Autor: Sam Kessler, Coindesk
Compilado por: Joy, PANews
Principais pontos do artigo:
A CoinDesk descobriu que mais de uma dúzia de empresas de criptomoeda contrataram, sem saber, trabalhadores de TI da Coreia do Norte, incluindo projetos de blockchain de alto perfil, como Injective, ZeroLend, Fantom, Sushi, Yearn Finance e Cosmos Hub.
Esses funcionários usaram identidades falsas, passaram em entrevistas, passaram em verificações de qualificação e forneceram experiência de trabalho autêntica.
A contratação de trabalhadores norte-coreanos é ilegal nos Estados Unidos e em outros países que impõem sanções à Coreia do Norte. Isto também representa riscos de segurança, com a CoinDesk descobrindo que várias empresas foram hackeadas após empregar trabalhadores de TI norte-coreanos.
Zaki Manian, um conhecido desenvolvedor de blockchain, disse: “Todo mundo está tentando filtrar essas pessoas”. Ele disse que inadvertidamente contratou dois funcionários de TI norte-coreanos em 2021 para ajudar a desenvolver o blockchain do Cosmos Hub.
A empresa de criptomoeda Truflation ainda estava engatinhando em 2023, quando o fundador Stefan Rust contratou, sem saber, seu primeiro funcionário norte-coreano.
“Estamos sempre procurando bons desenvolvedores”, disse Rust de sua casa na Suíça. Do nada, “este desenvolvedor nos conheceu”.
“Ryuhei” enviou seu currículo via Telegram, alegando estar trabalhando no Japão. Logo após sua contratação, estranhas contradições começaram a surgir.
A certa altura, “conversei com o cara ao telefone e ele disse que teve um terremoto”, lembrou Rust. Mas não houve terremotos recentes no Japão. O funcionário então começou a perder ligações e, quando apareceu, “não era ele”, disse Rust. "É outra pessoa." Quem quer que tenha sido, o sotaque japonês desapareceu.
Rust logo descobriu que “Ryuhei” e quatro outros funcionários, mais de um terço de sua equipe, eram norte-coreanos. Rust involuntariamente caiu numa conspiração organizada pela Coreia do Norte para proporcionar aos seus funcionários empregos remotos no estrangeiro e remeter os rendimentos de volta para Pyongyang.
As autoridades dos EUA intensificaram recentemente os alertas de que os trabalhadores norte-coreanos de TI estão se infiltrando em empresas de tecnologia, incluindo empregadores de criptomoedas, e usando os rendimentos para financiar o programa de armas nucleares do país. De acordo com um relatório das Nações Unidas de 2024, esses trabalhadores de TI ganham até US$ 600 milhões anualmente para a Coreia do Norte.
Contratar e pagar trabalhadores – mesmo involuntariamente – viola as sanções da ONU e é ilegal nos Estados Unidos e em muitos outros países. Isto também representa um sério risco de segurança, já que se sabe que os hackers norte-coreanos empregam funcionários em segredo para atacar empresas.
Uma investigação da CoinDesk revela a motivação e a frequência com que os candidatos a emprego norte-coreanos visam empresas de criptomoeda – tendo sucesso em entrevistas, passando em verificações de antecedentes e até demonstrando um histórico impressionante de contribuições de código no repositório de software de código aberto GitHub.
A CoinDesk conversou com mais de uma dúzia de empresas de criptomoeda que disseram ter contratado inadvertidamente trabalhadores de TI da Coreia do Norte.
Essas entrevistas com fundadores, pesquisadores de blockchain e especialistas do setor sugerem que os trabalhadores de TI norte-coreanos são muito mais comuns na indústria de criptografia do que se pensava anteriormente. Quase todos os gestores de contratação entrevistados para este artigo admitiram que entrevistaram supostos desenvolvedores norte-coreanos, contrataram-nos sem o seu conhecimento ou conheceram alguém que o fez.
Zaki Manian, um conhecido desenvolvedor de blockchain, disse: “Em toda a indústria de criptografia, a proporção de currículos, candidatos a empregos ou colaboradores da Coreia do Norte pode exceder 50%.” funcionários para ajudar a desenvolver o blockchain Cosmos Hub. "Todo mundo está tentando eliminar essas pessoas."
Entre os empregadores norte-coreanos involuntários identificados pela CoinDesk estão vários projetos de blockchain bem conhecidos, como Cosmos Hub, Injective, ZeroLend, Fantom, Sushi e Yearn Finance. “Tudo acontece nos bastidores”, disse Manian.
A investigação é a primeira vez que as empresas reconhecem publicamente a contratação involuntária de trabalhadores de TI norte-coreanos.
Em muitos casos, os trabalhadores norte-coreanos trabalham como empregados normais, pelo que, num certo sentido, os empregadores recebem essencialmente aquilo pelo que pagam; Mas a CoinDesk encontrou evidências de que esses funcionários transferiram seus salários para endereços de blockchain vinculados ao governo norte-coreano.
A investigação da CoinDesk também revelou vários casos em que projetos de criptografia que empregavam equipes de TI norte-coreanas foram posteriormente hackeados. Em alguns desses casos, o roubo pôde estar diretamente ligado a supostos funcionários de TI norte-coreanos na folha de pagamento da empresa. Esse foi o caso do Sushi, um conhecido protocolo DeFi que perdeu US$ 3 milhões em um hack em 2021.
O Escritório de Controle de Ativos Estrangeiros (OFAC) do Departamento do Tesouro dos EUA e o Departamento de Justiça começaram a divulgar as tentativas da Coreia do Norte de se infiltrar na indústria de criptomoedas dos EUA em 2022. A CoinDesk descobriu evidências de que trabalhadores de TI norte-coreanos começaram a trabalhar para empresas de criptomoedas sob identidades falsas muito antes disso, pelo menos já em 2018.
“Acho que muitas pessoas têm a ideia errada de que isso é algo que aconteceu do nada”, disse Manian. “Essas pessoas tinham contas no GitHub e outras coisas desde 2016, 2017, 2018.” (O GitHub, de propriedade da Microsoft, é uma plataforma online usada por muitas organizações de software para hospedar código e permitir a colaboração dos desenvolvedores.)
A CoinDesk usou uma variedade de métodos para conectar trabalhadores de TI norte-coreanos a empresas, incluindo registros de pagamento em blockchain, contribuições públicas de código GitHub, e-mails de funcionários do governo dos EUA e entrevistas diretas com empresas-alvo. Uma das maiores redes de pagamento na Coreia do Norte investigada pela CoinDesk foi descoberta pelo investigador de blockchain ZachXBT, que publicou uma lista de supostos desenvolvedores norte-coreanos em agosto.
Anteriormente, os empregadores permaneciam em silêncio por medo de publicidade indesejada ou de repercussões legais. Agora, confrontados com uma série de registos de pagamentos e outras provas descobertas pela CoinDesk, muitos deles decidiram apresentar-se e partilhar as suas histórias pela primeira vez, expondo o extraordinário sucesso e a escala da infiltração da Coreia do Norte na indústria das criptomoedas.
documentos falsificados
O Truflation de Rust foi inundado com novas inscrições após a contratação de Ryuhei, que é aparentemente um funcionário japonês. Em apenas alguns meses, Rust contratou, sem saber, mais quatro desenvolvedores norte-coreanos, que afirmavam estar baseados em Montreal, Vancouver, Houston e Cingapura.
A indústria criptográfica é particularmente vulnerável a interrupções por parte dos trabalhadores de TI norte-coreanos. A força de trabalho da indústria de criptografia é muito global e as empresas de criptografia tendem a estar mais dispostas a contratar desenvolvedores totalmente remotos (ou mesmo anônimos) do que outras empresas.
A CoinDesk analisou os pedidos de emprego da Coreia do Norte recebidos por empresas de criptomoeda de uma variedade de fontes, incluindo plataformas de mensagens como Telegram e Discord, quadros de empregos específicos para criptomoedas, como Crypto Jobs List, e quadros de empregos como o Even.
“É mais provável que eles sejam contratados por equipes realmente novas e promissoras que estejam dispostas a contratar do Discord”, disse Taylor Monahan, gerente de produto do aplicativo de carteira criptografada MetaMask, que frequentemente publica pesquisas de segurança relacionadas ao Norte. Atividades criptográficas da Coreia. “Eles não têm um processo para contratar pessoas que passam por verificações de antecedentes. Muitas vezes eles estão dispostos a pagar em criptomoeda.”
Rust disse que realiza verificações de antecedentes de todos os novos funcionários da Truflation. “Eles nos enviaram nossos passaportes e identidades, nos deram o repositório GitHub, testaram e basicamente os contratamos.”
Um candidato que apresentou uma carteira de motorista do Texas como prova de identidade à empresa de criptomoedas Truflation é agora suspeito de ser cidadão norte-coreano. A CoinDesk está ocultando alguns detalhes porque os funcionários de TI norte-coreanos usaram documentos de identificação roubados. (Imagem cortesia de Stefan Rust)
Para um leigo, a maioria dos documentos falsificados será indistinguível de passaportes e vistos genuínos, mas especialistas disseram à CoinDesk que os serviços profissionais de verificação de antecedentes provavelmente os detectarão.
Um dos supostos funcionários de TI norte-coreanos identificados pela ZachXBT, “Naoki Murano”, forneceu à empresa um passaporte japonês aparentemente autêntico. (Foto cortesia de Taylor Monahan)
Embora seja improvável que as startups usem verificadores de antecedentes profissionais, “vemos pessoal de TI norte-coreano em empresas maiores, seja como funcionários reais ou pelo menos contratados”, disse Monahan.
Escondido à vista de todos
Em vários casos, a CoinDesk encontrou funcionários de TI de empresas norte-coreanas usando dados de blockchain disponíveis publicamente.
Em 2021, a empresa Iqlusion, do desenvolvedor de blockchain Manian, precisava de ajuda. Ele está procurando programadores freelancers que possam ajudar em um projeto para atualizar o popular blockchain Cosmos Hub. Ele encontrou dois novos funcionários; eles tiveram um bom desempenho.
Manian nunca conheceu pessoalmente os freelancers "Jun Kai" e "Sarawut Sanit". Eles já haviam colaborado em um projeto de software de código aberto financiado pela rede blockchain THORChain, e disseram a Manian que estavam em Cingapura.
“Conversei com eles quase todos os dias durante um ano”, disse Manian. "Eles fizeram o trabalho. Francamente, estou muito satisfeito."
Dois anos depois que os freelancers concluíram seu trabalho, Manian recebeu um e-mail de um agente do FBI que estava investigando transferências de tokens que pareciam originar-se do Iqlusion e foram enviadas para um endereço suspeito de carteira criptográfica norte-coreana. As transferências em questão eram pagamentos da Iqlusion para Kai e Sanit.
Esquerda: Um agente do FBI (nome redigido) pediu a Zaki Manian informações sobre dois pagamentos blockchain de sua empresa, Iqlusion. À direita: Manian informou aos agentes que as transações foram entre a Iqlusion e vários empreiteiros.
O FBI nunca confirmou a Manian que os desenvolvedores que ele contratou eram agentes norte-coreanos, mas uma análise da CoinDesk dos endereços blockchain de Kai e Sanit revelou que durante 2021 e 2022, eles transferiram ganhos para dois indivíduos na lista de sanções do OFAC: Kim Sang Man e. Sim Hyon Sop.
De acordo com a OFAC, Sim era um representante do Kwangson Bank da Coreia do Norte, que lavou fundos de trabalhadores de TI para ajudar a "financiar as armas de destruição em massa e os programas de mísseis balísticos da Coreia do Norte". Sarawut parece ter canalizado todos os seus ganhos para o Sim e outras carteiras blockchain vinculadas ao Sim.
Os registros Blockchain de abril a dezembro de 2022 mostram que “Sarawut Sanit” enviou todos os seus salários para uma carteira associada ao agente norte-coreano aprovado pela OFAC, Sim Hyon Sop. (Seleção de carteiras Ethereum rastreadas pela CoinDesk. Preço do ativo estimado por Arkham.)
Ao mesmo tempo, Kai enviou quase US$ 8 milhões diretamente para Kim. De acordo com o relatório consultivo do OFAC de 2023, Kim era um representante da Chinyong Information Technology Cooperation Company, operada pela Coreia do Norte, que “empregava uma delegação de trabalhadores de TI norte-coreanos trabalhando na Rússia e no Laos por meio de empresas que controlava e seus representantes”.
Ao longo de 2021, “Jun Kai” enviou US$ 7,7 milhões em criptomoedas diretamente para endereços blockchain na lista de sanções da OFAC associados a Kim Sang Man. (Seleção de carteiras Ethereum rastreadas pela CoinDesk. Preço do ativo estimado por Arkham.)
O salário de Iqlusion para Kai representava menos de US$ 50.000 dos quase US$ 8 milhões que ele deu a Kim, com o restante vindo em parte de outras empresas de criptomoeda.
Por exemplo, a CoinDesk descobriu que a Fantom Foundation, que desenvolve o amplamente utilizado blockchain Fantom, pagou “Jun Kai” e outro desenvolvedor com ligações com a Coreia do Norte.
Um porta-voz da Fundação Fantom disse à CoinDesk: “Fantom confirmou que dois indivíduos externos estiveram envolvidos com a Coreia do Norte em 2021. No entanto, os desenvolvedores envolvidos estavam envolvidos em um projeto externo que nunca foi concluído e nunca implantado”.
De acordo com a Fundação Fantom, "Os dois funcionários envolvidos foram demitidos. Eles nunca contribuíram com nenhum código malicioso ou acessaram a base de código do Fantom, e os usuários do Fantom não foram afetados." mas falhou devido à falta dos direitos de acesso necessários.
De acordo com o banco de dados OpenSanctions, o endereço blockchain de Kim relacionado à Coreia do Norte não foi divulgado pelo governo até maio de 2023, mais de dois anos após os pagamentos Iqlusion e Fantom.
dar margem de manobra
Os Estados Unidos e as Nações Unidas impuseram sanções ao emprego de trabalhadores de TI norte-coreanos em 2016 e 2017, respetivamente.
Quer você saiba ou não, é ilegal pagar trabalhadores norte-coreanos nos Estados Unidos – um conceito legal conhecido como “responsabilidade objetiva”.
Também não importa onde a empresa está localizada: a contratação de trabalhadores norte-coreanos acarreta riscos jurídicos para qualquer empresa que faça negócios num país que impõe sanções à Coreia do Norte.
No entanto, os Estados Unidos e outros estados membros da ONU ainda não processaram empresas de criptografia que empregam trabalhadores de TI norte-coreanos.
O Departamento do Tesouro dos EUA lançou uma investigação sobre a Iqlusion, com sede nos EUA, mas Manian disse que a investigação foi concluída sem quaisquer penalidades.
As autoridades dos EUA têm sido indulgentes na apresentação de acusações contra estas empresas – uma espécie de reconhecimento de que, na melhor das hipóteses, tinham sofrido uma forma invulgarmente sofisticada e sofisticada de fraude de identidade ou, na pior das hipóteses, uma fraude de longo prazo muito humilhante.
Além dos riscos legais, Monahan, da MetaMask, explicou que pagar aos trabalhadores de TI norte-coreanos também é “ruim porque as pessoas que você paga são basicamente aquelas que estão sendo exploradas pelo regime”.
Os trabalhadores norte-coreanos de TI só poderão manter uma fração dos seus salários, de acordo com um relatório de 615 páginas do Conselho de Segurança das Nações Unidas. “As pessoas com rendimentos baixos recebem 10% de reserva, enquanto as pessoas com rendimentos elevados ficam com 30%”, afirma o relatório.
Embora esses salários ainda possam ser elevados em relação à média da Coreia do Norte, “não me importa onde vivem”, disse Monahan. “Se eu estivesse pagando a alguém e essa pessoa fosse forçada a enviar todo o seu salário ao chefe, isso me deixaria muito desconfortável. Se o chefe deles fosse o regime norte-coreano, eu ficaria ainda mais desconfortável.”
A CoinDesk contatou vários supostos trabalhadores de TI norte-coreanos durante o processo de denúncia, mas ainda não recebeu resposta.
futuro
A CoinDesk identificou mais de 20 empresas que podem empregar trabalhadores de TI norte-coreanos, analisando registros de pagamentos em blockchain de entidades sancionadas pela OFAC. Doze empresas que enviaram registros relevantes confirmaram à CoinDesk que já haviam encontrado suspeitos de funcionários de TI norte-coreanos em suas folhas de pagamento.
Alguns recusaram mais comentários por medo de repercussões legais, mas outros concordaram em partilhar as suas histórias na esperança de que outros pudessem aprender com as suas experiências.
Em muitos casos, os funcionários norte-coreanos são mais fáceis de identificar depois de contratados.
Eric Chen, CEO do Injective, um projeto focado em finanças descentralizadas, disse que contratou um desenvolvedor freelance em 2020, mas rapidamente o demitiu devido ao mau desempenho.
“Ele não durou muito”, disse Chen. “O código que ele escreveu era ruim e os resultados não eram bons.” Chen não sabia que o funcionário tinha ligações com a Coreia do Norte até o ano passado, quando uma “agência governamental” dos EUA contatou a Injective.
Várias empresas disseram à CoinDesk que demitiram um funcionário antes de saberem de qualquer ligação com a Coreia do Norte – alegando qualidade de trabalho abaixo do padrão.
"Alguns meses de recibos de pagamento"
No entanto, os trabalhadores de TI norte-coreanos são semelhantes aos desenvolvedores típicos e possuem habilidades variadas.
Por um lado, você tem funcionários que “entram na empresa, passam pelo processo de entrevista e ganham alguns meses de salário”, disse Manian. “E por outro lado, quando você entrevista essas pessoas, você descobre o que é. eles realmente são. A capacidade técnica é muito forte.”
Rust se lembra de ter conhecido “um desenvolvedor muito bom” enquanto estava na Truflation, que alegou ser de Vancouver, mas depois descobriu que era da Coreia do Norte. “Ele é realmente um homem jovem”, disse Rust. “Parecia que ele tinha acabado de sair da faculdade. Um pouco verde, muito entusiasmado, muito animado com a oportunidade de trabalhar.”
Em outro exemplo, a startup DeFi Cluster demitiu dois desenvolvedores em agosto, depois que ZachXBT forneceu evidências de que eles tinham ligações com a Coreia do Norte.
“É impressionante o quanto essas pessoas sabiam”, disse z3n, o fundador anônimo da Cluster, à CoinDesk. Em retrospecto, houve alguns “sinais de alerta óbvios”. Por exemplo, “Eles mudam seu endereço de pagamento a cada duas semanas e seu nome no Discord ou no Telegram a cada mês ou mais”.
webcam desligada
Em conversas com a CoinDesk, muitos empregadores disseram ter notado algo incomum que fez mais sentido quando souberam que seus funcionários poderiam ser norte-coreanos.
Às vezes, essas dicas são sutis, como quando o horário de um funcionário não corresponde ao local onde ele deveria trabalhar.
Outros empregadores, como a Truflation, notaram que várias pessoas podem estar fingindo ser uma só pessoa, o que os funcionários escondem desligando suas webcams. (Eles são quase todos homens).
Uma empresa contratou uma funcionária que comparecia às reuniões pela manhã, mas parecia esquecer tudo o que era discutido no final do dia, uma peculiaridade que fazia mais sentido quando ela já havia falado claramente com muitas pessoas antes.
Quando Rust expressou suas preocupações sobre o funcionário “japonês” Ryuhei a um investidor com experiência no rastreamento de redes de pagamentos criminosas, o investidor rapidamente identificou quatro outros supostos trabalhadores de TI norte-coreanos na folha de pagamento da Truflation.
“Cortamos relações imediatamente”, disse Rust, acrescentando que sua equipe conduziu uma auditoria de segurança de seu código, aprimorou o processo de verificação de antecedentes e alterou algumas políticas. Uma das novas políticas exige que os trabalhadores remotos liguem suas câmeras.
Hack de US$ 3 milhões
Muitos empregadores consultados pela CoinDesk acreditam erroneamente que os trabalhadores de TI norte-coreanos operam independentemente do setor de hackers da Coreia do Norte, mas dados de blockchain e conversas com especialistas indicam que as atividades de hackers norte-coreanas e os trabalhadores de TI estão frequentemente ligados.
Em setembro de 2021, a MISO, plataforma construída pela Sushi para emitir tokens criptográficos, perdeu US$ 3 milhões em um roubo. A CoinDesk encontrou evidências de que o ataque estava ligado à contratação pelo Sushi de dois desenvolvedores cujos registros de pagamento blockchain estavam vinculados à Coreia do Norte.
Na época do hack, Sushi era uma das plataformas mais comentadas no emergente espaço DeFi. Mais de US$ 5 bilhões foram depositados no SushiSwap, uma plataforma que funciona principalmente como uma “troca descentralizada” para pessoas negociarem criptomoedas sem intermediário.
Joseph Delong, diretor de tecnologia do Sushi na época, atribuiu o roubo do MISO a dois desenvolvedores freelance que trabalhavam na plataforma: eles usavam os nomes Anthony Keller e Sava Grujic. Delong disse que esses desenvolvedores, que ele agora suspeita serem a mesma pessoa ou organização, injetaram código malicioso na plataforma MISO para transferir fundos para carteiras que controlavam.
Quando Keller e Grujic foram contratados pelo Sushi DAO, a organização autônoma descentralizada que governa o protocolo Sushi, eles apresentaram credenciais típicas e até impressionantes para desenvolvedores iniciantes.
Keller usou o pseudônimo “eratos1122” em público, mas quando se candidatou a um emprego na MISO, usou o que parecia ser seu nome verdadeiro, “Anthony Keller”. No currículo que Delong compartilhou com a CoinDesk, Keller afirmou morar em Gainesville, Geórgia, e se formou na Universidade de Phoenix com bacharelado em engenharia da computação. (A universidade não respondeu a um pedido para saber se há um graduado com o mesmo nome.)
“Anthony Keller” afirma morar em Gainesville, Geórgia, e seu currículo lista sua experiência trabalhando no popular aplicativo financeiro descentralizado Yearn.
O currículo de Keller menciona empregos anteriores. Um dos mais impressionantes é o Yearn Finance, um protocolo de investimento em criptografia extremamente popular que oferece aos usuários uma maneira de ganhar juros por meio de uma série de estratégias de investimento. Banteg, desenvolvedor principal da Yearn, confirmou que Keller trabalhou no Coordinape, um aplicativo desenvolvido pela Yearn para ajudar as equipes a colaborar e facilitar pagamentos. (Banteg disse que o trabalho de Keller estava limitado ao Coordinape e ele não tinha acesso à base de código principal de Yearn.)
De acordo com Delong, Keller apresentou Grujic ao MISO, e os dois se descreveram como “amigos”. Assim como Keller, Grujic forneceu um currículo que listava seu nome verdadeiro, não seu pseudônimo online “AristoK3”. Ele alegou ser da Sérvia e se formou em ciência da computação pela Universidade de Belgrado. Sua conta no GitHub está ativa e seu currículo lista sua experiência de trabalho em vários projetos criptográficos menores e startups de jogos.
Em seu currículo, “Sava Grujic” lista 5 anos de experiência em programação e afirma estar baseado em Belgrado, na Sérvia.
Rachel Chu, ex-desenvolvedora principal do Sushi que trabalhou em estreita colaboração com Keller e Grujic antes do roubo, disse que ficou “suspeita” da dupla antes do hack.
Apesar da distância entre os dois, Grujic e Keller tinham “o mesmo sotaque” e “a mesma forma de enviar mensagens de texto”, disse Chu. “Cada vez que conversávamos, havia algum ruído de fundo, como em uma fábrica”, acrescentou ela. Chu lembrou que tinha visto o rosto de Keller, mas nunca o de Grujic. De acordo com Chu, a câmera de Keller “ampliou” para que ela não pudesse ver o que estava atrás dele.
Grujic e Keller eventualmente pararam de contribuir para o MISO ao mesmo tempo. “Achávamos que eram a mesma pessoa”, disse Delong, “então paramos de pagá-los”. No auge da pandemia de COVID-19, os desenvolvedores remotos de criptomoedas fingiram ser várias pessoas para ganhar dinheiro extra com sua folha de pagamento. incomum.
Depois que Grujic e Keller foram demitidos no verão de 2021, a equipe do Sushi se esqueceu de revogar seu acesso à base de código MISO.
Em 2 de setembro, Grujic, que atende pelo nome de tela “Aristok3”, enviou um código malicioso à plataforma MISO para transferir US$ 3 milhões para uma nova carteira de criptomoeda, de acordo com uma captura de tela obtida pela CoinDesk.
"Sava Grujic" enviou código contaminado ao MISO do Sushi sob o pseudônimo AristoK3. (Captura de tela fornecida por Joseph Delong)
A análise da CoinDesk dos registros de pagamento blockchain sugere possíveis ligações entre Grujic, Keller e a Coreia do Norte. Em março de 2021, Keller postou um endereço blockchain em um tweet agora excluído. O CoinDesk encontrou vários pagamentos entre esse endereço, o endereço do hacker de Grujic e o endereço de Keller registrado no Sushi. De acordo com Delong, a investigação interna do Sushi concluiu que o endereço pertencia a Keller.
Entre 2021 e 2022, os endereços blockchain vinculados a Keller e Grujic enviaram a maior parte dos fundos para carteiras vinculadas à Coreia do Norte. (Seleção de carteiras Ethereum rastreadas pela CoinDesk. Preço do ativo estimado por Arkham.)
A CoinDesk descobriu que este endereço enviou a maior parte dos fundos para “Jun Kai” (o desenvolvedor Iqlusion que enviou dinheiro para Kim Sang Man sancionado pelo OFAC) e outra carteira que parece estar agindo como um proxy para a Coreia do Norte (já que também pagou Kim ).
A investigação interna do Sushi descobriu que Keller e Grujic operavam frequentemente a partir de endereços IP russos, apoiando ainda mais a ideia de que eram norte-coreanos. A equipe de TI norte-coreana às vezes fica baseada na Rússia, disse a OFAC. (O número de telefone dos EUA no currículo de Keller foi desativado e suas contas “eratos1122” no Github e no Twitter foram excluídas.)
Além disso, a CoinDesk encontrou evidências de que Sushi contratou Keller e Grujic ao mesmo tempo que outro suposto contratante de TI norte-coreano. O desenvolvedor, a quem ZachXBT chama de “Gary Lee”, codificou-se sob o pseudônimo LightFury e enviou ganhos para “Jun Kai” e outro endereço proxy associado a Kim.
De 2021 a 2022, Sushi também empregou outro aparente empreiteiro norte-coreano chamado “Gary Lee”. O trabalhador transferiu seus ganhos de 2021-2022 para endereços de blockchain vinculados à Coreia do Norte, incluindo uma carteira usada por “Jun Kai” da Iqlusion. (Seleção de carteiras Ethereum rastreadas pela CoinDesk. Preço do ativo estimado por Arkham.)
Grujic devolveu os fundos roubados depois que Sushi culpou publicamente o pseudônimo de Keller, "eratos1122", pelo ataque e ameaçou envolver o FBI. Embora possa parecer contra-intuitivo que os trabalhadores de TI norte-coreanos estejam preocupados com a protecção de identidades falsas, os trabalhadores de TI norte-coreanos parecem reutilizar certos nomes e construir as suas reputações contribuindo para muitos projectos, talvez para ganhar a confiança de futuros empregadores.
Pode-se argumentar que proteger o pseudônimo de Anthony Keller seria mais lucrativo no longo prazo: em 2023, dois anos após o incidente do Sushi, um homem chamado “Anthony Keller” apresentou um pedido à empresa de Stefan Rust, a Truflation.
Coindesk tentou entrar em contato com “Anthony Keller” e “Sava Grujic” para comentar, mas não teve sucesso.
Roubo ao estilo norte-coreano
A Coreia do Norte roubou mais de US$ 3 bilhões em criptomoedas por meio de ataques de hackers nos últimos sete anos, segundo as Nações Unidas. Dos hacks rastreados pela empresa de análise de blockchain Chainalysis no primeiro semestre de 2023, 15 estavam ligados à Coreia do Norte, “cerca de metade dos quais envolviam roubos relacionados a trabalhadores de TI”, disse a porta-voz da empresa, Madeleine Kennedy.
Os ataques cibernéticos da Coreia do Norte não são como a versão hollywoodiana do hacking, onde programadores encapuzados usam códigos de computador complexos e terminais de computador preto e verde para invadir mainframes.
Os ataques ao estilo da Coreia do Norte são obviamente de baixa tecnologia. Geralmente envolvem alguma forma de engenharia social, em que o invasor ganha a confiança de uma vítima que possui chaves do sistema e, em seguida, extrai essas chaves diretamente por meio de algo tão simples como um link de e-mail malicioso.
“Até agora, nunca vimos a Coreia do Norte conduzir um ataque real”, disse Monahan. “Eles sempre começam com um ataque de engenharia social, depois comprometem o dispositivo e depois roubam as chaves privadas”.
Os trabalhadores de TI são adequados para contribuir para as operações de assalto da Coreia do Norte, quer através da obtenção de informações pessoais que podem ser utilizadas para sabotar alvos potenciais, quer através do acesso direto a sistemas de software repletos de dinheiro digital.
série de coincidências
No dia 25 de setembro, quando este artigo seria publicado, a CoinDesk organizou uma videochamada com Rust da Truflation. O plano é verificar alguns dos detalhes que ele compartilhou anteriormente.
Um Rust confuso entrou na ligação com 15 minutos de atraso. Ele acabou de ser hackeado.
A CoinDesk contatou mais de 20 projetos que parecem ter sido enganados na contratação de trabalhadores de TI norte-coreanos. Somente nas últimas duas semanas de entrevistas, dois dos projetos foram hackeados: Truflation e um aplicativo de empréstimo de criptomoedas chamado Delta Prime.
É muito cedo para dizer se os dois incidentes de hackers estão diretamente ligados à contratação inadvertida de funcionários de TI norte-coreanos.
Em 16 de setembro, o Delta Prime foi comprometido pela primeira vez. A CoinDesk descobriu anteriormente pagamentos e contribuições de código entre Delta Prime e Naoki Murano, um dos desenvolvedores vinculados à Coreia do Norte, promovido pelo detetive anônimo de blockchain ZachXBT.
O projeto perdeu mais de US$ 7 milhões, com a explicação oficial de que “as chaves privadas foram comprometidas”. Delta Prime não respondeu a vários pedidos de comentários.
O hack do Truflation ocorreu menos de duas semanas depois. Cerca de duas horas antes de falar com o CoinDesk, Rust notou uma saída de fundos de sua carteira criptografada. Ele tinha acabado de voltar de uma viagem de negócios a Cingapura e estava tentando descobrir o que havia feito de errado. “Só não sei como isso aconteceu”, disse ele. "Eu mantenho meus laptops trancados no cofre do hotel. Sempre tenho meu telefone comigo."
Enquanto Rust falava, milhões de dólares saíam de sua carteira pessoal de blockchain. “Quer dizer, é muito ruim. Esse dinheiro é a mensalidade e a pensão dos meus filhos.”
Truflation e Rust acabaram perdendo cerca de US$ 5 milhões. As autoridades determinaram que a causa da perda foi o roubo da chave privada.