Los hackers norcoreanos se han armado con IA local para atacar a la industria de las criptomonedas.
El análisis de nuevos datos muestra que el grupo norcoreano Kimsuky, conocido por sus ciberoperaciones contra el sector financiero, ha alcanzado un nivel cualitativamente nuevo de preparación tecnológica. En lugar de los esquemas tradicionales de phishing, los hackers ahora integran activamente modelos de lenguaje grandes (LLM) locales en sus cadenas de ataque, dirigidas a intercambios de criptomonedas y empresas fintech.
Durante la investigación técnica de la infraestructura del grupo, se descubrieron entornos de IA aislados basados en plataformas de código abierto: Ollama, GPT4All y Msty. La característica clave de estas herramientas es su total autonomía: funcionan sin conexión, sin recurrir a servidores en la nube, lo que hace que el tráfico sea invisible para los sistemas de monitoreo tradicionales. De particular interés es el uso del método Retrieval-Augmented Generation (RAG), que permite a los hackers procesar bases de datos robadas y documentos internos de empresas sin riesgo de fuga hacia la nube pública.
La IA como arma: desde la inteligencia hasta la generación de código malicioso
Además de los propios LLM, en el arsenal de Kimsuky se han encontrado bibliotecas para integrar redes neuronales en su propio software, así como herramientas especializadas de desarrollador — en particular, el asistente de IA Cursor y sistemas de reconocimiento de voz. Esto indica que el grupo no solo experimenta con la tecnología, sino que la utiliza activamente para automatizar todo el ciclo de ataque: desde el análisis de vulnerabilidades hasta la generación de correos de phishing y scripts maliciosos.
Es notable que Kimsuky apuesta por modelos de código abierto ya preparados, en lugar de entrenar los suyos propios. Este enfoque reduce drásticamente la barrera de entrada y acelera la adaptación a nuevos métodos de defensa. Ya se ha observado que los documentos de phishing generados por IA imitan materiales legítimos de plataformas de inversión coreanas — con lenguaje natural y diseño profesional, lo que prácticamente elimina su detección a nivel de empleado común.
Escalada de amenazas y respuesta de la industria
Esta actividad se desarrolla en medio de la presión legal sobre Pionyang. Recordemos que en agosto, el intercambio de criptomonedas Bybit presentó una demanda civil contra Corea del Norte y el grupo Lazarus Group, que opera en conjunto con Kimsuky. Sin embargo, según los datos actuales, los hackers norcoreanos no tienen intención de cesar sus operaciones, sino que solo fortalecen su base tecnológica.
Mi comentario: El uso de LLM locales es una señal alarmante para toda la industria. Anteriormente, las amenazas de IA se consideraban prerrogativa de estados con infraestructura de TI desarrollada, pero ahora cualquier colectivo suficientemente motivado puede armarse con modelos autónomos. Las empresas de criptomonedas deberían revisar sus protocolos de seguridad, enfocándose no solo en el análisis del tráfico de red, sino también en las anomalías de comportamiento dentro de los propios sistemas, donde las herramientas de IA pueden operar de manera imperceptible.