Chainalysis ha attribuito oltre 14,3 milioni di dollari di perdite in criptovalute negli ultimi 18 mesi al modus operandi dei falsi colloquii di lavoro nordcoreani poi utilizzato contro Binance. Secondo le conclusioni dell'azienda di analisi blockchain, quei furti minori hanno costituito una prova generale per il furto di 6,3 miliardi di dollari dall'exchange.

Le perdite derivano da falsi colloquii e schemi malware collegati alla DPRK, con obiettivi che vanno dai singoli possessori di criptovalute e dai wallet privati ai protocolli e alle organizzazioni autonome decentralizzate (DAO).

Decine di falsi colloquii di lavoro hanno portato al compromettimento dei wallet

«Abbiamo identificato decine di altri compromettimenti tramite colloquii di lavoro che hanno portato al compromettimento dei wallet» a livello individuale, ha dichiarato Tom McLouth, analista senior di intelligence di Chainalysis. Le perdite individuali sono variate da decine di migliaia di dollari a milioni.

Gli equipi nordcoreani stavano «perfezionando ed evolvendo la loro metodologia» in quegli attacchi, ha aggiunto. «È così che si finisce con il più grande colpo della storia», ha detto McLouth.

Nella valutazione di Chainalysis, l'attacco a Binance potrebbe essere il culmine di mesi o persino anni di prove. Cryptopolitan aveva riferito in precedenza che Binance ha fatto risalire la violazione a un invito a un colloquio di lavoro inviato a un ingegnere a settembre. Dopo due colloqui con un'azienda fittizia, l'ingegnere ha scaricato un compito contenente codice dannoso.

Alec Zebrick, Senior Manager dei Global Services di Chainalysis, definisce questa tattica «contagious interviews», mirata al personale con accessi privilegiati, in modo che le credenziali possano essere usate contro il datore di lavoro.

Chainalysis ha inoltre evidenziato casi di chiavi private rubate dall'archiviazione cloud dopo un colloquio dannoso. Alcune vittime hanno dichiarato che le loro frasi seed non erano mai state archiviate sul dispositivo infetto, il che, secondo l'azienda, potrebbe indicare accessi cloud rubati o sessioni di browser dirottate. Questo dettaglio illustra perché la sicurezza dei wallet va ormai oltre il singolo dispositivo: gli account cloud e le sessioni di browser utilizzati per archiviare o sincronizzare le credenziali possono diventare essi stessi il punto di violazione.

A marzo, Microsoft ha documentato che il suo team Defender Experts tiene traccia di una campagna Contagious Interview attiva almeno da dicembre 2022. In quell'operazione, falsi reclutatori spacciandosi per dipendenti di società di trading di criptovalute o aziende di IA inducono i candidati a eseguire pacchetti di codice dannoso. Microsoft ha dichiarato che il malware cerca le frasi mnemoniche dei wallet, gli archivi KeePass e 1Password e le chiavi crittografiche. Con falsi reclutatori che si spacciano per datori di lavoro sia nel settore crypto sia in quello dell'IA, il processo di assunzione è di fatto diventato esso stesso una superficie di attacco.

I Blockchain Dead Drops sono aumentati di cinque volte in un anno

Chainalysis segnala inoltre che gli attacchi informatici abilitati alla blockchain sono aumentati di cinque volte negli ultimi 12 mesi. L'azienda definisce la tecnica Blockchain Dead Drops e attribuisce l'aumento ad attori statali e al potenziale utilizzo di modelli di IA open-weight.

Gli attori nordcoreani hanno iniziato a utilizzare l'approccio, noto come «Etherhiding», all'inizio del 2025. Collega le macchine infette tramite falsi colloquii di lavoro ai server command-and-control degli attaccanti, poiché un record blockchain è più difficile da sequestrare per le forze dell'ordine rispetto a un'infrastruttura ospitata centralmente.

Una configurazione della DPRK ha suddiviso le istruzioni tra TRON e Aptos. Entrambe le catene contengono puntatori a un payload ospitato su BSC, e i dispositivi infetti vengono reindirizzati ad esso, con Aptos come riserva in caso di fallimento di TRON. Una variante più recente, «null receiver», incorpora l'istruzione all'interno di un indirizzo appositamente creato, non controllato e non progettato per custodire criptovalute; le macchine infette interpretano l'indirizzo come un comando. L'arrivo di una variante così più recente, così poco tempo dopo il debutto di Etherhiding all'inizio del 2025, indica un manuale operativo ancora in attiva affinamento.

A settembre, l'FBI, l'Agenzia di Polizia Nazionale giapponese e le agenzie di Australia e Germania hanno pubblicamente attribuito a un gruppo nordcoreano noto come WaterPlum un furto di criptovalute di circa 10,71 milioni di dollari. WaterPlum è anche denominato gruppo «Contagious Interview», e le sue operazioni hanno compromesso dati sensibili su circa 7.000 account crypto. L'attribuzione congiunta da parte delle autorità di quattro paesi mostra l'entità della risposta repressiva internazionale suscitata dalla tattica.

L'FBI ha attribuito l'attacco a Binance al gruppo nordcoreano TraderTraitor, sebbene Pyongyang abbia negato qualsiasi coinvolgimento. Chainalysis prevede che i fondi rubati resteranno in movimento nei prossimi giorni.