著者: サム・ケスラー、Coindesk
編集者: ジョイ、PANews
記事の要点:
CoinDeskは、Injective、ZeroLend、Fantom、Sushi、 Yearn Finance、Cosmos Hubなどの注目を集めるブロックチェーンプロジェクトを含む、十数社の仮想通貨企業が知らずに北朝鮮からIT労働者を雇用していたことを発見した。
これらの従業員は偽の ID を使用し、面接に合格し、資格検査に合格し、本物の職務経験を提供しました。
北朝鮮に制裁を課している米国やその他の国では、北朝鮮労働者の雇用は違法である。これはセキュリティ上のリスクももたらしており、コインデスクは北朝鮮のIT労働者を雇用した複数の企業がハッキングされたことを発見した。
著名なブロックチェーン開発者のザキ・マニアン氏は、「誰もがこうした人々を排除しようとしている」と述べ、コスモス・ハブ・ブロックチェーンの開発を支援するために、2021年に誤って北朝鮮のIT労働者2人を雇用したと述べた。
暗号通貨会社トゥルフレーションは、創業者のステファン・ルスト氏が知らずに同社初の北朝鮮人従業員を雇用した2023年時点ではまだ初期段階にあった。
「私たちは常に優れた開発者を探しています」とラスト氏はスイスの自宅から語った。突然、「この開発者が私たちに会いました」。
「龍平」は日本で働いていると主張して、テレグラムで履歴書を送った。彼が採用されて間もなく、奇妙な矛盾が表面化し始めた。
ある時点で、「その男と電話で話したら、地震が起きたと言っていました」とラストさんは思い出した。しかし、日本では最近地震は発生していません。その後、その従業員は電話に出られなくなるようになり、現れたときは「彼ではなかった」とラスト氏は語った。それが誰だったとしても、彼らの日本語なまりは消えていた。
ラストはすぐに、「龍平」と他の 4 人の従業員、つまりチームの 3 分の 1 以上が北朝鮮人であることを知りました。ラスト社は従業員に海外での遠隔地での仕事を提供し、収益を北朝鮮に送金するという北朝鮮による組織的な陰謀に、知らず知らずのうちに巻き込まれてしまった。
米国当局は最近、北朝鮮のIT労働者が仮想通貨雇用主を含むテクノロジー企業に潜入し、その収益を同国の核兵器開発計画の資金に充てているとの警告を強めている。 2024年の国連報告書によると、これらのIT労働者は北朝鮮の年間最大6億ドルの収入を得ている。
労働者を雇用して賃金を支払うことは、たとえ意図的でなかったとしても、国連制裁に違反しており、米国や他の多くの国では違法です。北朝鮮のハッカーは企業を攻撃するために従業員を秘密裏に雇用することが知られているため、これは重大な安全保障上のリスクも引き起こす。
CoinDeskの調査では、北朝鮮の求職者が仮想通貨企業を狙う動機と頻度が明らかになり、面接に合格し、身元調査に合格し、さらにはオープンソースソフトウェアリポジトリGitHub上でのコード貢献の印象的な履歴も証明している。
CoinDeskは十数社の仮想通貨企業と話をしたが、彼らは北朝鮮からIT労働者を不用意に雇用したと主張している。
創設者、ブロックチェーン研究者、業界専門家へのこれらのインタビューは、暗号通貨業界では北朝鮮のIT労働者がこれまで考えられていたよりもはるかに一般的であることを示唆している。この記事のためにインタビューしたほぼすべての採用担当者は、北朝鮮の開発者と疑われる人物を面接したり、知らないうちに採用したり、そうした人物を知っていたことを認めた。
著名なブロックチェーン開発者であるザキ・マニアン氏は、「暗号業界全体では、北朝鮮からの履歴書、求職者、貢献者の割合が50％を超える可能性がある」と述べ、2021年に誤って北朝鮮のIT人材2名を雇用したと述べた。 Cosmos Hub ブロックチェーンの開発を支援する従業員。 「誰もがこうした人々を排除しようとしている。」
CoinDeskによって特定された北朝鮮の無意識の雇用主の中には、Cosmos Hub、Injective、ZeroLend、Fantom、Sushi、Yearn Financeなどのいくつかの有名なブロックチェーンプロジェクトが含まれています。 「すべては舞台裏で起こっています」とマニアン氏は言う。
この調査は、企業が意図せずに北朝鮮のIT人材を雇用したことを公的に認めた初めてのことである。
多くの場合、北朝鮮の労働者は正規の従業員と同じように働いているため、ある意味、雇用主は支払った対価を得ることができる。しかし、コインデスクは、これらの従業員が北朝鮮政府に関連するブロックチェーンアドレスに給与を送金したという証拠を発見した。
CoinDeskの調査では、北朝鮮のITスタッフを雇用した仮想通貨プロジェクトが後にハッキングされた複数の事例も明らかになった。これらのケースの中には、会社の給与明細に記載されている北朝鮮の疑いのある IT 従業員が盗難に直接関係している可能性があるものもあります。これは、2021年にハッキングで300万ドルを失った有名なDeFiプロトコルであるSushiの場合にも当てはまりました。
米国財務省外国資産管理局（OFAC）と司法省は、2022年に米国の仮想通貨業界に侵入しようとする北朝鮮の試みを公表し始めた。 CoinDeskは、北朝鮮のIT労働者がそのずっと前、少なくとも2018年には偽りの身分で仮想通貨企業で働き始めたという証拠を発見した。
「多くの人が、これは突然起こったことだと誤解していると思います」とマニアン氏は語った。 「これらの人々は、2016 年、2017 年、2018 年に遡って GitHub アカウントなどを持っていました。」 (Microsoft が所有する GitHub は、コードをホストし、開発者が共同作業できるようにするために多くのソフトウェア組織が使用しているオンライン プラットフォームです)。
CoinDeskは、ブロックチェーンの支払い記録、公開されているGitHubコードの寄稿、米国政府関係者からの電子メール、標的となった企業への直接面接など、北朝鮮のIT労働者と企業を結びつけるためにさまざまな方法を使用した。 CoinDeskが調査した北朝鮮最大の決済ネットワークの1つは、8月に北朝鮮の疑いのある開発者のリストを公表したブロックチェーン調査員ZachXBTによって発見された。
以前は、雇用主は望ましくない宣伝や法的影響を恐れて沈黙を保っていました。現在、コインデスクによって発掘された大量の支払い記録やその他の証拠に直面して、彼らの多くは初めて名乗り出て自らの話を共有することを決意し、北朝鮮による仮想通貨業界への浸透の並外れた成功と規模を暴露している。
偽造文書
表向きは日本人従業員だった龍平を雇用した後、Rust の Truflation には新規応募が殺到しました。わずか数カ月のうちに、Rust はモントリオール、バンクーバー、ヒューストン、シンガポールに拠点を置くと主張するさらに 4 人の北朝鮮開発者を無意識のうちに雇用しました。
暗号通貨業界は、北朝鮮のIT労働者による破壊に対して特に脆弱だ。暗号通貨業界の労働力は非常にグローバルであり、暗号通貨企業は他の企業よりも完全にリモートの (または匿名の) 開発者を積極的に雇用する傾向があります。
CoinDeskは、TelegramやDiscordなどのメッセージングプラットフォーム、Crypto Jobs Listなどの仮想通貨に特化した求人サイト、Indeedなどの求人サイトなど、さまざまなソースから仮想通貨企業が受け取った北朝鮮の求人応募を調査した。
「彼らが雇用される可能性が最も高いのは、Discordから雇用する意欲のある本当に新鮮で新進気鋭のチームです」と、仮想通貨ウォレットアプリMetaMaskのプロダクトマネージャーであり、北朝鮮に関連するセキュリティ研究を頻繁に発表しているTaylor Monahan氏は述べた。韓国の暗号通貨活動。 「彼らには身元調査を経た人材を雇用するためのプロセスが整備されていない。多くの場合、彼らは喜んで暗号通貨で支払いをする。」
ラスト氏は、Truflationの新入社員全員の身元調査を行っていると述べた。 「彼らは私たちにパスポートと身分証明書を送り、GitHub リポジトリを渡し、それをテストして、基本的に私たちは彼らを雇用しました。」
身元証明としてテキサス州の運転免許証を仮想通貨会社トゥルフレーションに提出した申請者は、現在、北朝鮮国民である疑いがある。北朝鮮のIT従業員が盗まれたIDを使用したため、コインデスクは一部の詳細を差し控えている。 (画像提供: Stefan Rust)
素人目には、偽造書類のほとんどは本物のパスポートやビザと区別がつかないが、専門家らはコインデスクに対し、専門的な身元調査サービスによって偽造書類が見つかる可能性が高いと語った。
ZachXBTによって特定された北朝鮮のIT従業員と思われる人物の1人である「村野直樹」は、一見本物と思われる日本のパスポートを同社に提供した。 (写真提供：テイラー・モナハン)
新興企業がプロの経歴調査員を利用する可能性は低いが、「実際の従業員か、少なくとも請負業者として、大企業で北朝鮮のIT人材を見かけることはある」とモナハン氏は語った。
目に見えないところに隠された
多くのケースで、コインデスクは北朝鮮企業のIT従業員が公開されているブロックチェーンデータを使用していることを発見した。
2021 年、ブロックチェーン開発者マニアンの会社 Iqlusion は助けを必要としていました。彼は、人気のある Cosmos Hub ブロックチェーンをアップグレードするプロジェクトを手伝ってくれるフリーランスのプログラマーを探していました。彼は 2 人の新入社員を見つけましたが、彼らは良い仕事をしていました。
マニアンはフリーランサーの「ジュン・カイ」と「サラウット・サニット」に直接会ったことがない。彼らは以前、密接な関係にあるブロックチェーンネットワークTHORChainが資金提供するオープンソースソフトウェアプロジェクトで協力しており、シンガポールにいるとマニアンに話した。
「1年間、ほぼ毎日彼らと話しました」とマニアンさんは語った。 「彼らは仕事をやり遂げてくれました。率直に言って、とても満足しています。」
フリーランサーたちが仕事を終えてから2年後、マニアン氏は、Iqlusionから送られ、北朝鮮の仮想通貨ウォレットアドレスと思われるアドレスに送られたと思われるトークン送金を調査していたFBI捜査官からメールを受け取った。問題の送金はIqlusionからKaiとSanitへの支払いであることが判明した。
左: FBI 捜査官 (名前は編集済み) は、ザキ マニアンに、彼の会社 Iqlusion からの 2 つのブロックチェーン支払いに関する情報を求めました。右: Manian はエージェントに、取引は Iqlusion と複数の請負業者の間で行われたものであると伝えました。
FBIはマニアン氏に対し、彼が契約した開発者が北朝鮮のエージェントであることを確認しなかったが、カイ氏とサニット氏のブロックチェーンアドレスをコインデスクが調査したところ、2021年から2022年にかけて彼らがOFACの制裁対象者リストに載っているキム・サンマン氏とキム・サンマン氏の2名に収益を送金していたことが明らかになった。シム・ヒョンソプさん。
OFACによると、シム氏は北朝鮮の光村銀行の代表者で、「北朝鮮の大量破壊兵器と弾道ミサイル計画への資金提供」を目的にIT労働者の資金洗浄を行っていたという。サラウットは収益のすべてをSimおよび他のSimにリンクされたブロックチェーンウォレットに注ぎ込んでいるようだ。
2022年4月から12月までのブロックチェーン記録によると、「サラウット・サニット」氏は給与の全額をOFAC承認の北朝鮮工作員シム・ヒョンソプ氏のウォレットに送金していたことが判明した。 (Ethereum ウォレットの選択は CoinDesk によって追跡されます。資産価格は Arkham によって推定されます。)
同時に、カイはキムに直接800万ドル近くを送金した。 2023年のOFAC勧告報告書によると、キム氏は北朝鮮が運営するチニョン情報技術協力会社の代表者であり、同社は「管理する企業とその代表者を通じて、ロシアとラオスで働く北朝鮮のIT労働者の代表団を雇用していた」という。
2021年を通じて、「ジュン・カイ」はキム・サンマンに関連するOFAC制裁リストにあるブロックチェーンアドレスに770万ドル相当の仮想通貨を直接送金した。 (Ethereum ウォレットの選択は CoinDesk によって追跡されます。資産価格は Arkham によって推定されます。)
Iqlusion氏のKai氏への給与は、Kim氏に与えた約800万ドルのうち5万ドル未満で、残りの一部は他の仮想通貨企業から支払われていた。
たとえば、CoinDeskは、広く使用されているFantomブロックチェーンを開発するFantom財団が「Jun Kai」と北朝鮮と関係のある別の開発者に報酬を支払ったことを発見した。
Fantom財団の広報担当者はCoinDeskに対し、「Fantomは2021年に外部の2人の人物が北朝鮮に関与していたことを確認した。しかし、関与した開発者は決して完了せず、展開もされなかった外部プロジェクトに関与していた」と語った。
Fantom財団によると、「関与した従業員2名は解雇された。彼らは悪意のあるコードを投稿したり、Fantomのコードベースにアクセスしたりしたことはなく、Fantomユーザーは影響を受けていない」と広報担当者は北朝鮮の従業員がFantomのサーバーを攻撃しようとしたと述べた。しかし、必要なアクセス権がないために失敗しました。
OpenSanctionsデータベースによると、金氏の北朝鮮関連のブロックチェーンアドレスは、IqlusionとFantomの支払いから2年以上経った2023年5月まで政府によって公開されなかった。
余裕を与える
米国と国連はそれぞれ2016年と2017年に北朝鮮のIT労働者の雇用に対して制裁を課した。
知ってか知らずか、米国にいる北朝鮮労働者に賃金を支払うことは違法であり、これは「無過失責任」として知られる法的概念である。
企業の所在地も関係ありません。北朝鮮に制裁を課している国で事業を行う企業にとって、北朝鮮労働者の雇用には法的リスクが伴います。
しかし、米国や他の国連加盟国は、北朝鮮のIT労働者を雇用する仮想通貨企業をまだ訴追していない。
米財務省は米国に本拠を置くイクルシオン社に対する調査を開始したが、マニアン氏は調査は何の罰則もなく終了したと述べた。
米国当局はこれらの企業を告発することに寛大であり、良く言えば異常に洗練された個人情報詐欺、悪く言えば最も屈辱的な長期詐欺に遭ったことを認めたようなものだ。
メタマスクのモナハン氏は、法的リスクに加えて、北朝鮮のIT労働者に賃金を支払うことも「悪い。なぜなら、あなたが払っている人々は基本的に政権によって搾取されている人々だからだ」と説明した。
615ページに及ぶ国連安全保障理事会の報告書によると、北朝鮮のIT労働者は給与の一部しか手元に残らないだろう。報告書は、「低所得者は10パーセントの予約を得るが、高所得者は30パーセントを維持することができる」と述べている。
これらの賃金は北朝鮮の平均に比べれば依然として高いかもしれないが、「彼らがどこに住んでいるかは気にしていない」とモナハン氏は語った。 「もし私が誰かにお金を払っているのに、その人が給料全額を上司に送金するよう強制されたら、私はとても不快になるでしょう。もし彼らの上司が北朝鮮政権だったら、私はさらに不快になるでしょう。」
コインデスクは報告の過程で複数の北朝鮮容疑者のIT職員に連絡を取ったが、まだ返答は得られていない。
未来
CoinDeskは、OFAC認可団体からのブロックチェーン決済記録を分析することで、北朝鮮のIT労働者を雇用している可能性のある企業20社以上を特定した。関連記録を提出した12社はコインデスクに対し、給与明細に北朝鮮の疑いのあるIT従業員を以前に発見したことを認めた。
法的な影響を恐れてそれ以上のコメントを拒否した人もいたが、他の人が自分の経験から学ぶことができることを期待して自分の話を共有することに同意した人もいた。
多くの場合、北朝鮮の従業員は一度雇用されると識別しやすくなる。
分散型金融に焦点を当てたプロジェクトであるInjectiveのCEOであるエリック・チェン氏は、2020年にフリーランスの開発者と契約したが、業績不振のためすぐに解雇したと語った。
「彼は長くは続かなかった」とチェンさんは語った。 「彼が書いたコードは貧弱で、結果も良くありませんでした。」 チェン氏は、米国の「政府機関」がインジェクティブ社に連絡した昨年まで、この従業員が北朝鮮と関係があることを知らなかった。
いくつかの企業は、北朝鮮との関係を知る前に、標準以下の仕事の質を理由に従業員を解雇したとコインデスクに語った。
「数カ月分の給与明細」
ただし、北朝鮮の IT 労働者は一般的な開発者と似ており、能力はさまざまです。
一方では、「会社に入社し、面接プロセスを経て、数か月分の給料をもらっている」従業員もいます。「そして一方で、これらの人々にインタビューすると、次のようなことが分かります。実際のところ、技術力は本当に高いです。」
Rust 氏は、Truflation 時代にバンクーバー出身だと主張していた「非常に優れた開発者」に会ったことを思い出しますが、後に彼が北朝鮮出身であることが判明しました。 「彼は本当に若い男だ」とラストは言った。 「彼は大学を出たばかりのような感じでした。少し青白く、非常に熱心で、働く機会にとても興奮していました。」
別の例では、DeFiスタートアップのクラスターは、ZachXBTが北朝鮮とのつながりを示す証拠を提出した後、8月に2人の開発者を解雇した。
クラスターの匿名創設者であるz3n氏は、「この人たちがどれだけ知っていたかは、驚くべきことだ」とコインデスクに語った。たとえば、「支払いアドレスは 2 週間ごとに変更し、Discord 名または Telegram 名は 1 か月ごとに変更します。」
ウェブカメラがオフです
CoinDeskとの会話の中で、多くの雇用主は、従業員が北朝鮮人である可能性があることを知ったとき、より理にかなった異常な点に気づいたと述べた。
場合によっては、従業員の勤務時間が勤務予定の場所と一致しない場合など、これらの兆候が微妙な場合もあります。
Truflation などの他の雇用主は、複数の人物が 1 人のふりをしている可能性があることに気づいており、従業員はウェブカメラをオフにすることでそれを隠しています。 （彼らはほぼ全員が男性です）。
ある会社が雇った従業員は、午前中に会議に出席したが、その日の後半になると話し合われたことをすべて忘れてしまったようだった。彼女が以前に多くの人とはっきりと話したことがある場合には、この癖がより理解できる。
ラスト氏が犯罪決済ネットワークの追跡経験を持つ投資家に「日本人」従業員の龍平氏に関する懸念を表明したところ、その投資家はすぐにトルフレーション社の給与明細に含まれる北朝鮮のIT従業員と思われる他の4人を特定した。
「我々は直ちに関係を断った」とラスト氏は述べ、彼のチームがコードのセキュリティ監査を実施し、身元調査プロセスを強化し、いくつかのポリシーを変更したと付け加えた。新しいポリシーの 1 つは、リモートワーカーにカメラをオンにすることを義務付けることです。
300万ドルのハッキング
CoinDeskが相談を受けた多くの雇用主は、北朝鮮のIT労働者が北朝鮮のハッキング部門とは独立して活動していると誤解しているが、ブロックチェーンデータや専門家との会話は、北朝鮮のハッキング活動とIT労働者がしばしば関連していることを示している。
2021年9月、暗号トークンを発行するためにSushiが構築したプラットフォームであるMISOが盗難により300万ドルを失った。 CoinDeskは、この攻撃が、ブロックチェーン決済記録が北朝鮮に関連している2人の開発者をSushiが雇用したことに関連しているという証拠を発見した。
ハッキング当時、Sushi は新興 DeFi 分野で最も話題になったプラットフォームの 1 つでした。 SushiSwap は主に人々が仲介者なしで仮想通貨を取引するための「分散型取引所」として機能するプラットフォームです。
当時、Sushi の最高技術責任者である Joseph Delong 氏は、MISO 盗難の原因を、このプラットフォームに携わっていた 2 人のフリーランス開発者であることを突き止めました。彼らは、Anthony Keller と Sava Grujic という名前を使用していました。デロング氏は、これらの開発者は同一人物または組織であると現在疑っており、MISOプラットフォームに悪意のあるコードを注入して、彼らが管理するウォレットに資金を送金したと述べた。
Keller 氏と Grujic 氏が、Sushi プロトコルを管理する分散型自律組織である Sushi DAO に雇用されたとき、彼らは典型的であり、初心者レベルの開発者にとって印象的でさえある資格を提示しました。
ケラー氏は公の場では「eratos1122」というペンネームを使用したが、MISO の仕事に応募するときは、本名と思われる「アンソニー・ケラー」を使用した。デロング氏がコインデスクに共有した履歴書の中で、ケラー氏はジョージア州ゲインズビルに住んでおり、コンピューター工学の学士号を取得してフェニックス大学を卒業したと主張した。 （大学側は同姓同名の卒業生がいるかどうかの問い合わせには応じていない）
「アンソニー・ケラー」はジョージア州ゲインズビルに住んでいると主張しており、彼の履歴書には人気の分散型金融アプリケーション Yearn で働いた経験が記載されています。
ケラー氏の履歴書には前職について言及されている。最も印象的なものの 1 つは、ユーザーにさまざまな投資戦略を通じて利子を得る方法を提供する、非常に人気のある暗号投資プロトコルである Yearn Finance です。 Yearn のコア開発者である Banteg 氏は、Keller がチームの共同作業と支払いの促進を支援するために Yearn によって開発されたアプリ Coordinape に取り組んでいたと認めました。 (Banteg 氏は、Keller 氏の仕事は Coordinape に限定されており、Yarn のコア コード ベースにはアクセスできなかったと述べました。)
デロング氏によると、ケラー氏はグルイッチ氏をMISOに紹介し、二人は自分たちを「友人」だと表現したという。ケラー氏と同様、グルイッチ氏もオンラインでのペンネーム「AristoK3」ではなく、本名を記載した履歴書を提出した。彼はセルビア出身で、ベオグラード大学を卒業し、コンピューターサイエンスの学士号を取得したと主張しました。彼の GitHub アカウントはアクティブであり、履歴書にはいくつかの小規模な暗号プロジェクトやゲームのスタートアップでの職歴が記載されています。
「Sava Grujic」は履歴書に 5 年間のプログラミング経験を記載しており、セルビアのベオグラードに拠点を置いていると主張しています。
Sushi の元コア開発者で、盗難前にケラー氏とグルイッチ氏と緊密に協力していたレイチェル・チュー氏は、ハッキング前からこの二人に「疑いを抱いていた」と語った。
二人の間には距離があるにもかかわらず、グルイッチとケラーは「同じアクセント」と「同じメールの仕方」をしていた、とチュー氏は語った。 「私たちが話すたびに、まるで工場の中にいるかのように、周囲の騒音が聞こえてきました」と彼女は付け加えた。チューさんはケラー氏の顔は見たことがあるが、グルイッチ氏の顔は見たことがないと回想した。チューさんによると、ケラーさんのカメラは「ズームイン」したため、ケラーさんの後ろにあるものは見えなかったという。
グルイッチとケラーは最終的に同時にMISOへの貢献をやめた。デロング氏は「私たちは彼らが同一人物だと思ったので、彼らへの支払いをやめた」と述べ、「新型コロナウイルス感染症（ＣＯＶＩＤ－１９）のパンデミックの真っ最中に、遠隔地の仮想通貨開発者たちは給料から余分なお金を稼ぐために複数の人物を装っていた。状況はそうではない」と語った。珍しい。
2021年夏にグルイッチ氏とケラー氏が解雇された後、SushiチームはMISOコードベースへのアクセスを取り消すことを怠った。
CoinDeskが入手したスクリーンショットによると、9月2日、「Aristok3」というスクリーンネームで活動するグルジッチ氏は、新しい仮想通貨ウォレットに300万ドルを送金する悪意のあるコードをMISOプラットフォームに送信した。
「Sava Grujic」は、AristoK3 という仮名を使用して、汚染されたコードを Sushi's MISO に送信しました。 (スクリーンショット提供: Joseph Delong)
CoinDeskのブロックチェーン決済記録の分析は、グルイッチ氏、ケラー氏、北朝鮮との間に関連性がある可能性を示唆している。 2021年3月、ケラー氏はツイートにブロックチェーンアドレスを投稿したが、現在は削除されている。 CoinDeskは、その住所、グルジッチのハッカー住所、およびSushiに記録されているケラー住所の間で複数の支払いを発見した。デロング氏によると、スシ社の内部調査の結果、最終的にその住所はケラー氏のものであると結論づけられたという。
2021年から2022年にかけて、ケラー氏とグルジッチ氏に関連付けられたブロックチェーンアドレスから、資金の大部分が北朝鮮に関連付けられたウォレットに送金された。 (Ethereum ウォレットの選択は CoinDesk によって追跡されます。資産価格は Arkham によって推定されます。)
CoinDeskは、このアドレスが資金の大部分を「Jun Kai」（OFAC認可のキム・サンマン氏に送金したIqlusion開発者）と、北朝鮮の代理人として機能していると思われる別のウォレット（キム氏への支払いも行っていたため）に送金していることを発見した。 ）。
Sushi の内部調査により、ケラー氏とグルイッチ氏がロシアの IP アドレスから頻繁に操作していたことが判明し、彼らが北朝鮮人であるという考えがさらに裏付けられました。 OFACによると、北朝鮮のITスタッフはロシアに拠点を置いている場合もあるという。 (ケラー氏の履歴書にある米国の電話番号は無効化され、彼の「eratos1122」Github アカウントと Twitter アカウントは削除されました。)
さらに、コインデスクは、スシが別の北朝鮮IT請負業者と疑われる人物と同時にケラー氏とグルジッチ氏を雇用したという証拠を発見した。 ZachXBT が「Gary Lee」と呼ぶこの開発者は、LightFury という仮名でコーディングし、収益を「Jun Kai」と Kim に関連付けられた別のプロキシ アドレスに送金しました。
2021年から2022年にかけて、スシは「ゲイリー・リー」という名前の別の明らかに北朝鮮の請負業者も雇用した。この従業員は、2021年から2022年の収入を、Iqlusionの「Jun Kai」が使用するウォレットを含む、北朝鮮に関連するブロックチェーンアドレスに送金した。 (Ethereum ウォレットの選択は CoinDesk によって追跡されます。資産価格は Arkham によって推定されます。)
スシ氏がケラー氏の偽名「eratos1122」による攻撃を公に非難し、FBIを関与させると脅したことを受けて、グルイッチ氏は盗まれた資金を返還した。北朝鮮の IT 労働者が偽の ID の保護に懸念を抱いているというのは直観に反するように思えるかもしれないが、おそらく将来の雇用主の信頼を得るために、北朝鮮の IT 労働者は特定の名前を再利用し、多くのプロジェクトに貢献することで評判を築いているようだ。
アンソニー・ケラーの別名を保護する方が長期的にはより利益があると考える人もいるかもしれない。スシ事件から2年後の2023年、「アンソニー・ケラー」という名前の男がステファン・ルストの会社トゥルフレーションに申請を行った。
Coindeskは「Anthony Keller」と「Sava Grujic」にコメントを求めようとしたが、連絡は取れなかった。
北朝鮮式強盗
国連によると、北朝鮮は過去7年間でハッキング攻撃により30億ドル以上の仮想通貨を盗んだ。ブロックチェーン分析会社チェイナリシスが2023年上半期に追跡したハッキングのうち、15件は北朝鮮に関連しており、「そのうち約半数はIT労働者関連の窃盗に関係していた」と同社広報担当のマデリン・ケネディ氏は述べた。
北朝鮮のサイバー攻撃は、フードをかぶったプログラマーが複雑なコンピューターコードと黒と緑のコンピューター端末を使ってメインフレームをハッキングするハリウッド版のハッキングとは異なる。
北朝鮮型の攻撃は明らかにローテクだ。これらには通常、何らかの形式のソーシャル エンジニアリングが含まれており、攻撃者はシステム キーを保持している被害者の信頼を獲得し、悪意のある電子メール リンクのような単純なものを通じてそれらのキーを直接抽出します。
モナハン氏は、「これまで北朝鮮が本格的な攻撃を行った例は見たことがない」とし、「彼らはいつもソーシャルエンジニアリング攻撃から始まり、その後デバイスを侵害し、秘密鍵を盗む」と述べた。
IT 従事者は、潜在的な標的の妨害に使用できる個人情報を入手したり、デジタル キャッシュが満載のソフトウェア システムに直接アクセスしたりすることで、北朝鮮の強盗活動に貢献するのに適しています。
偶然の連続
この記事が公開される予定だった 9 月 25 日、CoinDesk は Truflation の Rust とのビデオ通話を手配しました。計画は、彼が以前に共有した詳細の一部を検証することです。
慌てたラストは15分遅れて電話に参加した。彼はハッキングされたばかりです。
CoinDeskは、北朝鮮のIT労働者を雇用するためにだまされたとみられる20以上のプロジェクトと接触した。過去 2 週間のインタビューだけでも、Truflation と Delta Prime と呼ばれる仮想通貨融資アプリの 2 つのプロジェクトがハッキングされました。
2つのハッキング事件が北朝鮮のIT従業員の意図的でない雇用に直接関係しているかどうかを判断するのは時期尚早だ。
9 月 16 日、Delta Prime が最初に侵害されました。 CoinDeskは以前、デルタ・プライムと、匿名のブロックチェーン探偵ZachXBTが推進する北朝鮮関連開発者の1人である村野直樹氏との間の支払いとコードの貢献を明らかにした。
このプロジェクトは 700 万ドル以上の損失を出し、公式説明では「秘密鍵が侵害された」とされています。デルタ・プライムは複数のコメント要請に応じなかった。
Truflation のハッキングは 2 週間も経たないうちに発生しました。 CoinDeskと話す約2時間前、Rust氏は仮想通貨ウォレットから資金が流出していることに気づいた。彼はシンガポールへの出張から戻ったばかりで、自分が何を間違えたのかを理解しようとしていました。 「それがどうやって起こったのかは分からない」と彼は言った。 「私はラップトップをホテルの壁の金庫に保管しています。携帯電話は常に持ち歩いています。」
ラストが話している間、彼の個人的なブロックチェーンウォレットから数百万ドルが流出していた。 「つまり、本当にひどいことです。このお金は私の子供の授業料と年金です。」
TruflationとRustは最終的に約500万ドルの損失を被った。当局は紛失の原因は秘密鍵の盗難であると断定した。