ZachXBT membongkar data internal dari pekerja TI Korea Utara hari ini, merinci aliran crypto senilai $3,5 juta sejak akhir 2025. Menurut ZachXBT, dataset ini berasal dari perangkat yang terkompromi dan mencakup 390 akun, log obrolan, dan catatan transaksi. Temuan ini mengungkap bagaimana pekerja menggunakan identitas palsu, keamanan yang lemah, dan sistem terkoordinasi untuk memproses sekitar $1 juta setiap bulan.
Menurut ZachXBT dalam sebuah utas X yang mendetail, sebuah sumber yang tidak disebutkan namanya menyediakan data yang diekstrak dari server pembayaran internal yang digunakan oleh pekerja TI DPRK Korea Utara. Dataset ini mencakup log obrolan dari IPMsg, daftar akun, dan riwayat peramban yang terkait dengan operasi penipuan. Pengguna mendiskusikan sebuah platform bernama luckyguys[.]site, yang dijelaskan sebagai pusat pengiriman uang.
Sistem berfungsi sebagai alat pesan dan saluran pelaporan. Pekerja mengirimkan penghasilan dan menerima instruksi melalui platform ini. Namun, keamanan yang lemah mengekspos sistem, karena beberapa akun menggunakan kata sandi default '123456' tanpa perubahan.
Rekaman pengguna mencantumkan nama Korea, kota, dan pengidentifikasi grup yang dikodekan. Selain itu, tiga entitas; Sobaeksu, Saenal, dan Songkwang, muncul dalam data. Perusahaan-perusahaan ini saat ini berada di bawah sanksi OFAC, mengaitkan jaringan dengan operasi yang telah diidentifikasi sebelumnya.
Pola Transaksi Mengungkap Aliran $3,5M.
Log transaksi menunjukkan pergerakan dana yang konsisten di seluruh jaringan. Menurut ZachXBT, pengguna mentransfer crypto dari bursa atau layanan sebelum mengonversinya menjadi fiat. Dalam banyak kasus, pekerja menggunakan rekening bank Cina dan platform seperti Payoneer untuk off-ramping.
Sebuah akun administratif yang diidentifikasi sebagai PC-1234 mengonfirmasi pembayaran dan mendistribusikan kredensial akun. Kredensial ini bervariasi antara bursa crypto dan platform fintech tergantung pada kebutuhan pengguna. Sejak November 2025, alamat dompet yang dilacak telah memproses lebih dari $3,5 juta.
Pelacakan blockchain mengaitkan beberapa alamat pembayaran dengan DPRK yang dikenal. Salah satu dompet Tron dibekukan oleh Tether pada Desember 2025. Tindakan ini menunjukkan intervensi terbatas oleh peserta industri sesuai dengan ZachXBT.
Identitas Palsu, Pelatihan, dan Koordinasi
Dataset juga menjelaskan bagaimana pekerja mengamankan pekerjaan jarak jauh menggunakan identitas palsu. Menurut ZachXBT, data perangkat yang dikompromikan mengungkapkan persona palsu, aplikasi kerja, dan aktivitas browser.
Pekerja bergantung pada alat seperti Astrill VPN untuk menyamarkan lokasi selama operasi ini. Investigasi baru ini muncul setelah ZachXBT memanggil Circle atas penundaan eksploitasi Drift Protocol senilai $285M. Dalam laporan baru ini, obrolan internal menunjukkan koordinasi di berbagai platform.
Admin membagikan 43 modul yang mencakup topik rekayasa balik, termasuk Hex-Rays dan IDA Pro. Sesi ini fokus pada disassembly, debugging, dan analisis malware, menunjukkan pengembangan teknis yang terus berlangsung di dalam jaringan.