Você é contratado! O novo golpe de criptografia da Coréia do Norte começa com uma oferta de emprego

Uma nova onda de ataques cibernéticos mostra que a RPDC está explorando o funil de recrutamento da indústria de criptografia, usando ofertas falsas de empregos no LinkedIn, chamadas de zoom de fatos profundos e arquivos de entrevista em backdoor para acessar as carteiras e repositórios dos desenvolvedores da Web3.

Com os talentos experientes do desenvolvedor já que já desbotam e protocolos de fonte aberta cada vez mais dependem de colaboradores individuais, as apostas nunca foram mais altas.

Infiltração de desenvolvedores de hackers norte -coreanos

Em 18 de junho, a empresa de segurança cibernética Huntress relatado Uma campanha atribuída ao Bluenoroff, um notório subgrupo do Lazarus Group direcionado a um desenvolvedor em uma importante fundação do Web3.

O ardil começou com um arremesso de recrutador polido no LinkedIn, seguido pelo que parecia ser uma entrevista de zoom com um executivo sênior. Na realidade, o feed de vídeo era um arquivo profundo, e o arquivo de “avaliação técnica” que o candidato era pediu para correr`zoom_sdk_support.scpt`, implantado malware de plataforma cruzada apelidada de beavertail, que pode colher frases de sementes, peças de criptografia e credenciais do github.

Essas táticas representam uma escalada acentuada. “Nesta nova campanha, o grupo de ameaças está usando três empresas de frente no setor de consultoria de criptografia … para espalhar malware por meio de ‘atrações de entrevistas de emprego’ ‘, pesquisadores da Silent Push Push escreveu em abrilreferindo -se a empresas como Blocknovas, Softglide e Angeloper. Todos os três mantiveram os registros corporativos dos EUA e os postos de emprego do LinkedIn que passaram facilmente testes de cheirar a RH.

O FBI apreendeu os Blocknovas domínio em abril. Até então, vários desenvolvedores haviam se sentado através de chamadas de zoom falsas, onde foram instados a instalar aplicativos personalizados ou executar scripts. Muitos cumpriram.

Esses não são golpes simples de esmagamento e grab, mas parte de uma campanha bem financiada e dirigida pelo estado. Desde 2017, grupos de hackers norte -coreanos roubaramUS $ 1,5 bilhão em criptografiaincluindo o hack de US $ 620 milhões Ronin/Axie Infinity.

Os ativos roubados são rotineiramente canalizados através de mixers como Tornado Cash e Sinbad, lavando a opinião de Pyongyang e finalmente banhando seu programa de armas, de acordo com o Tesouro dos EUA.

“Durante anos, a Coréia do Norte explorou os ecossistemas globais de contratação de TI e criptografia para fugir das sanções dos EUA e bancar seus programas de armas”. disse Sue J. Bai da Divisão de Segurança Nacional do Departamento de Justiça. Em 16 de junho, seu escritório anunciou a apreensão de US $ 7,74 milhões em criptografia vinculada ao esquema de Fake -It -Worker.

Foco do desenvolvedor criptográfico

Os alvos são cuidadosamente selecionados. A natureza de origem aberta dos protocolos de criptografia significa que um único engenheiro, geralmente pseudônimo e distribuído globalmente, pode ter privilégios de compromisso à infraestrutura crítica, de contratos inteligentes a protocolos de ponte.

Mais recente da Electric Capital disponível Relatório do desenvolvedor contou cerca de 39.148 novos desenvolvedores de criptografia ativos, com o total de desenvolvedores em que aproximadamente 7% no ano. Analistas do setor dizem que o fornecimento de mantenedores experientes apenas apertou, tornando cada desenvolvedor comprometido desproporcionalmente perigoso.

Esse desequilíbrio é por que o próprio pipeline de contratação se tornou um campo de batalha de segurança cibernética. Uma vez que um recrutador da frente passa por RH, os engenheiros, ansiosos por estabilidade em um mercado de baixa, não pode identificar as bandeiras vermelhas a tempo. Em vários casos, os atacantes até usado Os links de calendário e o Google encontram convidados que redirecionavam silenciosamente as vítimas para os domínios parecidos de zoom controlados pelo atacante.

A pilha de malware é avançada e modular. Huntress e Unidade 42 têm Catalogado Variantes Beavertail, InvisibleFerret e OtterCookie, todas compiladas com a estrutura QT para compatibilidade entre plataformas. Uma vez instalados, as ferramentas rasparam extensões de navegador, como metamask e fantasma, exfiltrar os arquivos `wallet.dat` e pesquisar termos como“ mnemonic ”ou“ semente ”em arquivos de texto simples.

No entanto, apesar da sofisticação técnica, a pressão de aplicação da lei está aumentando. As apreensões de domínio do FBI, as confisplos financeiros do DOJ e as sanções do Tesouro aos misturadores começaram a aumentar o custo de fazer negócios para os hackers de Pyongyang. O regime, no entanto, permanece adaptável.

Cada nova empresa de shell, persona de recrutador ou carga útil de malware chega em embalagens mais convincentes. Graças às ferramentas generativas de AI, mesmo os executivos falsos em chamadas ao vivo Agora olhe e mova -se com credibilidade. Os sistemas sem confiança da Defi ainda dependem de um círculo surpreendentemente pequeno e vulnerável de mantenedores humanos de confiança.

Cripto -alvo norte -coreano

Recente Criptoslato A cobertura pinta uma tela mais ampla do ataque de criptografia de Pyongyang. Uma análise de final de ano constatou que os grupos ligados à Coréia do Norte abasteceram US $ 1,34 bilhão de 47 hacks em 2024, o que foi um total de 61 % de toda a criptografia roubado naquele ano.

Uma grande fatia dessa contagem veio da violação de US $ 305 milhões do DMM Bitcoin do Japão, que o FBI disse que começou quando um operador de tradertrator posou como recrutador do LinkedIn e escorregou um “teste de codificação” malicioso para um Carteira Ginco engenheiro.

O mesmo manual aumentou em fevereiro, quando o departamento atribuiu um recorde de US $ 1,5 bilhão por Lázaro, observando que os ladrões já haviam lavado 100.000 ETH por meio de Thorchain dentro de dias.

Os agentes norte-coreanos estão representando capitalistas de risco, recrutadores e trabalhadores remotos de TI, usando perfis gerados pela IA e entrevistas profundas, para obter salários, exfiltrar o código-fonte e extorquir as empresas no que os pesquisadores da Microsoft chamam de “Tripla Threat”Esquema.

Em um mundo em que os empregos podem ser remotos, a confiança é digital e o software executa o dinheiro, a violação subsequente do Estado pode começar não com uma exploração, mas com um aperto de mão.