Викриття про проникнення північнокорейських ІТ-хакерів у шифрувальні проекти! ZachXBT розкрив: команда з 5 осіб підробила 30+ ідентифікацій, збитки від вразливості в 680000 доларів можуть бути їхньою справою.

ZachXBT, відомий ончейн-детектив, опублікував звіт про розслідування блокбастера, в якому йдеться про те, що (DPRK)IT людей у Корейській Народно-Демократичній Республіці глибоко проникли в криптовалютну індустрію шляхом систематичного шахрайства з особистими даними. Команда з 5 хакерів використовувала підроблені облікові дані для покупки преміум-акаунтів Upwork/LinkedIn, подала заявку на посади розробника під фальшивими іменами та отримала конфіденційні дозволи на проєкт. Анонімне джерело успішно зламало його пристрій, розкривши подробиці його роботи та пов'язаного з ним гаманця, який був безпосередньо пов'язаний з атакою вразливостей на протокол Favrr на суму $680 000 у червні 2025 року. Звіт розкриває його величезну модель роботи «фабрики віртуальної ідентифікації» та посилання на капітал, що б'є на сполох для безпеки криптопроектів.

【Глибоке проникнення: повна експозиція роботи фабрики підроблених ідентифікацій】

• Фальшиві ідентичності в мережі: Ця команда з Північної Кореї створила понад 30 фальшивих ідентичностей (наприклад, "Генрі Чжан"), використовуючи підроблені урядові ID для придбання сертифікованих акаунтів на професійних платформах (Upwork, LinkedIn), успішно проникнувши в кілька команд розробників криптоактивів.
• Повний набір інструментів: Втрачені фінансові звіти показують, що їх систематичні інструменти для скоєння злочинів: американський соціальний номер (SSN), акаунти з високою репутацією для пошуку роботи, номери телефонів, підписка на AI-сервіси, оренда хмарних комп'ютерів, висококласні VPN/мережі проксі (для маскування геолокації).
• Розкриття деталей операції: Анонімне джерело вторглося в його пристрій для отримання ключових даних, таких як Google Drive, профілі Chrome тощо. Команда використовує AnyDesk для віддаленого управління в поєднанні з VPN, точно імітуючи геолокацію; у внутрішньому чаті Telegram обговорюються розміщення на посадах, виплата заробітної плати (отримання через гаманець ERC-20).
• Чітка мета: Документ містить графік зустрічей для конкретного шифрувального проекту та детальний сценарій підтримки фальшивої ідентифікації, спрямований на отримання кодового репозиторію проекту (GitHub) та доступу до внутрішніх систем.

【Ключові докази: у блокчейні Адреса вказує на атаку на 680,000 доларів】

• Гаманець пов'язаний: Команда слідкування ZachXBT зазвичай використовує адреси ERC-20 (0x78e1...), виявивши, що вони безпосередньо пов'язані з вразливістю на 680,000 доларів, зазнаною протоколом Favrr у червні 2025 року.
• ідентифікація підтверджена: Цей напад було приписано CTO проекту та частині розробників — наразі підтверджено, що ці "технічні кадри" насправді є IT-спеціалістами з Північної Кореї, які використовують фальшиві особи.
• Галузеві потрясіння: Це відкриття спонукало кілька проектів криптоактивів терміново провести самоперевірку, деякі проекти підтвердили, що в їхні команди розробників або в керівні структури втрутилися операційники з Північної Кореї.

【Джерело підтвердження: цифровий слід фіксує північнокорейський контекст】 Хоча спільнота сумнівається в походженні осіб, ZachXBT надав залізні докази:

1. Мовні сліди: Історія браузера показує велику кількість записів перекладу з корейської на англійську в Google.
2. Фізичне місцезнаходження: Всі дії виконуються через російську IP-адресу, що відповідає типовій схемі роботи IT-персоналу Північної Кореї за кордоном.
3. Документи шахрайства: Велика кількість підроблених урядових ID та професійних сертифікатів.

【Реакція галузі: Виклики безпеки та захисту】

• **Вакансії вразливі: ** Спільнота критикує деякі проєкти за відсутність перевірки кандидатів (Background Check), а також за оборонну реакцію на отримані попередження про безпеку. Засновник крипто-рекрутингового агентства Plexus Шон Поттс зазначив: "Це вроджений операційний ризик галузі, як атаки хакерів, які не можна повністю викорінити, але ризик можна зменшити."
• Підвищення загроз безпеці: Інцидент виявив величезні ризики в управлінні доступом до коду криптоактивів, багато команд можуть не знати, хто насправді взаємодіє з їхньою основною кодовою базою.
• Рівень успішного розпізнавання варіюється: деякі платформи (наприклад, біржа Kraken у травні 2025 року) успішно розпізнали та перехопили північнокорейських маскувальних шукачів роботи, але більше проєктів стали жертвами таких APT (просунуті постійні загрози) атак.

【Пов'язана справа: "Віддалена робота" північнокорейських хакерів】

• Шахрайство з працевлаштування: У січні 2025 року подібний метод використовувався для смс-шахрайства проти мешканців Нью-Йорка, де в якості приманки використовувалася "допомога в дистанційній роботі", щоб спонукати жертв внести USDT/USDC, викравши криптоактиви на загальну суму 2,2 мільйона доларів.
• Збір коштів: У червні 2025 року американські влади вилучили понад 770 тисяч доларів США Криптоактиви, звинувативши їх у тому, що це доходи північнокорейських IT-спеціалістів, які маскуються під фрілансерів, які в кінцевому підсумку надходять до уряду Північної Кореї.

【Висновок: сигнали тривоги безпеки шифрування у війні віртуальної ідентифікації】 Звіт розслідування ZachXBT розкрив тріщину, через яку державна хакерська організація Північної Кореї проникає в індустрію криптовалют. Їхня складна "віртуальна ідентифікаційна фабрика" та зріла схема шахрайства з працевлаштуванням вже не є індивідуальними діями, а є систематичним атака на постачальницький ланцюг (Supply Chain Attack). Підключені гаманці вказують на серйозні уразливості, що підтверджує, що їхня мета полягає не лише в крадіжці зарплат, а й у можливості розпочати більш масштабні хакерські дії. Ця подія б'є на сполох по всіх проектах криптовалют, підкреслюючи необхідність найвищого рівня безпеки:

1. Посилення ідентифікації: Необхідно впровадити сувору багаторівневу ідентифікацію та перевірку фону, особливо для віддалених технічних посад.
2. Мінімізація прав: Строгий контроль доступу до кодової бази та ключових систем, регулярні аудити.
3. Підвищення обізнаності про загрози: Галузь повинна ділитися інформацією про загрози, підвищуючи здатність до ідентифікації хакерських організацій у геополітичному контексті.
4. Регуляторна співпраця: Для реагування на такі національні загрози необхідно посилити міжнародну правоохоронну співпрацю та перервати фінансові ланцюги.

Коли код є багатством, хто пише твій код? Це стало основним питанням, що визначає життя та смерть крипто-проектів.