Como uma startup cripto falsa enganou trabalhadores norte-coreanos para extrair inteligência

Em junho, um repórter se passou por investidor de capital de risco em uma chamada de Zoom para enganar suspeitos de serem trabalhadores de TI norte-coreanos. A ação fazia parte de uma operação de cinco semanas conduzida por Mauro Eldritch, fundador da empresa de segurança cibernética BCA LTD, e Heiner García, analista de inteligência de ameaças cibernéticas da Telefónica Tech e fundador da NorthScan. Eles criaram a startup fictícia de criptomoedas Ballena Azul para estudar os métodos e a infraestrutura desses trabalhadores.

A operação foi montada com infraestrutura fornecida pela plataforma de segurança ANY.RUN. Uma registro existente no Reino Unido de uma empresa homônima não relacionada, dissolvida em 2022, deu legitimidade ao projeto. Eldritch assumiu a identidade do cofundador "Leonardo Nelson", enquanto García usou o alias "Andy Jones" e se passou por líder de equipe. Durante a chamada, o repórter, usando o nome "Aelin Ashriver", da fictícia Definitive Communications, sugeriu que poderia conseguir cobertura da Cointelegraph para a Ballena Azul.

Um dos achados mais valiosos da operação foram os servidores externos usados pelos trabalhadores como pontos intermediários antes de se conectarem aos desktops virtuais controlados. Esses servidores eram particularmente valiosos porque essa infraestrutura costuma ser reutilizada em várias operações e pode permanecer ativa por longos períodos. García afirmou que os servidores estavam associados a famílias de malware ligadas a campanhas norte-coreanas que roubam credenciais, dados de carteiras de criptomoedas e outras informações sensíveis.

"Alguns dos servidores que encontramos estavam ligados à distribuição de InvisibleFerret e BeaverTail/OtterCookie em anos anteriores e estavam ativos até hoje", disse García. Ele acrescentou que a infraestrutura poderia servir a múltiplos propósitos, com servidores anteriormente usados para distribuição de malware também atuando como infraestrutura de comando e controle e como proxies para operadores em seu trabalho diário.

Os pesquisadores descobriram que os suspeitos dependiam fortemente de ferramentas de inteligência artificial para compensar lacunas em seu conhecimento técnico. Eles usavam ChatGPT para escrever e codificar, incluindo responder a perguntas básicas e completar tarefas com as quais tinham dificuldade. Preferiam o Google Gemini para alteração de imagens e falsificação de documentos. Outras ferramentas incluíam software de acesso remoto, carteiras de criptomoedas e um serviço para compartilhar códigos de autenticação de dois fatores.

Por que os trabalhadores norte-coreanos são uma ameaça crescente?

Os trabalhadores de TI norte-coreanos representam uma ameaça crescente à indústria de criptomoedas, pois, uma vez contratados, podem obter acesso legítimo a sistemas internos, código-fonte e outras informações sensíveis. A Consensys disse em julho que havia contratado um desenvolvedor ligado à Coreia do Norte por meio de um provedor de serviços terceirizado antes de identificar a ameaça e cortar o acesso. Em outro caso, promotores dos EUA acusaram quatro cidadãos norte-coreanos em 2025 de usar identidades falsas para obter empregos remotos de TI e supostamente roubar mais de US$ 900.000 em criptomoedas de duas empresas. O Tesouro dos EUA disse em março que os esquemas de trabalhadores de TI norte-coreanos geraram quase US$ 800 milhões em 2024 para financiar os programas de armas de destruição em massa do regime de Pyongyang.

A farsa começou quando García se conectou com um recrutador via GitHub, que havia sido ligado ao Famous Chollima, um grupo de ameaça associado a operações de trabalhadores de TI norte-coreanos. García disse que a Ballena Azul precisava contratar desenvolvedores de software, e o recrutador ofereceu "Jack Anderson", "Angelo Espree" e "Lucas Theo". Pelo menos dois deles apresentaram identificação dos EUA. O trio recebeu várias tarefas de programação em ambientes de desktop virtuais controlados, permitindo que García e Eldritch observassem como trabalhavam.

Os pesquisadores também introduziram deliberadamente problemas técnicos, como quedas seletivas de rede e cursores de mouse desaparecendo, para ver como os suspeitos reagiam e quais ferramentas usavam quando algo dava errado. "Honestamente, a maior surpresa foi o quanto tudo funcionava na base da improvisação", disse García. "Não havia um manual rígido, nenhum processo corporativo polido por trás deles." Durante as semanas de trabalho, os suspeitos deixaram para trás logs de bate-papo, conversas com IA, informações de carteiras de criptomoedas, nós de saída de VPN e horas de vídeo ao vivo.

A operação terminou com a introdução de "Benito Camella", cofundador da Ballena Azul, que supostamente esteve em Milão a negócios. Ao retornar, Camella confrontou os trabalhadores sobre discrepâncias em suas identidades e documentos. O confronto rapidamente esvaziou a sala de bate-papo. Espree saiu da chamada de vídeo primeiro, enquanto Anderson permaneceu mais tempo antes de perceber que o esquema estava se desfazendo. Os pesquisadores mantiveram a farsa mesmo após a reunião, com o "CEO" acusando "Andy Jones" de trazer "trabalhadores ilegais" e colocando a empresa em risco, terminando com a demissão fictícia.

Perguntas frequentes

Os trabalhadores norte-coreanos usaram malware durante a operação?

De acordo com os pesquisadores, os suspeitos não precisam implantar malware para representar uma ameaça. Uma vez contratados, eles podem obter acesso legítimo a sistemas internos, código-fonte e outras informações sensíveis. No entanto, os servidores expostos durante a operação estavam associados a famílias de malware ligadas a campanhas norte-coreanas que roubam credenciais e dados de carteiras de criptomoedas.

A Cointelegraph já participou de outras operações semelhantes?

Sim, em fevereiro de 2025, García e a Cointelegraph conduziram uma entrevista de emprego com um suspeito que se chamava "Motoki", que afirmava ser japonês, mas abandonou a entrevista após ser solicitado a se apresentar em sua língua materna. García continuou se comunicando com ele, e Motoki acabou oferecendo enviar dinheiro para comprar um computador que ele pudesse acessar remotamente, permitindo que trabalhasse através de uma máquina local em vez de usar uma VPN.