Agentes da Coreia do Norte infiltram o mercado global de desenvolvimento de ativos de criptografia, com mais de 30 identidades falsas expostas.

【moeda界】notícia, uma investigação de um conhecido detetive de Blockchain mostrou que a Coreia do Norte fez uma ampla infiltração no mercado global de recrutamento para o desenvolvimento de ativos de criptografia. Uma fonte anônima recentemente invadiu o dispositivo de um funcionário de TI da Coreia do Norte e forneceu uma visão sem precedentes, revelando como uma pequena equipe composta por cinco funcionários de TI opera mais de 30 identidades falsas.

Agentes norte-coreanos invadem o mercado de recrutamento de ativos de criptografia.

De acordo com a investigação, a equipe da Coreia do Norte registrou contas em plataformas de recrutamento usando documentos de identificação emitidos pelo governo, a fim de obter posições de desenvolvedor em vários projetos. Os investigadores descobriram um arquivo de exportação de uma Drive do Google, perfis do Chrome e capturas de tela, que mostram que os produtos do Google são essenciais para a organização de agendas, tarefas e orçamentos, e a comunicação é feita principalmente em inglês.

Nestes documentos, há uma folha de cálculo de 2025 que contém os relatórios semanais dos membros da equipa, revelando as suas operações internas e mentalidade. As entradas típicas incluem declarações como "Não entendo os requisitos de trabalho e não sei o que preciso de fazer" e anotações autoorientadas como "Solução/Reparo: colocar esforço suficiente com dedicação".

Outra folha de cálculo rastreava as despesas, mostrando os custos da compra de números de segurança social, contas de plataformas de recrutamento, números de telefone, assinaturas de IA, aluguer de computadores e serviços de VPN ou proxy. A agenda da reunião e o roteiro de identidade falsa também foram recuperados, incluindo uma identidade chamada "Henry Zhang".

A abordagem operacional da equipe inclui a compra ou arrendamento de computadores, o uso do AnyDesk para realizar trabalhos remotamente e a conversão de moeda fiduciária ganha em criptografia através do Payoneer. Um endereço de carteira associado à organização está ligado a uma exploração de 680 mil dólares ocorrida em junho de 2025 no Favrr, com o CTO do projeto e outros desenvolvedores posteriormente identificados como trabalhadores de TI norte-coreanos que usaram documentos fraudulentos. Outros trabalhadores associados à Coreia do Norte foram relacionados ao projeto através desse endereço.

Os sinais de que eles vêm da Coreia do Norte incluem o uso frequente do Google Translate e a realização de pesquisas em coreano a partir de endereços IP russos. Os investigadores afirmam que esses trabalhadores de TI não são particularmente experientes, mas sua persistência beneficia-se do grande número de posições que visam globalmente. Os desafios no enfrentamento dessas ações incluem a fraca colaboração entre empresas privadas e serviços, bem como a resistência das equipes ao relatar atividades fraudulentas.

A ameaça contínua da Coreia do Norte

Os hackers norte-coreanos, especialmente o Lazarus Group, continuam a representar uma ameaça significativa para a indústria. Em fevereiro de 2025, o grupo planejou o maior ataque a uma exchange de criptomoedas da história, roubando cerca de 1,5 bilhões de dólares em Ethereum de uma plataforma de negociação com sede em Dubai. O ataque explorou vulnerabilidades em provedores de carteiras de terceiros, com os hackers utilizando essas falhas para contornar as medidas de segurança de múltiplas assinaturas e transferir os fundos para várias carteiras. O FBI atribuiu a violação a agentes norte-coreanos e a rotulou como "TraderTraitor".

Em seguida, em julho de 2025, a exchange de ativos de criptografia indiana CoinDCX tornou-se vítima de um roubo de 44 milhões de dólares, que também estava relacionado ao Lazarus Group. Os atacantes infiltraram-se na infraestrutura de liquidez da CoinDCX, utilizando credenciais internas expostas para executar o roubo.