La giornalista cripto Laura Shin — ex editor di Forbes e autrice del libro del 2022 The Cryptopians — si è prefissata di scoprire cosa sarebbe accaduto mettendo davanti a una telecamera un presunto hacker nordcoreano sponsorizzato dallo Stato. Fingendosi una recruiter di nome Sophie Wang, ha organizzato un colloquio in video e ha lasciato che l'uomo che si faceva chiamare Justin Lim si destreggiasse in una selezione per un ruolo di ingegnere blockchain. Ha superato brillantemente le domande tecniche — e ha inciampato, in modo evidente, su quelle politiche.

L'episodio del podcast Unchained che ne è risultato, andato in onda il 14 agosto 2026, rappresenta uno dei pezzi di giornalismo cripto più insoliti degli ultimi anni: in parte operazione sotto copertura, in parte colloquio di lavoro e in parte caso di studio su come la Repubblica Popolare Democratica di Corea abbia trasformato il lavoro di sviluppo remoto in un canale di finanziamento per i propri programmi di armamento.

Il colloquio che in realtà non era un colloquio di lavoro

Lim si presentava come uno sviluppatore remoto con base a Long Beach, in California, e sulla carta il suo curriculum spuntava molte caselle. Ha dimostrato padronanza della sicurezza degli smart contract, ha discusso di protocolli di indicizzazione come The Graph su più reti e ha mostrato familiarità con progetti tra cui Uniswap e Velas.

Le crepe sono emerse quando Shin, ancora nei panni di Sophie Wang, ha indirizzato la conversazione verso la leadership nordcoreana. Le risposte di Lim sono diventate evasive e vaghe, e lui era vistosamente restio a esprimere anche solo una blanda critica nei confronti di Kim Jong Un. Per chiunque conosca il comportamento degli agenti nordcoreani sotto interrogatorio, quella forma di lealtà istintiva è un segnale rivelatore.

Una scia da 2,7 milioni di dollari

Lim non era solo una minaccia teorica. Gli investigatori lo hanno in seguito collegato a un furto di 2,7 milioni di dollari dal progetto MetaPlay avvenuto nel 2022, ricollegando la sua identità a schemi di attacco nordcoreani già noti.

Si stima che gli agenti nordcoreani abbiano sottratto oltre 6 miliardi di dollari alle imprese cripto negli ultimi anni. Gran parte di questa attività è stata attribuita dalle autorità statunitensi a unità come il Lazarus Group, che il Dipartimento del Tesoro ha collegato al furto di circa 600 milioni di dollari del Ronin Bridge nel 2022 e che l'FBI ha ritenuto responsabile dell'hack di Bybit da circa 1,5 miliardi di dollari del febbraio 2025. A differenza delle gang di ransomware o degli hacker solitari, questi agenti operano come dipendenti dello Stato. I fondi rubati, secondo quanto riportato, affluiscono per sostenere i programmi nucleari e missilistici balistici della Corea del Nord, rendendo ogni protocollo DeFi compromesso o ogni wallet di progetto svuotato una questione di sicurezza internazionale — un legame che il Gruppo di esperti delle Nazioni Unite documenta da anni e che FBI, Dipartimento di Stato e Tesoro hanno segnalato in avvisi congiunti sui lavoratori IT nordcoreani a partire dal 2022, più volte aggiornati da allora.

Il modello di infiltrazione è ingannevolmente semplice. Gli agenti nordcoreani creano identità online convincenti, sostenendo spesso di avere base negli Stati Uniti, in Canada o nel Sud-est asiatico. Costruiscono profili GitHub, contribuiscono a progetti open source e coltivano il tipo di impronta digitale che un responsabile delle assunzioni, preso dai mille impegni, potrebbe guardare di sfuggita e approvare. Questo modus operandi è oggi ben documentato: Microsoft ha pubblicamente avvertito nel 2025 che lavoratori IT nordcoreani utilizzavano contributi open source per costruire portfolio convincenti, e il Dipartimento di Giustizia statunitense ha incriminato lavoratori IT nordcoreani che, a suo dire, avrebbero generato decine di milioni di dollari in stipendi fraudolenti. L'esposizione va oltre la cripto — la società di formazione sulla sicurezza KnowBe4 ha rivelato nel 2024 di aver assunto inconsapevolmente un lavoratore nordcoreano che utilizzava un'identità statunitense rubata e una foto del profilo alterata con l'IA. Una volta entrati in un progetto, hanno accesso esattamente ai sistemi che devono sfruttare.

Perché la cripto è particolarmente vulnerabile

La cultura delle assunzioni del settore cripto sembra praticamente progettata per questo tipo di infiltrazione. Team interamente remoti, collaboratori pseudonimi, una generale tolleranza verso percorsi professionali non convenzionali e la pura velocità delle assunzioni nei mercati rialzisti creano tutte aperture che gli attori sponsorizzati dagli Stati sono addestrati a sfruttare.

Implicazioni per progetti e investitori

L'episodio sottolinea un calcolo di sicurezza in evoluzione per il settore. Qualsiasi progetto che abbia assunto sviluppatori remoti senza una rigorosa verifica dell'identità ha ora motivo di fare audit sul proprio team, e non solo sul proprio codice. Un singolo insider compromesso può svuotare una tesoreria, e la perdita di 2,7 milioni di dollari di MetaPlay è modesta secondo gli standard dei recenti attacchi cripto.

Per gli investitori, il livello di sicurezza del team di un progetto conta quanto la qualità del suo codice. Un protocollo può superare ogni audit degli smart contract e comunque essere svuotato dall'interno se la persona sbagliata ha accesso ai commit. Il giornalismo in questione indica un cambiamento più ampio nella due diligence sugli investimenti in token, che si estende a come i progetti verificano i propri collaboratori anziché limitarsi a come proteggono i propri contratti.