Los hackers BlueNoroff de Corea del Norte utilizaron llamadas falsas de Zoom y deepfakes de IA para vulnerar a una empresa cripto y comprometer a más de 100 ejecutivos Web3 en todo el mundo.
Puntos clave
- BlueNoroff se hizo pasar por un abogado fintech, envió una invitación de calendario manipulada y desvió al objetivo a una llamada falsa de Zoom.
- Un truco de portapapeles ClickFix ejecutó PowerShell sin archivos que capturó credenciales y datos de billeteras cripto en menos de cinco minutos.
- Metraje de cámara web robado alimentó deepfakes de IA que suplantaron a víctimas anteriores para atraer a la siguiente ronda de objetivos.
BlueNoroff secuestra llamadas de Zoom para vaciar billeteras
Investigadores de Arctic Wolf rastrearon la intrusión de meses de duración hasta BlueNoroff, un brazo financiero del Lazarus Group de Corea del Norte. La campaña golpeó a una empresa Web3 norteamericana el 23 de enero de 2026, y los operadores mantuvieron el acceso en silencio durante 66 días. Haciéndose pasar por un ejecutivo legal en una firma fintech, el atacante envió una invitación de Calendly para una llamada rutinaria de seguimiento programada para cinco meses después.
Tras la confirmación del objetivo, la reserva sustituyó su enlace de Google Meet por una dirección de Zoom con typo-squatting que se veía casi idéntica a la real. La telemetría mostró posteriormente a la víctima haciendo clic en el enlace malicioso tres veces en cuatro minutos, convencida de que el software simplemente fallaba.
También lee: Bitcoin cae por debajo de 59.000 $ mientras regresan los temores por las tasas de la Fed al cripto
El mensaje de ClickFix planta PowerShell sin archivos
Dentro de la reunión falsa, una ventana emergente afirmaba que era necesaria una actualización del SDK de Zoom y ofrecía una solución rápida, una artimaña conocida como ClickFix. Cuando la víctima copió los comandos proporcionados, la página reescribió silenciosamente el portapapeles e inyectó una carga útil oculta de PowerShell. Ese único pegado dio al atacante un punto de apoyo sin que ningún archivo tocara el disco.
El implante luego se comunicó con un servidor remoto, recopilando inicios de sesión del navegador y datos de billeteras cripto, y robó sesiones activas de Telegram que después se reutilizaron para acercarse a nuevos objetivos desde cuentas de confianza. Desde el primer clic hasta el compromiso total del sistema, toda la cadena se ejecutó en menos de cinco minutos, un compromiso inusualmente rápido.
Deepfakes reciclan víctimas para atrapar nuevos objetivos
Las llamadas falsas resultaban convincentes porque cada recuadro de participante mostraba metraje de cámara web robado, fotos de cabeza generadas por IA o video compuesto deepfake, extraídos de una biblioteca de más de 100 víctimas previas en 20 países. Los investigadores vincularon los rostros sintéticos al modelo GPT-4o de OpenAI y rastrearon la edición hasta un operador que dejó el nombre de usuario de macOS «king» en los metadatos. Cada rostro robado alimentaba el siguiente señuelo, de modo que cada brecha hacía que el siguiente ataque fuera más difícil de detectar.
Estados Unidos representó el 41 % de los identificados, con Singapur y el Reino Unido en los siguientes lugares. Cerca del 80 % trabajaba en cripto, finanzas blockchain o roles de inversión relacionados, y los fundadores o directores ejecutivos constituían casi la mitad.
BlueNoroff no es un recién llegado en este negocio. El grupo apareció durante el atraco al Banco de Bangladesh en 2016, cuando movió 81 millones de dólares, y luego se orientó hacia las criptomonedas mediante su operación de larga duración SnatchCrypto. Esta campaña muestra que ahora el mismo manual funciona con IA, elevando el listón para cada equipo cripto que intenta defenderse.
Lee a continuación: AAVE supera a Bitcoin mientras regresa la narrativa de préstamos DeFi