No ocurre todos los días que a un periodista le pidan hacerse pasar por un capitalista de riesgo para engañar a presuntos trabajadores de TI norcoreanos. Sin embargo, en junio, este reportero se unió a una llamada de Zoom bajo el alias "Aelin Ashriver", una inversionista de la ficticia Definitive Communications, para conocer al equipo de desarrollo de una startup cripto llamada Ballena Azul.

Los trabajadores en la llamada creían que estaban presentando su startup para obtener respaldo de capital de riesgo. En realidad, habían pasado semanas trabajando dentro de una empresa cripto ficticia construida deliberadamente para estudiar sus métodos, herramientas e infraestructura. La operación fue orquestada por Mauro Eldritch, fundador de la firma de ciberseguridad BCA LTD, y Heiner García, analista de inteligencia de amenazas cibernéticas en Telefónica Tech y fundador de NorthScan. Cointelegraph participó en una etapa de la investigación.

Durante la llamada, este reportero reforzó la farsa al insinuar que Ballena Azul incluso podría conseguir cobertura en Cointelegraph, dejando a al menos una persona en la llamada diciendo la verdad.

Presuntos trabajadores de TI de la RPDC presentan una propuesta para obtener respaldo de capital de riesgo de la ficticia Definitive Communications, interpretada por Cointelegraph. Fuente: ANY.RUN

Construcción de una empresa para presuntos trabajadores de TI norcoreanos

Eldritch y García construyeron la ficticia Ballena Azul usando infraestructura proporcionada por la plataforma de ciberseguridad ANY.RUN. Para reforzar la aparente legitimidad de la empresa, aprovecharon el registro británico existente de otra compañía no relacionada con el mismo nombre, que había sido disuelta en 2022.

Eldritch asumió la identidad del cofundador "Leonardo Nelson", mientras García adoptó el alias "Andy Jones" y se presentó como el líder del equipo de la empresa.

Relacionado: Los espías cibernéticos norcoreanos ya no son solo amenazas remotas

Entre las piezas de inteligencia más valiosas obtenidas durante la operación de cinco semanas estuvieron los servidores externos que los trabajadores usaban como puntos de conexión intermedios antes de acceder a los escritorios virtuales controlados de Ballena Azul. Esta infraestructura es muy apreciada por los investigadores porque suele reciclarse entre campañas y puede permanecer operativa durante largos periodos. El hallazgo pone de relieve un desafío más amplio para los defensores: la infraestructura de servidores compartidos puede abarcar múltiples empleadores y campañas de ataque, lo que significa que identificar y bloquear un solo nodo puede interrumpir operaciones mucho más allá de la empresa donde se detectó por primera vez.

García dijo a Cointelegraph Magazine que los servidores identificados estaban asociados con familias de malware vinculadas a operaciones norcoreanas diseñadas para robar credenciales, datos de billeteras cripto y otra información sensible.

"Algunos de los servidores que encontramos estaban vinculados a la distribución de InvisibleFerret y BeaverTail/OtterCookie en años anteriores y seguían activos hasta hoy", dijo. "Pero otros eran totalmente nuevos y no teníamos inteligencia alguna sobre ellos, parecían limpios y quedaban fuera de las listas de bloqueo o fuentes de amenazas principales".

Añadió que la infraestructura podía cumplir múltiples funciones, con servidores antes usados para distribuir malware que también operaban como nodos de comando y control y como proxies para trabajadores que realizaban sus actividades diarias.

Según los investigadores, los presuntos trabajadores no necesitan desplegar malware para representar una amenaza. Una vez contratados, pueden obtener acceso legítimo a los sistemas internos de una empresa, al código fuente y a otros datos sensibles. Cuanto más tiempo evadan la detección, más tiempo podrán seguir cobrando salarios que, según los investigadores, en última instancia ayudan a financiar al régimen norcoreano. Este riesgo de acceso interno es particularmente agudo en el sector de las criptomonedas, donde las culturas de contratación centradas en remoto, la expansión rápida de equipos y la exposición directa a la infraestructura de activos digitales pueden amplificar las consecuencias de una sola contratación comprometida.

La operación también reveló que el grupo dependía en gran medida de herramientas de inteligencia artificial para compensar vacíos en sus conocimientos técnicos. Usaban ChatGPT para tareas de redacción y programación, incluso para responder preguntas básicas y completar asignaciones que les resultaban difíciles. Para la alteración de imágenes y la falsificación de documentos, preferían Google Gemini.

Un presunto trabajador de TI de la RPDC y ChatGPT se unen en un intento de obtener cripto de testnet durante la operación Ballena Azul. Fuente: ANY.RUN

Entre otras herramientas empleadas por los trabajadores figuraban software de escritorio remoto, billeteras de criptomonedas y un servicio para compartir códigos de autenticación de dos factores. El uso de servicios compartidos de 2FA es una característica conocida de los esquemas de trabajadores de TI de la RPDC, ya que permite que varias personas eludan los controles de autenticación diseñados para un único empleado legítimo.

Los trabajadores de TI norcoreanos se han convertido en una amenaza creciente de ciberseguridad para el sector de las criptomonedas. En julio, Consensys reveló que había contratado inadvertidamente a un desarrollador vinculado a Corea del Norte a través de un proveedor de servicios externo antes de identificar la amenaza y cortar el acceso.

En otro caso, fiscales de Estados Unidos acusaron a cuatro ciudadanos norcoreanos en 2025 de usar identidades falsas para conseguir trabajos remotos de TI y presuntamente robar más de $900,000 en criptomonedas de dos empresas, incluida una firma estadounidense de investigación y desarrollo de blockchain.

El Departamento del Tesoro de Estados Unidos afirmó en marzo que los esquemas de trabajadores de TI norcoreanos generaron casi $800 millones en 2024 para ayudar a financiar los programas de armas de destrucción masiva del régimen de Pyongyang.

Dentro de la falsa empresa cripto Ballena Azul

La operación se puso en marcha cuando García se conectó a través de GitHub con un reclutador que había sido vinculado a Famous Chollima, un grupo de amenazas asociado con operaciones de trabajadores de TI norcoreanos. Famous Chollima es seguido por múltiples firmas de ciberseguridad como un conjunto de गतिविधies centradas en colocar operativos de la RPDC en puestos remotos de desarrollador en empresas occidentales de tecnología y cripto. García indicó que Ballena Azul necesitaba desarrolladores de software, y el reclutador ofreció tres candidatos: "Jack Anderson", "Angelo Espree" y "Lucas Theo". Al menos dos de ellos presentaron identificación de Estados Unidos.

Al trío se le asignaron diversas tareas de programación dentro de entornos controlados de escritorio virtual, lo que permitió a García y Eldritch monitorear sus flujos de trabajo en tiempo real.

Angelo Espree fue uno de los desarrolladores incorporados a través de un reclutador asociado con operaciones de la RPDC. Fuente: ANY.RUN

Los investigadores también introdujeron deliberadamente problemas técnicos, incluidos cortes selectivos de red y cursores del mouse que desaparecían, para observar cómo reaccionaban los presuntos trabajadores y a qué herramientas recurrían cuando surgían problemas.

"Sinceramente, la mayor sorpresa fue cuánto dependía de la improvisación", dijo García. "No había un manual rígido, ni un proceso corporativo pulido detrás de ellos".

Durante sus muchas semanas dentro de los entornos controlados, los presuntos norcoreanos dejaron a los investigadores un tesoro de información, incluidos registros de chat, conversaciones con IA, información de billeteras cripto, nodos de salida VPN y horas de video en vivo. Sus conexiones de red también expusieron los servidores intermediarios que se convirtieron en uno de los hallazgos más valiosos de la investigación.

La fuerte dependencia de la IA no era exclusiva de los trabajadores atrapados en la operación de Ballena Azul. Reuters informó el lunes que otro grupo de piratas informáticos norcoreanos, Kimsuky, estaba usando IA con un propósito más ofensivo. Según el reporte, el grupo ejecutaba herramientas de IA localmente para automatizar ciberataques, analizar datos robados y producir campañas de phishing más convincentes.

El manual en evolución de los trabajadores de TI remotos de la RPDC

Esta no fue la primera vez que Cointelegraph participó en la exposición de presuntos trabajadores norcoreanos. En febrero de 2025, García y Cointelegraph realizaron una entrevista laboral con un presunto operativo que se hacía llamar "Motoki". El desarrollador afirmó ser japonés, pero terminó abruptamente la entrevista después de que le pidieran que se presentara en su idioma nativo.

García, sin embargo, mantuvo la comunicación. Motoki finalmente ofreció enviarle dinero a García para comprar una computadora a la que pudiera acceder de forma remota, lo que le permitiría trabajar a través de una máquina local en lugar de conectarse mediante VPN, una táctica diseñada para eludir las restricciones impuestas por empleadores y plataformas freelance.

Relacionado: De Sony a Bybit: cómo Lazarus Group se convirtió en el supervillano de las cripto

Más tarde, García documentó a presuntos operativos norcoreanos que reclutaban freelancers para proporcionar cuentas verificadas, identidades y acceso remoto a sus computadoras. En una variante del esquema, los operativos trabajaban a través de máquinas ubicadas físicamente en Estados Unidos, lo que los hacía parecer contratistas con sede en EE.UU. ante empleadores y plataformas freelance.

En mayo, dos "laptop farmers" estadounidenses —personas que alojaban grupos de computadoras a las que los norcoreanos podían acceder de forma remota— fueron sentenciados a 18 meses de prisión por facilitar que trabajadores de TI de la RPDC se presentaran como empleados con sede en Estados Unidos. Los esquemas generaron más de $1.2 millones y afectaron a casi 70 empresas.

La caída de Ballena Azul

Toda engaño debe llegar a su fin. Los investigadores introdujeron a "Benito Camella", cofundador de Ballena Azul, quien supuestamente había estado ocupado con otros negocios en Milán mientras la empresa crecía.

A su regreso, Camella confrontó a los trabajadores por discrepancias en sus identidades y documentos. La confrontación vació rápidamente la sala de chat. Espree abandonó primero la videollamada, mientras Anderson permaneció más tiempo antes de darse cuenta de que el plan se estaba desmoronando.

"¿Vive dos vidas, señor Anderson?" le pregunta Camella a Jack Anderson durante la confrontación. Fuente: ANY.RUN

Pero los investigadores mantuvieron el engaño incluso después de que terminó la reunión. En el canal de Telegram de la empresa, el "CEO" acusó a "Andy Jones" de traer "trabajadores ilegales" y poner en riesgo a la compañía. "Jones" respondió que había estado bajo presión para formar un equipo rápidamente y que no le estaban pagando lo suficiente por hacerlo. Sostuvo que había hecho lo mejor que pudo con lo que tenía.

La discusión escenificada terminó con el falso CEO dando por terminada tanto su relación laboral como su amistad, manteniendo la apariencia de que Ballena Azul había colapsado por una decisión de contratación desastrosa.

Más tarde, uno de los presuntos norcoreanos contactó en privado a García para disculparse por lo ocurrido y preguntar si estaba bien.

Según los investigadores, nunca volvieron a saber del resto del grupo.

Hasta el día de hoy, dicen, los presuntos trabajadores no saben que pasaron semanas dentro de un entorno construido para extraerles inteligencia.

Magazine: ¿Los ataques a Coldcard significan que ahora todas las billeteras de hardware son inseguras?

Nota del editor: Cointelegraph no pudo confirmar de forma independiente la nacionalidad o afiliación de los presuntos trabajadores de TI de la RPDC, y ninguna agencia gubernamental los ha identificado públicamente.