Non capita spesso che a un giornalista venga chiesto di impersonare un venture capitalist per ingannare sospetti lavoratori IT nordcoreani. Eppure, a giugno, questo cronista si è ritrovato in una chiamata Zoom sotto lo pseudonimo “Aelin Ashriver”, un investitore della fittizia Definitive Communications, per incontrare il team di sviluppo della startup crypto Ballena Azul.

I lavoratori presenti alla chiamata credevano di stare presentando la loro startup per ottenere il sostegno di un venture capital. In realtà avevano trascorso settimane a lavorare all’interno di una finta società crypto costruita appositamente per studiare i loro metodi, i loro strumenti e la loro infrastruttura. L’operazione è stata orchestrata da Mauro Eldritch, fondatore della società di cybersecurity BCA LTD, e da Heiner García, analista di cyber threat intelligence presso Telefónica Tech e fondatore di NorthScan. Cointelegraph ha partecipato a una fase dell’indagine.

Durante la chiamata, questo cronista ha rafforzato la messinscena suggerendo che Ballena Azul potesse persino ottenere copertura su Cointelegraph, rendendo così almeno una persona nella chiamata realmente sincera.

Sospetti lavoratori IT della DPRK presentano una richiesta di sostegno di venture capital alla fittizia Definitive Communications, interpretata da Cointelegraph. Fonte: ANY.RUN

Costruire un’azienda per sospetti lavoratori IT nordcoreani

Eldritch e García hanno costruito la fittizia Ballena Azul utilizzando l’infrastruttura fornita dalla piattaforma di cybersecurity ANY.RUN. Per rafforzare l’apparente legittimità della società, hanno sfruttato una registrazione britannica esistente di un’altra società con lo stesso nome, sciolta nel 2022.

Eldritch ha assunto l’identità del co-fondatore “Leonardo Nelson”, mentre García ha usato l’alias “Andy Jones” presentandosi come team lead dell’azienda.

Related: Gli spie informatiche nordcoreane non sono più solo minacce remote

Tra le informazioni di maggiore valore raccolte durante l’operazione di cinque settimane c’erano i server esterni che i lavoratori usavano come punti di connessione intermedi prima di accedere ai desktop virtuali controllati di Ballena Azul. Questa infrastruttura è particolarmente preziosa per i ricercatori perché viene spesso riutilizzata in più campagne e può restare operativa per lunghi periodi. La scoperta evidenzia una sfida più ampia per i difensori: l’infrastruttura server condivisa può attraversare più aziende e più campagne di targeting, il che significa che identificare e bloccare un singolo nodo può interrompere operazioni ben oltre l’azienda in cui è stato rilevato per la prima volta.

García ha detto a Cointelegraph Magazine che i server identificati erano associati a famiglie di malware collegate a operazioni nordcoreane progettate per rubare credenziali, dati di wallet crypto e altre informazioni sensibili.

“Alcuni dei server che abbiamo trovato erano collegati alla distribuzione di InvisibleFerret e BeaverTail/OtterCookie negli anni precedenti ed erano attivi ancora oggi”, ha detto. “Ma altri erano del tutto nuovi e non avevano alcuna intelligence associata, sembravano puliti e restavano fuori dalle principali block list o feed di minacce.”

Ha aggiunto che l’infrastruttura poteva svolgere più funzioni: i server già usati per distribuire malware potevano anche operare come nodi di command-and-control e come proxy per i lavoratori durante le loro attività quotidiane.

Secondo i ricercatori, i sospetti lavoratori non devono distribuire malware per rappresentare una minaccia. Una volta assunti, possono ottenere accesso legittimo ai sistemi interni di un’azienda, al codice sorgente e ad այլ informazioni sensibili. Più a lungo restano non rilevati, più a lungo possono continuare a percepire stipendi che, secondo i ricercatori, finiscono per finanziare il regime nordcoreano. Questo rischio di accesso da insider è particolarmente grave nel settore delle criptovalute, dove modelli di assunzione remota, rapida espansione dei team ed esposizione diretta all’infrastruttura degli asset digitali possono amplificare le conseguenze di una sola assunzione compromessa.

L’operazione ha inoltre rivelato che il gruppo faceva ampio affidamento su strumenti di intelligenza artificiale per compensare le lacune nelle proprie conoscenze tecniche. Usavano ChatGPT per attività di scrittura e coding, compreso rispondere a domande di base e completare incarichi che trovavano difficili. Per la modifica di immagini e la falsificazione di documenti preferivano Google Gemini.

Un sospetto lavoratore IT della DPRK e ChatGPT collaborano nel tentativo di ottenere crypto di testnet durante l’operazione Ballena Azul. Fonte: ANY.RUN

Tra gli altri strumenti impiegati dai lavoratori c’erano software di desktop remoto, wallet di criptovalute e un servizio per condividere codici di autenticazione a due fattori. L’uso di servizi condivisi per l’2FA è un segno distintivo noto degli schemi dei lavoratori IT della DPRK, perché consente a più persone di aggirare i controlli di autenticazione progettati per un singolo dipendente legittimo.

I lavoratori IT nordcoreani sono emersi come una minaccia di cybersecurity in crescita per il settore delle criptovalute. A luglio, Consensys ha reso noto di aver coinvolto involontariamente, tramite un fornitore terzo di servizi, uno sviluppatore collegato alla Corea del Nord prima di identificare la minaccia e interrompere l’accesso.

In un caso separato, i pubblici ministeri statunitensi hanno incriminato quattro cittadini nordcoreani nel 2025 per aver usato false identità per ottenere lavori IT remoti, sottraendo presumibilmente più di $900,000 in criptovalute a due società, tra cui una società statunitense di ricerca e sviluppo blockchain.

Il Dipartimento del Tesoro degli Stati Uniti ha affermato a marzo che gli schemi dei lavoratori IT nordcoreani hanno generato quasi $800 millioni nel 2024 per contribuire a finanziare i programmi di armi di distruzione di massa del regime di Pyongyang.

Dentro la finta azienda crypto Ballena Azul

L’operazione è stata avviata quando García ha contattato tramite GitHub un recruiter collegato a Famous Chollima, un gruppo di minaccia associato alle operazioni dei lavoratori IT nordcoreani. Famous Chollima è seguito da diverse società di cybersecurity come un insieme di attività focalizzato nel collocare operatori della DPRK in ruoli di sviluppatore remoto presso aziende tecnologiche e crypto occidentali. García ha indicato che Ballena Azul aveva bisogno di sviluppatori software e il recruiter ha proposto tre candidati: “Jack Anderson”, “Angelo Espree” e “Lucas Theo”. Almeno due di loro hanno presentato documenti d’identità statunitensi.

Ai tre sono stati assegnati vari compiti di programmazione all’interno di ambienti desktop virtuali controllati, consentendo a García ed Eldritch di monitorare i loro flussi di lavoro in tempo reale.

Angelo Espree è stato uno degli sviluppatori inseriti tramite un recruiter associato a operazioni DPRK. Fonte: ANY.RUN

I ricercatori hanno anche introdotto deliberatamente problemi tecnici — tra cui interruzioni selettive della rete e cursori del mouse che sparivano — per osservare come reagivano i sospetti lavoratori e quali strumenti usavano quando qualcosa andava storto.

“Onestamente, la sorpresa più grande è stata quanto tutto si reggesse sull’improvvisazione”, ha detto García. “Non c’era un playbook rigido, né un processo aziendale rifinito alle loro spalle.”

Nel corso di molte settimane all’interno degli ambienti controllati, i sospetti nordcoreani hanno lasciato ai ricercatori un ricchissimo patrimonio di informazioni, tra cui log di chat, conversazioni con l’IA, informazioni sui wallet crypto, nodi di uscita VPN e ore di filmati video in diretta. I loro collegamenti di rete hanno inoltre esposto i server intermedi che sono diventati una delle scoperte più importanti dell’indagine.

L’elevato ricorso all’IA non è esclusivo dei lavoratori coinvolti nell’operazione Ballena Azul. Reuters ha riportato lunedì che un altro gruppo di hacking nordcoreano, Kimsuky, stava usando l’IA per finalità più offensive. Il gruppo avrebbe eseguito strumenti di IA localmente per automatizzare i cyberattacchi, analizzare i dati rubati e produrre campagne di phishing più credibili.

Il playbook in evoluzione dei lavoratori IT remoti della DPRK

Non è stata la prima volta che Cointelegraph ha avuto un ruolo secondario nell’esporre sospetti lavoratori nordcoreani. Nel febbraio 2025, García e Cointelegraph hanno condotto un colloquio di lavoro con un presunto operatore che si faceva chiamare “Motoki”. Lo sviluppatore sosteneva di essere giapponese ma ha interrotto bruscamente il colloquio dopo essere stato invitato a presentarsi nella sua lingua madre.

García ha comunque mantenuto il contatto. Motoki alla fine ha offerto di inviare denaro a García per acquistare un computer a cui avrebbe potuto accedere da remoto, consentendogli di lavorare attraverso una macchina locale invece di collegarsi via VPN — una tattica pensata per aggirare le restrizioni imposte da datori di lavoro e piattaforme freelance.

Related: Da Sony a Bybit: come Lazarus Group è diventato il supercriminale delle crypto

García ha successivamente documentato presunti operatori nordcoreani che reclutavano freelancer per fornire account verificati, identità e accesso remoto ai loro computer. In una variante dello schema, gli operatori lavoravano tramite macchine fisicamente situate negli Stati Uniti, facendosi apparire ai datori di lavoro e alle piattaforme freelance come contractor con base negli Stati Uniti.

A maggio, due “laptop farmers” statunitensi — persone che ospitavano gruppi di computer accessibili da remoto dai nordcoreani — sono stati condannati a 18 mesi di reclusione per aver facilitato lavoratori IT della DPRK che si spacciavano per dipendenti con base negli Stati Uniti. Gli schemi hanno generato più di $1.2 millioni e hanno coinvolto quasi 70 aziende.

Smantellare Ballena Azul

Tutte le messinscene devono finire. I ricercatori hanno introdotto “Benito Camella”, co-fondatore di Ballena Azul, che a quanto pare si era occupato di altri affari a Milano mentre l’azienda si espandeva.

Al suo ritorno, Camella ha affrontato i lavoratori sulle discrepanze nelle loro identità e nella documentazione. Il confronto ha rapidamente svuotato la chat room. Espree ha lasciato per primo la videochiamata, mentre Anderson è rimasto più a lungo prima di capire che l’inganno si stava sgretolando.

“Sta vivendo due vite, signor Anderson?” chiede Camella a Jack Anderson durante il confronto. Fonte: ANY.RUN

Ma i ricercatori hanno mantenuto la finzione anche dopo la fine dell’incontro. Nel canale Telegram dell’azienda, il “CEO” ha accusato “Andy Jones” di aver introdotto “lavoratori illegali” e di aver messo in pericolo la società. “Jones” ha risposto di essere stato sotto pressione per costruire rapidamente un team e di non essere pagato abbastanza per farlo. Ha sostenuto di aver fatto il meglio possibile con ciò che aveva.

La discussione inscenata si è conclusa con il finto CEO che interrompeva sia il rapporto di lavoro sia l’amicizia, mantenendo l’illusione che Ballena Azul fosse crollata a causa di una decisione di assunzione disastrosa.

Uno dei sospetti nordcoreani ha poi contattato privatamente García per scusarsi di quanto accaduto e per chiedere se stesse bene.

Secondo i ricercatori, non hanno più sentito nessun altro del gruppo.

Ancora oggi, dicono, i sospetti lavoratori non sanno di aver trascorso settimane all’interno di un ambiente costruito appositamente per estrarre informazioni da loro. Per le aziende che assumono sviluppatori remoti, in particolare nel settore crypto e Web3, i risultati dell’operazione rafforzano le indicazioni delle autorità federali statunitensi, tra cui FBI e Department of State: verificare le identità tramite colloqui video che richiedano risposte dal vivo e contestualizzate, esaminare con attenzione le richieste di accesso a desktop remoti o dispositivi di autenticazione condivisi e monitorare indicatori come il routing VPN costante attraverso aree geografiche non correlate.

Magazine: Gli attacchi a Coldcard significano che tutti gli hardware wallet sono ora insicuri?

Nota dell’editore: Cointelegraph non è stato in grado di confermare in modo indipendente la nazionalità o l’affiliazione dei sospetti lavoratori IT della DPRK, e nessuna agenzia governativa li ha identificati pubblicamente.