northkoreahackers

Los grupos de hackers norcoreanos han demostrado una vez más cuán peligrosamente sofisticados pueden ser. Esta vez, han puesto su mirada en los desarrolladores de criptomonedas, haciéndose pasar por empresas legítimas con sede en EE. UU. con un solo objetivo: infectar los sistemas de las víctimas con malware.

🎭 Dos empresas falsas. Un esquema malicioso.
La firma de ciberseguridad Silent Push ha revelado que los hackers norcoreanos crearon dos LLC: Blocknovas LLC en Nuevo México y Softglide LLC en Nueva York, haciéndose pasar por reclutadores en la industria de criptomonedas. Estas empresas enviaron 'ofertas de trabajo' que contenían código malicioso. Se cree que el notorio Grupo Lazarus, vinculado a los servicios de inteligencia de Corea del Norte, está detrás de la operación.

🔹 Las invitaciones a reuniones falsas de Zoom y los enlaces de actualización engañan a los equipos de Web3

🔹 Nuevo malware NimDoor se infiltra en macOS con técnicas avanzadas de evasión

🔹 Los atacantes roban datos del navegador, contraseñas y chats de Telegram

Empresas de Web3 y Criptomonedas Bajo Asedio por el Malware NimDoor
Los expertos en seguridad de SentinelLabs han descubierto una sofisticada campaña de malware dirigida a startups de Web3 y empresas de criptomonedas. Los ataques, vinculados a grupos norcoreanos, utilizan una combinación de ingeniería social y sigilo técnico para desplegar el malware NimDoor, escrito en el raramente utilizado lenguaje de programación Nim para eludir la detección antivirus.

En el mundo de la ciberseguridad, el nombre de ZachXBT se ha convertido en sinónimo de investigaciones y revelaciones. Este investigador independiente de blockchain, conocido por sus análisis profundos de fraudes en criptomonedas, recientemente criticó el popular mito de la "genialidad" de los hackers de Corea del Norte. En su última publicación en Twitter (ahora X), ZachXBT destacó que estos cibercriminales, relacionados con grupos como Lazarus, no son en absoluto los "genios técnicos" que se les considera.

Los hackers norcoreanos han establecido un nuevo récord, robando más de $2 mil millones en criptomonedas solo en 2025, superando las cifras anteriores por tres veces. Según la firma analítica Elliptic, este es el mayor volumen anual de robos en la historia, con tres meses restantes hasta el final del año. La principal contribución fue el hackeo de la bolsa Bybit en febrero, cuando los ladrones robaron $1,46 mil millones, uno de los incidentes más grandes en el sector cripto.

Un nuevo informe preocupante revela una amenaza crítica para la industria de la blockchain. En menos de dos años, los hackers patrocinados por el estado norcoreano han robado casi $3 mil millones en activos digitales. Esta actividad ilícita ahora representa una parte central de su estrategia nacional, representando un asombroso un tercio de los ingresos por divisas extranjeras de la nación.
Esta actualización del mercado confirma que los ataques son sistemáticos y sofisticados. Estos grupos están atacando activamente todos los rincones de Web3, desde protocolos DeFi hasta plataformas de trading y puentes entre cadenas. Esto plantea un riesgo persistente y bien financiado para todo el ecosistema cripto y la seguridad de los activos digitales.

🦹 Parece que cuando los traders del mundo compiten por quién atrapará el próximo “x100”, en algún lugar de Pionyang hay personas que ya han encontrado su ganancia garantizada. Según la empresa de análisis Elliptic, en 2025, hackers relacionados con Corea del Norte robaron más de $2 mil millones en criptoactivos. Este es un nuevo récord histórico.

En noviembre de 2025, una de las principales bolsas de criptomonedas de Corea del Sur, Upbit, fue víctima de un ciberataque masivo. Los hackers robaron criptomonedas por un valor de aproximadamente 45 mil millones de won (alrededor de 30 millones de dólares estadounidenses), principalmente en tokens basados en Solana. Este no es el primer incidente para la plataforma: en 2019, los delincuentes robaron 42 millones de dólares en Ethereum, y también se sospechaba de hackers norcoreanos en ese momento.

🔍 Detalles de lo que han detectado


Según el equipo de inteligencia de amenazas de Google Threat Intelligence Group (GTIG), se observó que UNC5342 desde febrero 2025 inició campañas donde usan EtherHiding para almacenar “payloads” maliciosos cifrados dentro de contratos inteligentes o transacciones en Ethereum/BNB.
En ese modus operandi:

Los atacantes crean “ofertas de empleo” falsas, contactan desarrolladores o personas en el espacio blockchain vía LinkedIn u otras plataformas.
Las víctimas se descargan archivos como si fuera parte de una prueba técnica o entrevista; esos archivos contienen “loaders” maliciosos que al ejecutarse consultan un contrato inteligente que entrega el siguiente paso malicioso.
El código no acosa directamente la blockchain en sí para ser “virus en cada nodo”, sino que usa la blockchain como infraestructura de “comando y control” (C2) para ordenar o entregar payloads a los sistemas infectados.
Un artículo indica que se trata de “la primera vez que se observa un actor estatal usando esta técnica de EtherHiding” sobre blockchain público.

#Hacker , #NorthKoreaHackers

⚙️ ¿Qué significa esto para el ecosistema cripto?


✅ Aspectos preocupantes / implicaciones



Que el malware use blockchain pública para almacenar instrucciones significa que la infraestructura es muy difícil de derribar o censurar, ya que los contratos inteligentes no se eliminan fácilmente y los datos almacenados quedan inmutables. Esto podría complicar acciones de mitigación.
El hecho de que los objetivos sean desarrolladores de Web3, personas del ecosistema blockchain y que el vector sea “oferta de trabajo / entrevista técnica” sugiere que los actores buscan penetrar dentro del ecosistema cripto mismo, lo que plantea riesgo para proyectos, exchanges, wallets, etc.
Para usuarios comunes de cripto: la amenaza no es que su wallet normal “sea hackeada por la blockchain” per se, sino que podrían caer en engaños (phishing, descargas maliciosas) que luego aprovechan la infraestructura blockchain para profundizar el ataque.
Este tipo de informe puede afectar el sentimiento de seguridad en el ecosistema, lo que podría tener efectos indirectos en flujo de capital, confianza en proyectos nuevos, etc.


⚠️ Aspectos que no se deben malinterpretar



No significa que la blockchain de Ethereum esté “infectada” en todos los nodos o que cada transacción sea peligrosa; es un caso de uso malicioso de la infraestructura de blockchain como medio, no necesariamente que toda interacción sea insegura.
La técnica requiere que la víctima haga algo: ejecutar un archivo malicioso, seguir un enlace, instalar algo. Así que sigue siendo un vector de ingeniería social, no un “hack automático” de la red blockchain para todos los usuarios.
Aunque es una técnica avanzada y preocupante, no necesariamente implica que todos los proyectos que dicen “blockchain compatible” estén comprometidos o que haya una caída inminente de cripto. Es un riesgo adicional que hay que vigilar.



🔮 Esta noticia es importante para el ecosistema cripto por lo que revela sobre evolución de amenazas y sofisticación de actores estatales.


Tener altísima precaución con ofertas de trabajo, enlaces, descargas relacionadas con cripto. Especialmente si involucran “pruebas técnicas” o “desarrollo Web3” y te piden instalar algo localmente.
Asegurarse de usar wallets seguras, evitar software desconocido, y mantener prácticas de seguridad robustas (autenticación, revisión del código que se instala, etc.).
Para proyectos o plataformas, prestar atención al hecho de que la blockchain puede estar participando en la infraestructura del ataque, lo cual requiere que evalúen seguridad más allá del contrato inteligente, también el client side, la interfaz de usuario, la forma de onboarding, etc.



$ETH