas descentralizadas (DAOs).

Decenas de entrevistas laborales falsas derivaron en compromisos de billeteras

“Hemos identificado decenas de otros compromisos por entrevistas de trabajo que han llevado al compromiso de billeteras” a nivel individual, dijo Tom McLouth, analista sénior de inteligencia de Chainalysis. Las pérdidas individuales oscilaron desde decenas de miles de dólares hasta millones.

Los equipos norcoreanos estaban “perfeccionando y evolucionando su metodología” en esos ataques, agregó. “Así es como terminas con el mayor golpe de la historia”, dijo McLouth.

En la evaluación de Chainalysis, el ataque a Binance podría ser la culminación de meses o incluso años de ensayo. Cryptopolitan informó previamente que Binance rastreó la brecha hasta una invitación a una entrevista de trabajo enviada a un ingeniero en septiembre. Tras dos rondas con una empresa falsa, el ingeniero descargó una tarea de entrevista que contenía código malicioso.

Alec Zebrick, Gerente Sénior de Servicios Globales de Chainalysis, denomina a esta táctica “entrevistas contagiosas”, dirigidas a personal con acceso privilegiado para que sus credenciales puedan usarse contra su empleador.

Chainalysis también destacó casos de claves privadas robadas desde almacenamiento en la nube tras una entrevista maliciosa. Algunas víctimas dijeron que sus frases semilla nunca se almacenaron en el dispositivo infectado, lo que según la firma podría indicar inicios de sesión en la nube robados o sesiones de navegador secuestradas. Ese detalle ilustra por qué la seguridad de las billeteras ahora va más allá de un solo dispositivo: las cuentas en la nube y las sesiones de navegador usadas para almacenar o sincronizar credenciales pueden convertirse ellas mismas en el punto de brecha.

En marzo, Microsoft documentó que su equipo de Defender Experts ha rastreado una campaña de Entrevistas Contagiosas activa desde al menos diciembre de 2022. En esa operación, reclutadores falsos que se hacen pasar por personal de firmas de trading de criptomonedas o empresas de IA convencen a los postulantes de ejecutar paquetes de código malicioso. Microsoft dijo que el malware busca frases mnemónicas de billeteras, almacenes de KeePass y 1Password, y claves criptográficas. Con reclutadores falsos suplantando empleadores tanto de cripto como de IA, el proceso de contratación en sí se ha convertido efectivamente en una superficie de ataque.

Los Blockchain Dead Drops se dispararon cinco veces en un año

Chainalysis también reporta que los ciberataques habilitados por blockchain aumentaron cinco veces en los últimos 12 meses. La firma denomina a la técnica Blockchain Dead Drops y atribuye el aumento a actores estatales y al posible uso de modelos de IA de pesos abiertos.

Los actores norcoreanos comenzaron a usar el enfoque, conocido como “Etherhiding”, a principios de 2025. Vincula las máquinas infectadas mediante entrevistas laborales falsas a los servidores de comando y control de los atacantes, ya que un registro en blockchain es más difícil de incautar para las autoridades que una infraestructura alojada de forma centralizada.

Un esquema de la RPDC dividió las instrucciones entre TRON y Aptos. Ambas cadenas contienen punteros a un payload alojado en BSC, y los dispositivos infectados son redirigidos a él, con Aptos como respaldo si TRON falla. Una variante más nueva de “null receiver” incrusta la instrucción dentro de una dirección especialmente elaborada que no está controlada y no está diseñada para contener cripto; las máquinas infectadas interpretan la dirección como un comando. La llegada de una variante más nueva tan poco después del debut de Etherhiding a principios de 2025 apunta a un manual que aún se está refinando activamente.

En septiembre, el FBI, la Agencia Nacional de Policía de Japón y agencias de Australia y Alemania señalaron públicamente a un grupo norcoreano conocido como WaterPlum por un golpe cripto de aproximadamente $10.71 millones. WaterPlum también se conoce como el grupo de la “Entrevista Contagiosa”, y sus operaciones afectaron datos sensibles de unos 7,000 cuentas cripto. La atribución conjunta de autoridades de cuatro países muestra la escala de la respuesta de aplicación de la ley que la táctica ha generado a nivel internacional.

El FBI atribuyó el golpe contra Binance al grupo norcoreano TraderTraitor, aunque Pyongyang negó cualquier participación. Chainalysis espera que los fondos robados sigan en movimiento en los próximos días.