Una investigación reciente de la unidad de inteligencia de amenazas Unit 42 de Palo Alto Networks ha sacado a la luz una sofisticada campaña de ciberataques que apunta directamente al ecosistema de las criptomonedas. El ataque ha sido atribuido al grupo norcoreano conocido como Slow Pisces, también identificado como Jade Sleet o TraderTraitor, un actor que ya ha estado involucrado en operaciones similares financiadas por el estado.

La táctica utilizada combina ingeniería social y explotación de herramientas legítimas. Los atacantes se hacen pasar por reclutadores que contactan a desarrolladores especializados en el sector cripto a través de LinkedIn. Tras generar confianza, les envían archivos PDF con supuestas ofertas laborales y retos técnicos. Estos documentos redirigen a repositorios en GitHub que aparentan ser proyectos legítimos, pero que contienen código malicioso.

Una vez ejecutado, el malware desplegado (como RN Loader y RN Stealer) es capaz de ejecutarse en memoria para evitar ser detectado. Utiliza técnicas avanzadas como deserialización YAML en Python o plantillas EJS en JavaScript, y permite el robo de credenciales, claves SSH, y configuraciones de servicios como AWS o Google Cloud.

De acuerdo con Palo Alto Networks, el grupo logró robar más de mil millones de dólares en 2023 mediante ataques similares, incluyendo aplicaciones de trading falsas y ataques a la cadena de suministro. El FBI lo ha vinculado con robos importantes, como el de 308 millones de dólares a una plataforma japonesa, y una reciente operación en Dubái con pérdidas que alcanzarían los 1.500 millones de dólares.

Tras la detección de la campaña, tanto GitHub como LinkedIn trabajaron en conjunto con las autoridades para eliminar los repositorios y perfiles utilizados, además de reforzar sus controles de seguridad.

Recomendaciones para el sector cripto:

• Evitar el uso de un mismo equipo para fines personales y laborales.

• Verificar y auditar cualquier repositorio externo antes de ejecutar código, especialmente en procesos de selección.

• Capacitar a los equipos de desarrollo en técnicas actuales de evasión y malware.

• Estar atentos a comportamientos anómalos en el tráfico de red, aunque provenga de fuentes aparentemente legítimas.

• Ser precavido ante cualquier contacto profesional que solicite ejecutar código local sin una validación previa.

Esta campaña confirma que el sector cripto sigue siendo uno de los blancos principales de los grupos APT patrocinados por estados. La combinación de ingeniería social con técnicas avanzadas de infección representa una amenaza real para empresas y profesionales del sector, que deben reforzar su postura de seguridad.