Falsas entrevistas de trabajo: el manual de Corea del Norte, según Chainalysis

Y no fue un experimento aislado: Chainalysis atribuye más de 14,3 millones de dólares en pérdidas a esquemas similares en los últimos 18 meses.

Dos entrevistas y una tarea envenenada

Según la reconstrucción de Chainalysis, los atacantes contactaron con un empleado de Binance a través de una plataforma de empleo legítima y dedicaron semanas a ganarse su confianza. Tras dos rondas de entrevistas con una empresa ficticia, el candidato recibió el encargo de descargar un ejercicio para la entrevista. Ese archivo contenía el código malicioso que dio a los atacantes su primer punto de apoyo. Desde ahí desplegaron más ‘malware’ y explotaron el acceso a una herramienta interna de inteligencia artificial para avanzar por los sistemas de la casa de cambio.

El método tiene nombre propio en la jerga de los analistas: «entrevistas contagiosas», en palabras de Alec Zebrick, responsable de servicios globales de la firma. Según Zebrick, los actores norcoreanos las han usado de forma repetida contra empleados con acceso privilegiado, porque sus credenciales y permisos permiten infiltrarse en los sistemas internos; por eso, señala, los empleados con acceso a infraestructura sensible son objetivos especialmente valiosos para estas operaciones.

Decenas de ensayos antes del gran golpe

Lo relevante del informe no es solo el caso Binance, sino lo que lo precede. Tom McLouth, analista sénior de inteligencia de Chainalysis, asegura que la firma ha identificado decenas de casos en los que entrevistas de trabajo amañadas acabaron con carteras de criptomonedas comprometidas a nivel individual. Las pérdidas de esos incidentes previos iban de decenas de miles a millones de dólares, y sus objetivos abarcaban desde poseedores particulares hasta protocolos y organizaciones autónomas descentralizadas. El análisis de la firma sugiere que esos golpes menores permitieron a los actores norcoreanos perfeccionar sus métodos en objetivos pequeños antes de apuntar a otros de mayor valor.

La firma describe además un patrón preocupante: en varios casos, las frases semilla de carteras fueron robadas del almacenamiento en la nube de las víctimas, aunque nunca se hubieran descargado en el dispositivo infectado. Es coherente, señala, con los informes de Microsoft sobre ‘malware’ norcoreano que peina los sistemas en busca de frases semilla y gestores de contraseñas: las credenciales capturadas pronto abren cuentas conectadas mucho más allá del equipo infectado.

Órdenes ocultas en la propia cadena de bloques

Chainalysis avisa de una evolución técnica reciente: los atacantes han empezado a esconder las instrucciones del ‘malware’ en cadenas de bloques públicas, una táctica que bautiza como «buzones muertos en la cadena de bloques» y que otros investigadores conocen como ‘Etherhiding’. Su investigación registra un aumento de cinco veces en este tipo de ataques asistidos por ‘blockchain’ en el último año. Según la firma, los actores norcoreanos recurren a ella porque las transacciones en una cadena pública son un lugar más resistente para mantener la infraestructura de mando y control que los servidores centralizados, expuestos a incautaciones.

Cómo reconocer el cebo

El caso deja una pauta clara para profesionales y empresas del sector: verificar de forma independiente que la empresa y la oferta existen antes de seguir adelante con un proceso, y extremar la precaución cuando la otra parte pide descargar o ejecutar archivos, como ocurrió con la supuesta prueba técnica del caso Binance, donde todo parecía una contratación rutinaria hasta el momento de la descarga. En entrevistas por videollamada, comprobar la identidad de la empresa por canales oficiales es una barrera sencilla frente a este tipo de engaño.

Fuentes: Chainalysis, análisis oficial, 3 nov 2026 (chainalysis.com/blog/binance-hack-dprk-employment-fraud/).