No cabe duda que este 2022 ha sido un año realmente duro para el mercado de criptomonedas, con un criptoinvierno que se vio acrecentado por el colapso del ecosistema Luna (LUNA) y TerraUSD (TerraUSDT), y las crisis de las empresas prestamistas como BlockFi, Voyager y Celsius, así como también el colapso de FTX.
Pero una nueva amenaza ha convertido este 2022 en algo especial. Los ciberataques que han tomado por sorpresa a muchos inversores y a empresas del sector, ocasionando cuantiosas pérdidas de criptoactivos que han ido a parar a manos de estos grupos de piratas informáticos afiliados al régimen norcoreano.
🚨SlowMist Security Alert🚨
— SlowMist (@SlowMist_Team) December 24, 2022
North Korean APT group targeting NFT users with large-scale phishing campaign
This is just the tip of the iceberg. Our thread only covers a fraction of what we've discovered.
Let's dive in pic.twitter.com/DeHq1TTrrN
Y es que este fin de semana, SlowMist, una empresa blockchain de seguridad fundada en 2018, dedicada a proteger la Web3 del futuro, ha publicado una investigación en Medium, en la que se detalla un ciberataque a Gran Escala de suplantación de identidad a usuarios de NFT, perpetrado por ciberdelincuentes asociados a Corea del Norte.
De acuerdo con SlowMist, a inicios de septiembre, el equipo de seguridad de la empresa descubrió que algunos grupos de presuntas Amenazas Persistentes Avanzadas (APT, «por sus siglas en inglés») realizaron una campaña masiva de phishing.
Campaign activity began in April and is on-going.
— Phantom X (@PhantomXSec) September 4, 2022
The following domains have been registered in the past three days:
golddao[.]site
seveneyes[.]online
tapfantasy[.]in
genmarket[.]app
moonbirdvictorian[.]app
disneyprincessnft[.]com
Full list of domains at the end.
2/ pic.twitter.com/WxaciHy9hJ
En paralelo, el usuario de Twitter @PhantomXSec señaló que estos grupos APT afiliados a Corea del Norte fueron los responsables de una campaña de phishing dirigidos a decenas de proyectos cripto y NFT en los ecosistemas de Ethereum (ETH) y Solana (SOL).
La investigación de SlowMist, reveló que una de las técnicas utilizadas en este ataque de phishing implicaba la creación de NFT falsos, relacionados con sitios web maliciosos con NFT minteados, que luego fueron vendidos en plataformas como OpenSea, X2Y2 y Rarible.
Cuando se profundizó la investigación, se identificó que esta campaña de phishing dirigida a sitios y usuarios de NFT, ha sido realizada en una colaboración entre grupos de ciberpiratas de Corea del Norte y Europa del Este.
El equipo de SlowMist, señaló que esta campaña de phishing utilizó casi 500 nombres de dominio diferentes, y varios tipos de tokens como WETH (WETH), USD Coin (USDC), DAI (DAI), y Uniswap (UNI), etc., y además una plataforma DeFi administrada por piratas informáticos norcoreanos.
Asimismo, se detectó que al menos 372 sitios de estos sitios Web de phishing de NFT comparten la misma IP de host, mientras que otros 320 sitios de phishing compartían otra IP e incluso uno de los sitios pretendía ser un proyecto asociado con la Copa Mundial de Futbol.
La semana pasada, un reporte de Reuters informó que piratas informáticos de Corea del Norte han robado un estimado de unos 1,5 billones de wones surcoreanos (unos 1.200 millones de dólares) en criptomonedas y otros activos digitales en los últimos cinco años.
De ese total, más de la mitad unos 800.000 millones de wones surcoreanos (al cambio 626 millones de dólares) corresponden a ciberataques realizados este año, y al menos, 100 millones de wones surcoreanos (unos 78 millones de dólares) del total ha sido obtenido de ciberataques en Corea del Sur de acuerdo con un reporte del Servicio Nacional de Inteligencia surcoreano.
Por otro lado, la agencia de inteligencia surcoreana advirtió, que se espera que los ciberpiratas norcoreanos lleven a cabo más ciberataques en 2023, con la finalidad de robar tecnologías avanzadas surcoreanas e información confidencial sobre la política exterior y la seguridad nacional de ese país, lo cual puede también repercutir en un aumento de ciberataques a las criptomonedas.
Estos ciberpiratas que trabajan para el régimen de Corea del Norte, han convertido los ciberataques en una fuente de ingresos convertible en moneda extranjera para apoyar a la frágil economía de ese país.
Además, estos ingresos provenientes de los ciberataques, también son usados para financiar el programa nuclear norcoreano tras las duras sanciones impuestas en 2016 y 2017 por la ONU, sobre las exportaciones de ese país, tales como carbón, textiles y la pesca de mariscos.
Igualmente, la economía de Corea del Norte está resentida por los efectos negativos de la pandemia de COVID-19 que ha derivado en una crisis económica global, la cual ha afectado a varios de los socios comerciales tradicionales de ese país, como lo son China, Rusia e Irán.
Vale recordar que desde 2021, la mayoría de los ciberataques de más alto perfil han sido obra de grupos APT norcoreanos: Axie Infinity-Ronin (173.600 ETH y 25,5 millones de USDC), «el más reciente» a FTX (400 millones de dólares), Wormhole Bridge (320 millones de dólares), Nomad Bridge (190 millones de dólares), Beanstalk Farms (182 millones de dólares).
Pero la lista sigue, pues también están los ciberataques a: Wintermute (160 millones de dólares), Maiar (113 millones de dólares), BNB Chain (100 millones de dólares), Mango Markets (100 millones de dólares) y Horizon Bridge (también por 100 millones de dólares).
Si bien es cierto que algunos no fueron perpetrados por estos grupos, ahora se sabe que hay conexión entre ciberpiratas norcoreanos y de Europa del Este, lo que implica una conexión más globalizada del cibercrimen.
En vista de las perspectivas para 2023, se recomienda abordar con seriedad y de forma educativa así cómo preventiva, el tema de la seguridad en línea y con las criptomonedas, para evitar ser víctima de estos grupos APT relacionados con Corea del Norte.