Entrevistas de emprego falsas da Coreia do Norte roubaram US$ 14,3 milhões antes do ataque à Binance

A Chainalysis atribuiu mais de US$ 14,3 milhões em perdas com criptomoedas nos últimos 18 meses ao esquema de entrevistas falsas da Coreia do Norte, que posteriormente visou a Binance.

A empresa de análise de blockchain considera esses pequenos roubos como treinamento para o roubo de US$ 6,3 bilhões.

Dúzias de entrevistas de emprego falsas levaram à comprometimento de carteiras

As perdas resultaram de esquemas de malware e entrevistas falsas vinculadas à RPCD, com alvos que variam desde detentores individuais de criptomoedas e carteiras privadas até protocolos e DAOs.

"Identificamos dezenas de outras violações em entrevistas de emprego que levaram a violações de carteiras" no nível individual, disse Tom McLouth, analista sênior de inteligência da Chainalysis. As perdas individuais variaram de dezenas de milhares de dólares a milhões.

As equipes da Coreia do Norte estavam “aperfeiçoando e evoluindo sua metodologia” nesses ataques, afirmou ele. “É assim que se chega ao maior roubo da história”, disse McLouth.

O ataque à Binance pode ser o clímax de meses ou até anos de prática, afirma a Chainalysis. Cryptopolitan relatou que a Binance rastreou sua própria violação a um convite para entrevista de trabalho enviado a um engenheiro em setembro.

O engenheiro baixou uma tarefa de entrevista que havia sido semeada com código malicioso após duas rodadas com uma empresa falsa. Alec Zebrick, Gerente Sênior de Serviços Globais da Chainalysis, chama isso de “entrevistas contagiosas”, e elas são direcionadas a funcionários com acesso privilegiado para que suas credenciais possam ser usadas contra o empregador.

A Chainalysis também destacou casos em que chaves privadas foram roubadas de armazenamento na nuvem após uma entrevista maliciosa. Algumas vítimas afirmaram que suas frases semente nunca estiveram no dispositivo infectado, o que a Chainalysis diz pode indicar logins ou sessões de navegador roubados.

Em março, a Microsoft documentou que sua equipe de especialistas do Defender detectou uma campanha de entrevista contagiada que está ativa desde pelo menos dezembro de 2022.

Nesta campanha, recrutadores falsos de empresas de negociação de criptomoedas ou de inteligência artificial levam os candidatos a executar pacotes de código malicioso.

Dentro do sistema, o malware procura por mnemônicos de carteiras, repositórios KeePass e 1Password, bem como chaves criptográficas, informou a Microsoft.

Os Dead Drops na Blockchain aumentaram cinco vezes em um ano

A Chainalysis também relata que ciberataques habilitados por blockchain aumentaram cinco vezes nos últimos 12 meses. A empresa chama esse fenômeno de Blockchain Dead Drops, e o aumento tem sido atribuído a atores estatais e ao uso potencial de modelos de IA de peso aberto.

Atores da Coreia do Norte começaram a usar a técnica, chamada "Etherhiding", no início de 2025. Ela conecta máquinas infectadas por meio de entrevistas de emprego falsas aos servidores de comando e controle dos atacantes, já que um registro em blockchain é mais difícil para a polícia apreender do que uma hospedagem centralizada.

Uma configuração DPRK dividiu instruções entre TRON e Aptos. Ambas as cadeias têm ponteiros para a carga útil hospedada na BSC, e os dispositivos infectados são redirecionados para essa carga útil.

Aptos é o plano de contingência caso o TRON falhe.

A abordagem mais recente do "receptor nulo" implanta a instrução dentro de um endereço especialmente elaborado. Esse endereço não é controlado e não foi projetado para armazenar criptomoedas.

O endereço é interpretado como um comando pelas máquinas infectadas.

Em setembro, o FBI, a Agência Nacional de Polícia do Japão e agências da Austrália e da Alemanha culparam publicamente uma equipe norte-coreana chamada WaterPlum por um roubo de criptomoedas no valor de ~$10,71 milhões.

WaterPlum também é conhecido como "Entrevista Contagiosa". Sua operação afetou dados sensíveis em cerca de 7.000 contas de criptomoedas.

O FBI atribuiu o roubo da Binance ao grupo norte-coreano TraderTraitor, mas Pyongyang negou qualquer envolvimento. A Chainalysis espera que os fundos roubados continuem em movimento nos próximos dias.

Se você está lendo isso, já está à frente. Mantenha-se assim com nosso boletim informativo.