Empresas do setor de criptomoedas enfrentam um risco que pode começar em uma entrevista de emprego comum. Profissionais de TI ligados à Coreia do Norte podem passar pela seleção, entregar código útil e conquistar a confiança das equipes. Depois, esses trabalhadores podem abusar dos acessos recebidos.

Alertas do FBI e investigações dos Estados Unidos descrevem redes que fornecem identidades falsas, participantes para entrevistas e dispositivos locais. Em junho de 2025, promotores dos EUA acusaram quatro norte-coreanos de participar desse tipo de esquema. Conforme a acusação, os suspeitos roubaram mais de US$ 900 mil após obter acesso a projetos com recursos digitais.

Identidade e operação podem envolver pessoas diferentes

Um alerta do FBI de 13 de outubro descreve facilitadores que ajudam trabalhadores norte-coreanos a disputar vagas remotas. Essas pessoas podem fornecer documentos, hospedar equipamentos ou participar de entrevistas e reuniões. Com isso, o nome no currículo, a pessoa na câmera e o operador do computador podem não coincidir.

Isoladamente, cada elemento pode parecer legítimo para o recrutador. O candidato responde às perguntas técnicas, enquanto o endereço de entrega fica no país esperado. Por isso, a empresa precisa confirmar se identidade, dispositivo e operador permanecem vinculados durante toda a relação profissional.

O FBI também identificou o uso de programas e equipamentos externos para acesso remoto. Nesse cenário, um laptop corporativo permanece em uma residência local, mas alguém de outro país controla o dispositivo. Portanto, a localização física do equipamento não confirma a identidade do operador.

O esquema não exige que o trabalhador apresente desempenho ruim. Ao contrário, entregas úteis geram salários e aumentam a confiança da equipe. Como resultado, a empresa pode ampliar permissões justamente porque o profissional demonstrou competência.

Acusação aponta furto após ganho de confiança

Promotores afirmam que empresas contrataram dois desenvolvedores em 2020 e 2021. Uma delas atuava com pesquisa blockchain em Atlanta, enquanto a outra era uma companhia sérvia de tokens. De acordo com a acusação, os empregadores desconheciam as identidades reais dos contratados.

Os supostos furtos ocorreram em 2022, após os trabalhadores obterem acesso por meio do emprego e dos projetos. Uma das acusações envolve alterações no código-fonte de dois contratos inteligentes. No entanto, os acusados ainda responderão às alegações na Justiça.

O processo também relata que uma recomendação interna levou a empresa sérvia a contratar outra pessoa sob pseudônimo. Dessa maneira, relações construídas dentro da companhia podem abrir caminho para candidatos ligados à mesma rede. O caso evidencia a necessidade de separar permissões de desenvolvimento, aprovação, implantação e movimentação de recursos.

Um desenvolvedor não precisa controlar diretamente uma carteira para influenciar o destino dos fundos. Em certas condições, basta alterar a lógica que a organização encaminhará ao ambiente de produção. Logo, a confiança pessoal no autor não deve substituir revisões técnicas independentes.

Kraken detectou tentativa durante recrutamento

A Kraken detectou uma tentativa de recrutamento ligada a uma operação norte-coreana antes de contratar o candidato. Parceiros do setor já haviam alertado a exchange sobre perfis suspeitos. Em seguida, a empresa encontrou inconsistências e ampliou a investigação para além da entrevista técnica.

Um bom desempenho em programação demonstra que alguém consegue executar determinada tarefa. Contudo, o teste não confirma quem controla a conexão ou operará o equipamento após a contratação. O FBI recomenda avaliações em camadas, pois um único indício também pode atingir candidatos legítimos ou vítimas de roubo de identidade.

Salários, dados e acessos ampliam a exposição

A operação pode buscar apenas salários pagos sob uma identidade falsa, sem retirar recursos de carteiras corporativas. Mesmo assim, o empregador enfrenta riscos relacionados a fraude e sanções. Em junho de 2025, o Departamento de Justiça apresentou uma ação de confisco envolvendo mais de US$ 7,74 milhões.

O governo descreveu rendimentos de empregos convertidos e movimentados por meio de criptomoedas. Essa origem difere dos valores retirados de tesourarias corporativas, embora ambas as rotas possam financiar campanhas estatais. Assim, contratos, faturas e registros de pagamentos ajudam a distinguir salários, transferências desviadas e produtos de furto.

A saída do funcionário também não encerra automaticamente o incidente. Tokens de hospedagem de código, credenciais de nuvem, contas de fornecedores e serviços implantados podem continuar ativos. Por esse motivo, a organização deve verificar quais informações o profissional copiou antes do desligamento.

Acesso técnico pode alcançar sistemas financeiros

Uma conta de desenvolvedor pode começar com acesso a um repositório. Mais tarde, ela pode receber permissões de nuvem, implantação ou serviços de pagamento. Além do mais, configurações e credenciais armazenadas de forma inadequada podem expor outros sistemas.

Até permissões de leitura podem revelar como uma aplicação movimenta valores. O relatório Cloud Threat Horizons do primeiro semestre de 2026, do Google, descreveu uma invasão separada ligada à Coreia do Norte. O ataque alcançou sistemas de nuvem e a lógica financeira de uma organização do setor.

Embora o vetor fosse diferente, o caso destaca a importância dos ambientes de implantação e contabilidade. Uma política de assinatura em hardware protege uma etapa do processo. Entretanto, um aplicativo comprometido ainda pode encaminhar uma solicitação de pagamento enganosa.

As revisões de código devem considerar qual função comercial cada alteração controla. Uma pequena mudança em endereços, permissões ou condições de saque pode definir o destino dos recursos. Desse modo, controles de revisão, aprovação e implantação precisam funcionar de maneira independente.

Monitoramento deve integrar diferentes áreas

Recursos humanos acompanha documentos e histórico profissional, enquanto a área financeira observa faturas e dados de pagamento. A equipe de TI monitora dispositivos e conexões remotas. Paralelamente, os gestores avaliam desempenho e pedidos por mais autoridade.

Cada sinal pode parecer normal quando analisado separadamente. Quando as áreas compartilham informações, porém, esses elementos podem formar um padrão relevante. O FBI recomenda essa análise integrada e desaconselha conclusões baseadas apenas em nacionalidade, sotaque ou comportamento isolado.

A ameaça envolve o uso de identidade falsa, a ocultação do operador e o abuso de acesso. Essa cautela também protege pessoas que tiveram documentos roubados e utilizados em candidaturas fraudulentas. Ao mesmo tempo, evita que empresas adotem critérios discriminatórios durante o recrutamento.

Um relatório do Google de abril de 2025 apontou a expansão desses trabalhadores para a Europa. O documento também registrou mais casos de extorsão envolvendo dados de antigos empregadores. Afinal, informações corporativas e código-fonte mantêm valor mesmo após a revogação das contas.

O risco também alcança prestadoras que alocam o mesmo desenvolvedor em vários clientes. Credenciais compartilhadas, ambientes comuns e um único dispositivo podem ampliar a exposição entre projetos. Em síntese, o controle precisa conectar pessoa autorizada, dispositivo, credenciais, trabalho executado e rota de pagamento.

Principais sinais para acompanhar

• Registros de emprego: avaliar conjuntamente mudanças de identidade, dados de pagamento e participantes de interações profissionais.
• Expansão de permissões: acompanhar acessos a repositórios, implantação, nuvem e sistemas de pagamento.
• Infraestrutura compartilhada: verificar se um dispositivo local funciona como ponte para operações remotas.
• Desligamento: revisar credenciais, alterações implantadas e possíveis cópias de dados após o bloqueio da conta principal.
• Processos judiciais: distinguir acusações, pedidos de confisco, ordens judiciais e valores efetivamente recuperados.

	Receba nossas últimas notícias em primeira mão.   Adicione-nos como sua fonte preferida no Google    e toque em “Favorito” para priorizar nossas atualizações.