Chainalysis collega 14,3 milioni di dollari in furti precedenti alla trappola che ha colpito Binance

Chainalysis ha attribuito oltre 14,3 milioni di dollari in perdite di criptovalute negli ultimi 18 mesi al modus operandi nordcoreano basato su interviste fasulle, che in seguito ha preso di mira Binance.

L’azienda di analisi blockchain considera questi furti minori come una fase di addestramento per il furto da 6,3 miliardi di dollari.

Decine di colloqui di lavoro fasulli hanno portato alla compromissione dei wallet

Le perdite sono state causate da interviste fasulle e schemi malware legati alla RPC, con obiettivi che spaziavano da singoli holder di criptovalute e wallet privati a protocolli e DAO.

«Abbiamo identificato dozzine di altri compromessi durante i colloqui di lavoro che hanno portato a compromissioni dei portafogli» a livello individuale, ha dichiarato Tom McLouth, analista senior delle intelligence di Chainalysis. Le perdite individuali sono variate da decine di migliaia di dollari a milioni.

Le squadre nordcoreane stavano “perfezionando ed evolvendo la loro metodologia” in quegli attacchi, ha affermato. “È così che si arriva al più grande furto della storia”, ha dichiarato McLouth.

Secondo Chainalysis, l'attacco a Binance potrebbe essere il culmine di mesi o persino anni di esercitazioni. Cryptopolitan ha riportato che Binance ha rintracciato la propria violazione fino a un invito per un colloquio di lavoro inviato a un ingegnere nel mese di settembre.

L’ingegnere ha scaricato un compito per il colloquio infettato da codice malevolo dopo due round con un’azienda fasulla. Alec Zebrick, Senior Manager of Global Services di Chainalysis, definisce questa pratica “colloqui contagiosi”: l’obiettivo è colpire il personale con privilegi di accesso per utilizzare le loro credenziali contro il datore di lavoro.

Chainalysis ha anche evidenziato casi in cui le chiavi private sono state rubate dall'archiviazione cloud dopo un'intervista malevola. Alcune vittime hanno dichiarato che le loro frasi di recupero (seed phrases) non erano mai presenti sul dispositivo infetto, il che secondo Chainalysis potrebbe segnalare l'utilizzo di credenziali o sessioni del browser rubate dal cloud.

Nel marzo scorso, Microsoft ha documentato come il team Defender Experts abbia tracciato una campagna denominata Contagious Interview, attiva almeno dal dicembre 2022.

In questa campagna, falsi recruiter provenienti da società di trading cripto o aziende di intelligenza artificiale inducono i candidati a eseguire pacchetti di codice dannoso.

Al suo interno, il malware cerca le frasi mnemoniche dei wallet, gli archivi KeePass e 1Password, nonché le chiavi crittografiche, ha dichiarato Microsoft.

I Blockchain Dead Drops sono aumentati cinque volte in un anno

Chainalysis segnala inoltre che gli attacchi informatici abilitati per blockchain sono quintuplicati negli ultimi 12 mesi. Chainalysis definisce questo fenomeno Blockchain Dead Drops e l'aumento è attribuito ad attori statali e al potenziale utilizzo di modelli AI open-weight.

Gli attori nordcoreani hanno iniziato a utilizzare la tecnica, denominata "Etherhiding", all'inizio del 2025. Collega le macchine infettate tramite false interviste di lavoro ai server di comando e controllo degli attaccanti, poiché una registrazione su blockchain è più difficile da sequestrare per la polizia rispetto all'hosting centralizzato.

Una configurazione DPRK ha diviso le istruzioni tra TRON e Aptos. Entrambe le catene hanno puntatori al payload ospitato su BSC e i dispositivi infetti vengono reindirizzati al payload.

Aptos è il piano di riserva se TRON fallisce.

Il nuovo approccio del "ricevitore nullo" inserisce l'istruzione all'interno di un indirizzo appositamente creato. L'indirizzo non è controllato e non è progettato per contenere criptovalute.

L'indirizzo viene interpretato come un comando dalle macchine infette.

Nel mese di settembre, l'FBI, l'Ufficio Nazionale di Polizia del Giappone e le autorità australiane e tedesche hanno attribuito pubblicamente a un gruppo nordcoreano chiamato WaterPlum la responsabilità di un furto di criptovalute per circa 10,71 milioni di dollari.

WaterPlum è anche noto come "Colloquio Contagioso." La sua operazione ha interessato dati sensibili su circa 7.000 account crypto.

L'FBI ha attribuito la rapina a Binance al gruppo nordcoreano TraderTraitor, ma Pyongyang ha negato qualsiasi coinvolgimento. Chainalysis prevede che i fondi rubati rimangano in movimento nei prossimi giorni.