Hackers de Corea del Norte robaron millones de dólares en criptomonedas. Su trabajo fue impecable

Un actor de amenaza norcoreano conocido como UNC4899 es sospechoso de llevar a cabo una campaña de compromiso en la nube que tuvo como objetivo una organización de criptomonedas en 2025, con el fin de robar millones de dólares. Esta actividad, atribuida con moderada confianza a un adversario patrocinado por el estado, también es rastreada bajo los criptónimos Jade Sleet, PUKCHONG, Slow Pisces y TraderTraitor.

Ocean’s 14

Según el informe Cloud Threat Horizons Report de Google, este incidente destaca por su compleja combinación de ingeniería social y explotación de mecanismos de transferencia de datos entre dispositivos personales y corporativos. Los atacantes engañaron a un desarrollador para que descargara un archivo malicioso en el contexto de una supuesta colaboración de código abierto, lo que luego permitió el acceso no autorizado a su máquina corporativa y, posteriormente, a la infraestructura en la nube.

Una vez dentro del entorno de la nube, los atacantes abusaron de flujos de trabajo legítimos de DevOps para robar credenciales y manipular bases de datos de Cloud SQL, facilitando así el robo de criptomonedas. A través de modificaciones en las configuraciones de Kubernetes y la ejecución de comandos maliciosos, los atacantes lograron establecer una presencia persistente en el entorno, empleando técnicas conocidas como “living-off-the-cloud” (LoTC).

Este incidente pone de manifiesto los riesgos críticos asociados con los métodos de transferencia de datos entre dispositivos personales y corporativos, así como la manipulación no asegurada de secretos en un entorno de nube. Como respuesta, se recomienda a las organizaciones implementar una estrategia de defensa en profundidad que incluya la validación rigurosa de identidad, la restricción en la transferencia de datos y el aislamiento dentro de los entornos de ejecución en la nube para mitigar los daños en caso de un evento de intrusión.

Los expertos advierten sobre la importancia de adoptar políticas que desincentiven el uso de dispositivos externos y conexiones no seguras, como el intercambio de archivos a través de AirDrop o Bluetooth, para proteger la infraestructura crítica de las organizaciones ante amenazas cada vez más sofisticadas.