Trabalhadores norte-coreanos caíram em armadilha de uma falsa startup cripto

Não é comum que um repórter seja solicitado a se passar por um investidor de capital de risco para enganar supostos trabalhadores de TI norte-coreanos.

Mas em junho, me vi participando de uma chamada do Zoom como "Aelin Ashriver", uma investidora da fictícia Definitive Communications, para conhecer a equipe de desenvolvimento da startup de criptomoedas Ballena Azul.

Os profissionais de TI na chamada acreditavam que estavam apresentando sua startup em busca de investimento de capital de risco. Na realidade, eles haviam passado semanas trabalhando dentro de uma empresa de criptomoedas fictícia, criada exclusivamente para estudar seus métodos e infraestrutura por Mauro Eldritch, fundador da empresa de cibersegurança BCA LTD, e Heiner García, analista de inteligência de ameaças cibernéticas da Telefónica Tech e fundador da NorthScan.

A Cointelegraph acompanhou uma das etapas da investigação.

Durante a ligação, reforcei a farsa sugerindo que talvez até conseguisse alguma cobertura da Ballena Azul no Cointelegraph.

Pelo menos alguém estava dizendo a verdade.

Trabalhadores de TI supostamente da Coreia do Norte buscam financiamento de capital de risco da fictícia Definitive Communications, representada pela Cointelegraph. Fonte: ANY.RUN

Construindo uma empresa para supostos trabalhadores de TI norte-coreanos

Eldritch e García construíram a fictícia Ballena Azul com infraestrutura fornecida pela plataforma de cibersegurança ANY.RUN. Um registro existente no Reino Unido para uma empresa não relacionada com o mesmo nome, que foi dissolvida em 2022, conferiu legitimidade ao projeto.

Eldritch assumiu a identidade do cofundador "Leonardo Nelson", enquanto García adotou o pseudônimo "Andy Jones" e se fez passar pelo líder da equipe da empresa.

Relacionado: Os ciberespiões norte-coreanos deixaram de ser apenas ameaças remotas.

Uma das informações mais valiosas reveladas pela farsa de cinco semanas foram os servidores externos que os trabalhadores usavam como pontos intermediários antes de se conectarem às áreas de trabalho virtuais controladas pela Ballena Azul.

Os servidores expostos eram particularmente valiosos porque essa infraestrutura costuma ser reutilizada em diferentes operações e pode permanecer ativa por longos períodos.

García disse à revista que os servidores estavam associados a famílias de malware ligadas a campanhas norte-coreanas que roubam credenciais, dados de carteiras de criptomoedas e outras informações confidenciais.

“Alguns dos servidores que encontramos estavam ligados à distribuição de InvisibleFerret e BeaverTail/OtterCookie em anos anteriores e permaneciam ativos até hoje”, afirma ele.

Mas alguns outros eram totalmente novos e não tinham nenhuma informação de inteligência sobre eles, parecendo limpos e permanecendo fora das listas de bloqueio convencionais ou dos feeds de ameaças.”

Ele acrescenta que a infraestrutura poderia servir a múltiplos propósitos, com servidores anteriormente usados ​​para distribuição de malware atuando também como infraestrutura de comando e controle, e como proxies para operadores que realizam seu trabalho diário.

Segundo os pesquisadores, os trabalhadores suspeitos não precisam implantar malware para representar uma ameaça. Uma vez contratados, eles podem obter acesso legítimo aos sistemas internos da empresa, ao código-fonte e a outras informações confidenciais. Quanto mais tempo permanecerem sem serem detectados, mais tempo poderão continuar recebendo salários que, segundo os pesquisadores, acabam financiando o regime norte-coreano.

A operação também mostrou que o grupo se apoiava em ferramentas de inteligência artificial para compensar as lacunas em seus conhecimentos técnicos. Eles usavam o ChatGPT para escrever e programar, inclusive para responder a perguntas básicas e concluir tarefas com as quais tinham dificuldades. Para alteração de imagens e falsificação de documentos, preferiam o Google Gemini.

Um suposto funcionário de TI da Coreia do Norte e membros do ChatGPT se unem numa tentativa de obter criptografia da rede de testes durante a operação Ballena Azul. Fonte: ANY.RUN

Outras ferramentas utilizadas incluíram software de acesso remoto à área de trabalho, carteiras de criptomoedas e um serviço para compartilhamento de códigos de autenticação de dois fatores.

Trabalhadores de TI norte-coreanos se tornaram uma crescente ameaça à segurança cibernética da indústria de criptomoedas. A Consensys afirmou em julho que havia contratado um desenvolvedor ligado à Coreia do Norte por meio de um provedor de serviços terceirizado antes de identificar a ameaça e bloquear o acesso.

Em outro caso, promotores dos EUA acusaram quatro cidadãos norte-coreanos em 2025 de usar identidades falsas para obter empregos remotos na área de TI e de supostamente roubar mais de US$ 900.000 em criptomoedas de duas empresas, incluindo uma empresa americana de pesquisa e desenvolvimento em blockchain.

Em março , o Departamento do Tesouro dos EUA afirmou que os programas de emprego para trabalhadores de TI norte-coreanos geraram quase US$ 800 milhões em 2024 para ajudar a financiar os programas de armas de destruição em massa do regime de Pyongyang.

Por dentro da falsa empresa de criptografia Ballena Azul

A farsa começou quando García entrou em contato com um recrutador via GitHub, que tinha ligações com o Famous Chollima, um grupo de ameaças associado às operações de trabalhadores de TI norte-coreanos.

García disse que a Ballena Azul precisava contratar desenvolvedores de software e o recrutador ofereceu os nomes de “Jack Anderson”, “Angelo Espree” e “Lucas Theo”. Pelo menos dois deles apresentaram documentos de identificação dos EUA.

O trio recebeu diversas tarefas de programação em ambientes virtuais de desktop controlados, o que permitiu a García e Eldritch observar como eles trabalhavam.

Angelo Espree foi um dos desenvolvedores contratados por meio de um recrutador associado às operações da Coreia do Norte. Fonte: ANY.RUN

Os pesquisadores também introduziram deliberadamente problemas técnicos, incluindo interrupções seletivas de rede e desaparecimento do cursor do mouse, para observar como os trabalhadores suspeitos reagiam e a quais ferramentas recorriam quando algo dava errado.

“Honestamente, a maior surpresa foi o quanto do processo foi improvisado”, diz García. “Não havia um roteiro rígido, nenhum processo corporativo polido por trás deles.”

Durante as muitas semanas em que trabalharam em ambientes controlados, os suspeitos norte-coreanos deixaram para trás um verdadeiro tesouro para os pesquisadores, incluindo registros de bate-papo, conversas de IA, informações de carteiras de criptomoedas, nós de saída de VPN e horas de gravações de vídeo ao vivo. Suas conexões também expuseram os servidores, o que se tornou uma das descobertas mais valiosas da investigação.

Sem dúvida, a forte dependência de IA não é exclusiva dos trabalhadores enganados na operação da Ballena Azul. 

Os funcionários da Ballena Azul geralmente usavam IA como um recurso auxiliar para tarefas de programação e técnicas com as quais tinham dificuldades. A Reuters noticiou na segunda-feira que outro grupo de hackers norte-coreano, o Kimsuky, estava usando IA para fins mais ofensivos. Segundo relatos, o grupo utilizava ferramentas de IA localmente para automatizar ataques cibernéticos, analisar dados roubados e produzir campanhas de phishing mais convincentes.

Manual em evolução para trabalhadores de TI remotos na Coreia do Norte

Esta não foi a primeira vez que o Cointelegraph desempenhou um papel, ainda que pequeno, na exposição de suspeitos de serem trabalhadores norte-coreanos.

Em fevereiro de 2025, García e a Cointelegraph realizaram uma entrevista de emprego com um suspeito agente que se autodenominava "Motoki". O desenvolvedor alegava ser japonês, mas abandonou a entrevista furioso após ser solicitado a se apresentar em sua língua materna.

Ainda assim, García continuou se comunicando com ele. Motoki acabou se oferecendo para enviar dinheiro a García para comprar um computador que ele pudesse acessar remotamente, permitindo que ele trabalhasse em uma máquina local em vez de se conectar por meio de uma VPN para contornar as restrições usadas por empregadores e plataformas de freelancers.

Mais tarde, García documentou suspeitos de serem agentes norte-coreanos que recrutavam freelancers para fornecer contas verificadas, identidades e acesso remoto aos seus computadores. Em uma versão do esquema, os agentes podiam trabalhar por meio de máquinas fisicamente localizadas nos EUA, fazendo com que parecessem contratados baseados nos EUA para empregadores e plataformas de freelancers.

Em maio, dois "fazendeiros de laptops" americanos — pessoas que hospedavam um conjunto de computadores que norte-coreanos podiam acessar remotamente — foram condenados a 18 meses de prisão por ajudarem trabalhadores de TI da Coreia do Norte a se passarem por funcionários baseados nos EUA em esquemas que geraram mais de US$ 1,2 milhão e afetaram quase 70 empresas.

Derrubando Ballena Azul

Tudo que é falso tem um fim, então os pesquisadores apresentaram “Benito Camella”, cofundador da Ballena Azul, que supostamente estava focado em outros negócios em Milão enquanto a empresa se expandia.

Ao retornar, Camella confrontou os funcionários sobre discrepâncias em suas identidades e documentos. O confronto rapidamente esvaziou a sala de bate-papo. Espree saiu da chamada de vídeo primeiro, enquanto Anderson permaneceu por mais tempo antes de perceber que o esquema estava desmoronando.

"O senhor está vivendo duas vidas, Sr. Anderson?", pergunta Camella a Jack Anderson durante o confronto. Fonte: ANY.RUN

Mas os pesquisadores mantiveram a farsa mesmo após o término da reunião. No canal do Telegram da empresa, o "CEO" acusou "Andy Jones" de contratar "trabalhadores ilegais" e colocar a empresa em risco. "Jones" respondeu que estava sob pressão para montar uma equipe rapidamente e que não estava sendo pago o suficiente para isso. Ele afirmou que havia feito o melhor que podia com os recursos disponíveis.

A discussão encenada terminou com o falso CEO encerrando tanto a relação profissional quanto a amizade, mantendo a aparência de que a Ballena Azul havia falido devido a uma desastrosa decisão de contratação.

Um dos suspeitos norte-coreanos contatou García posteriormente em particular para se desculpar pelo ocorrido e perguntar se ele estava bem.

Segundo os pesquisadores, eles nunca mais tiveram notícias do restante do grupo.

Até hoje, dizem, os trabalhadores suspeitos não sabem que perderam semanas trabalhando em um ambiente construído para extrair informações deles.

Nota do editor: O Cointelegraph não conseguiu confirmar de forma independente a nacionalidade ou afiliação dos suspeitos trabalhadores de TI da Coreia do Norte, e nenhuma agência governamental os identificou publicamente.