ZachXBTは、本日北朝鮮のITワーカーからの内部データを暴露し、2025年末からの350万ドルの暗号フローを詳細に説明しました。ZachXBTによると、このデータセットは侵害されたデバイスから来ており、390のアカウント、チャットログ、および取引記録が含まれています。調査結果は、ワーカーたちが偽の身分、弱いセキュリティ、そして協調したシステムを使って、月に約100万ドルを処理していたことを明らかにしています。

ZachXBTが詳細なXスレッドで言及したところによると、匿名のソースが北朝鮮のDPRK ITワーカーが使用する内部決済サーバーから抽出されたデータを提供しました。このデータセットには、IPMsgのチャットログ、アカウントリスト、詐欺行為に関連するブラウザ履歴が含まれています。ユーザーは、送金ハブとして説明されるプラットフォーム「luckyguys[.]site」について議論しました。

このシステムは、メッセージングツールとしても報告チャネルとしても機能していた。作業者はこのプラットフォームで収益を提出し、指示を受け取っていた。しかし、セキュリティが弱かったためシステムは露呈した。複数のアカウントが変更せずにデフォルトパスワード「123456」を使用していたからだ。

ユーザーレコードには韓国名、都市名、コード化されたグループ識別子が記載されていた。さらに、Sobaeksu、Saenal、Songkwangの3つの事業体がデータ内に現れた。これらの企業は現在、OFACの制裁対象であり、このネットワークが、これまでに特定された作戦と結び付いていることを示している。

取引パターンが350万ドルの資金の流れを明らかにする。

取引ログは、ネットワーク全体で資金が一貫して移動していることを示している。ZachXBTによれば、ユーザーは暗号を取引所やサービスから送金し、フィアット（法定通貨）に換える前に転換していた。多くの場合、作業者は中国の銀行口座やPayoneerのようなプラットフォームを使ってオフランプを行っていた。

PC-1234として特定された管理用アカウントが、支払いの確認とアカウント認証情報の配布を行ったことが分かった。これらの認証情報は、ユーザーのニーズに応じて、暗号取引所とフィンテック・プラットフォーム間で異なっていた。2025年11月以降、追跡されたウォレットアドレスは350万ドル超を処理している。

ブロックチェーン追跡により、いくつかの支払いアドレスが既知のDPRKに結び付けられた。1つのトロン（Tron）ウォレットは2025年12月にテザー（Tether）によって凍結された。この措置は、ZachXBTによると、業界関係者による介入が限定的であることを示している。

偽の身元、訓練、そして連携

データセットは、作業者が偽造した身元を使って遠隔の仕事を確保していたことも示している。ZachXBTによれば、侵害された端末データから、偽の人物像、求人応募、ブラウザの活動が明らかになった。

作業者は、これらの作業中に位置情報を隠すためにAstrill VPNのようなツールに頼っていた。今回の新しい調査は、ZachXBTがCircleによる285百万ドル規模のDrift Protocolエクスプロイト遅延を指摘した後に実施された。新しいレポートでは、社内チャットで複数のプラットフォーム間の連携が示されている。

当局側は、Hex-RaysやIDA Proを含むリバースエンジニアリング関連の43のモジュールを共有した。これらのセッションは、逆アセンブリ、デバッグ、マルウェア解析に焦点を当てており、ネットワーク内で継続的な技術開発が進行していることを示している。