Uma operação de inteligência inverteu a lógica da cibersegurança ao criar uma armadilha para hackers norte-coreanos. Em vez de bloquear invasões externas, especialistas fundaram uma startup DeFi falsa, contrataram os suspeitos e monitoraram suas atividades internamente.
A investigação foi liderada por pesquisadores da BCA LTD, NorthScan e ANY.RUN. O grupo registrou a empresa Ballena Azul LTD no Reino Unido, desenvolvendo um site e uma identidade corporativa completa para se passarem por fundadores de um protocolo focado em grandes investidores de criptomoedas.
Os pesquisadores utilizaram a plataforma ANY.RUN como um ambiente de trabalho virtual, capaz de gravar todas as ações dos contratados. O primeiro desenvolvedor chegou através de um recrutador no GitHub, e rapidamente indicou outros dois colegas para o projeto.
Os três indivíduos foram aprovados nas entrevistas e receberam acesso aos sistemas monitorados. Os relatórios indicam que eles são suspeitos de integrar o Famous Chollima, uma célula vinculada ao Lazarus Group, conhecida por infiltrar falsos profissionais de TI em empresas do Ocidente.
Como a armadilha desmascarou os hackers norte-coreanos
Durante o processo de contratação, os desenvolvedores enviaram credenciais americanas falsificadas. O material incluía carteiras de motorista, números de Seguro Social roubados e contas bancárias em instituições como Citibank e Wise.
A fraude foi detectada rapidamente devido a um erro na falsificação. Os metadados de uma das carteiras de motorista mostravam que a imagem foi processada pelo Google Gemini, exibindo uma marca d’água SynthID embutida no arquivo.
Os pesquisadores notaram que os hackers norte-coreanos dependiam intensamente de inteligência artificial para trabalhar. Eles utilizavam o ChatGPT para escrever códigos que não pareciam compreender e ativavam ferramentas de tradução simultânea durante as reuniões por vídeo.
A operação também mapeou a infraestrutura do grupo, identificando servidores VPN e carteiras de criptomoedas com histórico de transações recicladas de campanhas anteriores.
A infiltração de trabalhadores remotos é uma ameaça crescente no setor. Dados da TRM Labs apontam que grupos da Coreia do Norte foram responsáveis por 76% das perdas em ataques cripto até abril de 2026, após roubarem US$ 2 bilhões ao longo de 2025.
