Ricercatori specializzati in threat intelligence hanno creato una finta startup di Finanza Decentralizzata (DeFi), assunto presunti lavoratori IT nordcoreani come sviluppatori e li hanno osservati dall’interno.
L’operazione ha ribaltato l’approccio tradizionale delle infiltrazioni. Invece di catturare operatori che cercavano di entrare, i ricercatori li hanno osservati lavorare dopo che avevano superato i colloqui.
Come la Falsa Startup Ha Smacherato i Lavoratori IT Nordcoreani
L’indagine è stata portata avanti congiuntamente da Mauro Eldritch di BCA LTD, Heiner García di NorthScan e ANY.RUN. I ricercatori hanno registrato Ballena Azul LTD come protocollo pensato per servire le balene delle criptovalute.
Hanno realizzato un sito web, un branding aziendale e una registrazione presso le autorità del Regno Unito, per renderla credibile agli occhi degli altri. Poi si sono finti i fondatori e il team lead.
I ricercatori hanno utilizzato la piattaforma sandbox di ANY.RUN come ambiente di lavoro. Questo sistema registrava ogni movimento degli operatori. Angelo Cruz, un recruiter incontrato su GitHub, ha fornito il primo sviluppatore.
Questo assunto ha consigliato un secondo sviluppatore, che a sua volta ha portato un terzo. Tutti e tre hanno superato i colloqui ricevendo l’accesso a desktop virtuali, che in realtà erano ambienti di registrazione controllati.
Nel rapporto, gli operatori vengono descritti come presunti membri del gruppo Famous Chollima, un’unità collegata al Lazarus Group nordcoreano, specializzata nell’inserire falsi lavoratori IT presso aziende occidentali.
Seguici su X per ricevere in tempo reale tutte le ultime news
Cosa Hanno Scoperto i Ricercatori
Gli sviluppatori hanno presentato delle credenziali statunitensi false durante la fase di onboarding. Questi includevano patenti di guida, numeri di previdenza sociale rubati e conti presso Lead Bank, Citibank e Wise.
I metadati di una patente hanno rivelato che era stata creata con Google Gemini e presentava una filigrana SynthID incorporata. Questo ha permesso di scoprire quasi subito il falso.
“A quel punto avevamo identità false, numeri di previdenza sociale rubati, conti bancari cuscinetto, possibili case sicure dei facilitatori e wallet crypto con cronologia delle transazioni,” hanno spiegato in dettaglio i ricercatori.
I lavoratori si sono fortemente affidati all’intelligenza artificiale. Hanno usato ChatGPT per scrivere codice che sembrava non comprendessero e per portare a termine diversi compiti. Durante i colloqui e le riunioni quotidiane, erano attivi anche strumenti di traduzione automatica in tempo reale.
L’operazione ha anche fatto emergere le infrastrutture di supporto. I ricercatori hanno identificato nodi di uscita AstrillVPN, server ospitati su Vultr e Gorilla Servers, e wallet crypto con cronologia delle transazioni. Uno dei server degli operatori risultava già segnalato nei feed di threat intelligence, un segno che era stato riutilizzato in precedenti campagne.
“I risultati dimostrano che gli schemi dei lavoratori IT della DPRK non sono solo un rischio in fase di assunzione. Una volta all’interno, gli operatori possono ottenere accesso legittimo a codice, sistemi, proprietà intellettuali e processi aziendali fidati,” si legge nel rapporto.
Gli hacker nordcoreani rappresentano da tempo una minaccia costante per il settore crypto. Secondo TRM Labs, il 76% delle perdite da hack nelle crypto nel 2026 fino ad aprile sono attribuibili a gruppi della DPRK. I furti hanno raggiunto 2 miliardi di dollari nel 2025.
La tattica di infiltrazione funziona in modo diverso. I lavoratori nordcoreani si fingono ingegneri per ottenere lavori da remoto, poi rubano segreti o piazzano accessi futuri. Un progetto finanziato in Ethereum (ETH) ha precedentemente identificato 100 sospetti lavoratori IT nordcoreani coinvolti in 53 progetti crypto.
Iscriviti al nostro canale YouTube per vedere leader e giornalisti condividere approfondimenti ed esperienze
