Автор: Сэм Кесслер, Coindesk
Составил: Джой, PANews
Основные тезисы статьи:
CoinDesk обнаружил, что более дюжины криптовалютных компаний по незнанию наняли ИТ-специалистов из Северной Кореи, включая такие громкие блокчейн-проекты, как Injective, ZeroLend, Fantom, Sushi, Yearn Finance и Cosmos Hub.
Эти сотрудники использовали поддельные удостоверения личности, успешно прошли собеседования, прошли проверку квалификации и предоставили подлинный опыт работы.
Наем северокорейских рабочих является незаконным в США и других странах, которые вводят санкции в отношении Северной Кореи. Это также создает угрозу безопасности: CoinDesk обнаружил, что несколько компаний были взломаны после того, как наняли северокорейских ИТ-специалистов.
Заки Маниан, известный разработчик блокчейнов, сказал: «Все пытаются отфильтровать этих людей». Он сказал, что в 2021 году случайно нанял двух северокорейских ИТ-специалистов для помощи в разработке блокчейна Cosmos Hub.
Криптовалютная компания Truflation в 2023 году все еще находилась в зачаточном состоянии, когда ее основатель Стефан Руст неосознанно нанял своего первого северокорейского сотрудника.
«Мы всегда ищем хороших разработчиков», — сказал Раст из своего дома в Швейцарии. Совершенно неожиданно «этот разработчик встретил нас».
«Рюхей» отправил свое резюме через Telegram, утверждая, что работает в Японии. Вскоре после того, как его приняли на работу, начали всплывать странные противоречия.
В какой-то момент «я разговаривал с парнем по телефону, и он сказал, что у него произошло землетрясение», — вспоминает Раст. Но в последнее время землетрясений в Японии не было. Затем сотрудник начал пропускать звонки, а когда он появился, «это был не он», сказал Раст. «Это кто-то другой». Кто бы это ни был, его японский акцент исчез.
Вскоре Руст узнал, что «Рюхэй» и еще четыре сотрудника, составляющие более трети его команды, были северокорейцами. Rust невольно попал в организованный заговор Северной Кореи с целью предоставить своим сотрудникам удаленную работу за границей и перевести доходы обратно в Пхеньян.
Власти США недавно усилили предупреждения о том, что северокорейские ИТ-специалисты проникают в технологические компании, включая работодателей, занимающихся криптовалютой, и используют доходы для финансирования программы создания ядерного оружия в стране. Согласно отчету ООН за 2024 год, эти ИТ-специалисты зарабатывают Северной Корее до 600 миллионов долларов в год.
Наем и оплата труда работников — даже непреднамеренно — нарушает санкции ООН и является незаконным в США и многих других странах. Это также представляет серьезную угрозу безопасности, поскольку известно, что северокорейские хакеры тайно нанимают сотрудников для атак на компании.
Расследование CoinDesk выявило мотивацию и частоту, с которой соискатели работы из Северной Кореи нацеливаются на криптовалютные компании: они успешно проходят собеседования, проходят проверку данных и даже демонстрируют впечатляющую историю внесения кода в репозиторий программного обеспечения с открытым исходным кодом GitHub.
CoinDesk поговорила с более чем дюжиной криптовалютных компаний, которые заявили, что случайно наняли ИТ-специалистов из Северной Кореи.
Эти интервью с основателями, исследователями блокчейна и отраслевыми экспертами показывают, что северокорейские ИТ-специалисты гораздо чаще встречаются в криптоиндустрии, чем считалось ранее. Почти каждый менеджер по найму, опрошенный для этой статьи, признался, что брал интервью у подозреваемых северокорейских разработчиков, нанимал их без их ведома или знал кого-то, кто это делал.
Заки Маниан, известный разработчик блокчейнов, сказал: «Во всей индустрии шифрования доля резюме, соискателей или сотрудников из Северной Кореи может превышать 50%». Он сказал, что в 2021 году он случайно нанял двух северокорейских ИТ-специалистов». сотрудников для помощи в разработке блокчейна Cosmos Hub. «Все пытаются отсеять этих людей».
Среди ничего не подозревающих северокорейских работодателей, выявленных CoinDesk, — несколько известных блокчейн-проектов, таких как Cosmos Hub, Injective, ZeroLend, Fantom, Sushi и Yearn Finance. «Все это происходит за кулисами», — сказал Маниан.
Расследование стало первым случаем, когда компании публично признали, что непреднамеренно наняли северокорейских ИТ-специалистов.
Во многих случаях северокорейские рабочие работают так же, как обычные сотрудники, поэтому в некотором смысле работодатели получают то, за что платят; Но CoinDesk обнаружил доказательства того, что эти сотрудники затем переводили свою зарплату на адреса блокчейна, связанные с правительством Северной Кореи.
Расследование CoinDesk также выявило несколько случаев, когда криптопроекты, в которых работал северокорейский ИТ-персонал, впоследствии были взломаны. В некоторых из этих случаев кража могла быть напрямую связана с подозреваемыми северокорейскими ИТ-специалистами, получающими зарплату в компании. Так было с Sushi, известным протоколом DeFi, который в результате взлома в 2021 году потерял 3 миллиона долларов.
Управление по контролю за иностранными активами Министерства финансов США (OFAC) и Министерство юстиции начали публиковать информацию о попытках Северной Кореи проникнуть в криптовалютную индустрию США в 2022 году. CoinDesk обнаружил доказательства того, что северокорейские ИТ-специалисты начали работать в криптовалютных компаниях под вымышленными именами задолго до этого, по крайней мере, еще в 2018 году.
«Я думаю, что многие люди ошибочно полагают, что это произошло совершенно неожиданно», — сказал Маниан. «У этих людей были учетные записи GitHub и другие вещи еще в 2016, 2017, 2018 годах». (GitHub, принадлежащий Microsoft, — это онлайн-платформа, используемая многими организациями-разработчиками программного обеспечения для размещения кода и обеспечения совместной работы разработчиков.)
CoinDesk использовала различные методы для связи северокорейских ИТ-специалистов с компаниями, включая записи платежей в блокчейне, публичный код GitHub, электронные письма от правительственных чиновников США и прямые интервью с целевыми компаниями. Одна из крупнейших платежных сетей Северной Кореи, которую расследовала CoinDesk, была обнаружена следователем блокчейна ZachXBT, который в августе опубликовал список подозреваемых северокорейских разработчиков.
Раньше работодатели хранили молчание, опасаясь нежелательной огласки или юридических последствий. Теперь, столкнувшись с множеством записей о платежах и другими доказательствами, обнаруженными CoinDesk, многие из них решили впервые выступить и поделиться своими историями, раскрывая чрезвычайный успех и масштабы проникновения Северной Кореи в индустрию криптовалют.
поддельные документы
После найма Рюхея, который якобы был японским сотрудником, Rust Truflation был завален новыми приложениями. Всего за несколько месяцев Раст, сам того не зная, нанял еще четырех северокорейских разработчиков, которые утверждали, что базируются в Монреале, Ванкувере, Хьюстоне и Сингапуре.
Криптовалютная индустрия особенно уязвима для сбоев со стороны северокорейских ИТ-специалистов. Рабочая сила в криптоиндустрии очень глобальна, и криптокомпании, как правило, более охотно нанимают полностью удаленных (или даже анонимных) разработчиков, чем другие компании.
CoinDesk изучил заявления о приеме на работу в Северной Корее, полученные криптовалютными компаниями из различных источников, включая платформы обмена сообщениями, такие как Telegram и Discord, доски объявлений о вакансиях, посвященные криптовалютам, такие как Crypto Jobs List, и доски объявлений, такие как Indeed.
«Их, скорее всего, наймут в действительно свежие, многообещающие команды, которые готовы нанимать из Discord», — сказал Тейлор Монахан, менеджер по продукту приложения для криптовалютного кошелька MetaMask, который часто публикует исследования безопасности, связанные с North Криптовалютная деятельность Кореи. «У них нет процедуры найма людей, которые проходят проверку биографических данных. Зачастую они готовы платить в криптовалюте».
Раст сказал, что он проверяет анкетные данные всех новых сотрудников Truflation. «Они прислали нам наши паспорта и удостоверения личности, предоставили нам репозиторий GitHub, протестировали его, а затем мы, по сути, наняли их».
Заявитель, который предоставил техасские водительские права в качестве доказательства личности криптовалютной компании Truflation, теперь подозревается в том, что является гражданином Северной Кореи. CoinDesk скрывает некоторые подробности, поскольку северокорейские ИТ-специалисты использовали украденные документы, удостоверяющие личность. (Фото предоставлено Стефаном Рустом)
Для непрофессионала большинство поддельных документов неотличимы от подлинных паспортов и виз, но эксперты сообщили CoinDesk, что профессиональные службы проверки биографических данных, скорее всего, их поймают.
Один из подозреваемых северокорейских ИТ-сотрудников, которых идентифицировал ZachXBT, «Наоки Мурано», предоставил компании, казалось бы, подлинный японский паспорт. (Фото любезно предоставлено Тейлором Монаханом)
Хотя стартапы вряд ли будут использовать профессиональных проверщиков биографических данных, «мы видим северокорейский ИТ-персонал в крупных компаниях либо в качестве реальных сотрудников, либо, по крайней мере, в качестве подрядчиков», — сказал Монахан.
Скрытый на виду
В ряде случаев CoinDesk обнаружил, что ИТ-специалисты северокорейских компаний используют общедоступные данные блокчейна.
В 2021 году компании Iqlusion, принадлежащей разработчику блокчейна Маниана, потребовалась помощь. Он ищет программистов-фрилансеров, которые могли бы помочь с проектом по обновлению популярного блокчейна Cosmos Hub. Он нашел двух новых сотрудников; они работали хорошо.
Маниан никогда не встречался лично с фрилансерами «Джун Кай» и «Саравут Санит». Ранее они сотрудничали над проектом программного обеспечения с открытым исходным кодом, финансируемым тесно связанной сетью блокчейнов THORChain, и рассказали Маниану, что находятся в Сингапуре.
«Я разговаривал с ними почти каждый день в течение года», — сказал Маниан. «Они выполнили свою работу. Честно говоря, я очень доволен».
Через два года после того, как фрилансеры завершили свою работу, Маниан получил электронное письмо от агента ФБР, который расследовал переводы токенов, которые, по-видимому, исходили от Iqlusion и были отправлены на подозрительный адрес криптокошелька в Северной Корее. Указанные переводы оказались платежами от Iqlusion Каю и Санит.
Слева: агент ФБР (имя отредактировано) попросил Заки Маниана предоставить информацию о двух блокчейн-платежах от его компании Iqlusion. Справа: Маниан сообщил агентам, что сделки проводились между Iqlusion и несколькими подрядчиками.
ФБР так и не подтвердило Маниану, что разработчики, с которыми он заключил контракт, были северокорейскими агентами, но проверка CoinDesk адресов блокчейнов Кая и Санита показала, что в течение 2021 и 2022 годов они переводили доходы двум лицам, включенным в санкционный список OFAC: Ким Сан Ману и Лицам. Сим Хён Соп.
По данным OFAC, Сим был представителем северокорейского банка Kwangson Bank, который отмывал средства ИТ-специалистов для помощи «финансированию северокорейских программ создания оружия массового уничтожения и баллистических ракет». Похоже, что Sarawut направил все свои доходы в Sim и другие связанные с Sim блокчейн-кошельки.
Записи блокчейна с апреля по декабрь 2022 года показывают, что «Саравут Санит» отправлял всю свою зарплату на кошелек, связанный с одобренным OFAC северокорейским агентом Симом Хён Сопом. (Выбор кошельков Ethereum, отслеживаемых CoinDesk. Цена актива оценена Arkham.)
В то же время Кай отправил Киму почти 8 миллионов долларов. Согласно консультативному отчету OFAC за 2023 год, Ким был представителем северокорейской компании Chinyong Information Technology Corporate, которая «наняла делегацию северокорейских ИТ-специалистов, работающих в России и Лаосе через контролируемые ею компании и ее представителей».
В течение 2021 года «Джун Кай» отправил криптовалюту на сумму 7,7 миллиона долларов непосредственно на адреса блокчейнов, включенные в санкционный список OFAC, связанный с Ким Сан Маном. (Выбор кошельков Ethereum, отслеживаемых CoinDesk. Цена актива оценена Arkham.)
Зарплата Иклузиона Каю составляла менее 50 000 долларов из почти 8 миллионов долларов, которые он дал Киму, а оставшаяся часть частично поступала от других криптовалютных компаний.
Например, CoinDesk обнаружил, что Fantom Foundation, который разрабатывает широко используемый блокчейн Fantom, заплатил «Джун Каю» и еще одному разработчику, связанному с Северной Кореей.
Представитель Fantom Foundation сообщил CoinDesk: «Fantom действительно подтвердил, что два сторонних человека были связаны с Северной Кореей в 2021 году. Однако вовлеченные разработчики были вовлечены во внешний проект, который так и не был завершен и не развернут».
По данным Fantom Foundation, «два причастных к этому сотрудника были уволены. Они никогда не размещали какой-либо вредоносный код и не имели доступа к базе кода Fantom, а пользователи Fantom не пострадали». Представитель Северной Кореи сообщил, что сотрудники из Северной Кореи пытались атаковать серверы Fantom. но не удалось из-за отсутствия необходимых прав доступа.
Согласно базе данных OpenSanctions, адрес блокчейна Кима, связанный с Северной Кореей, не был опубликован правительством до мая 2023 года, более чем через два года после платежей Iqlusion и Fantom.
дать свободу действий
США и ООН ввели санкции в отношении трудоустройства северокорейских ИТ-специалистов в 2016 и 2017 годах соответственно.
Знаете вы это или нет, но платить северокорейским работникам в Соединенных Штатах незаконно — юридическая концепция, известная как «строгая ответственность».
Не имеет значения и то, где находится компания: наем северокорейских рабочих сопряжен с юридическими рисками для любой компании, ведущей бизнес в стране, которая вводит санкции в отношении Северной Кореи.
Однако Соединенным Штатам и другим государствам-членам ООН еще предстоит привлечь к ответственности криптокомпании, которые нанимают северокорейских ИТ-специалистов.
Министерство финансов США начало расследование в отношении базирующейся в США компании Iqlusion, но Маниан заявил, что расследование завершилось без каких-либо наказаний.
Власти США снисходительно отнеслись к выдвижению обвинений против этих компаний — своего рода признание того, что в лучшем случае они стали жертвами необычайно изощренной и изощренной формы мошенничества с личными данными или, в худшем случае, самой унизительной долгосрочной аферы.
Помимо юридических рисков, Монахан из MetaMask объяснил, что платить северокорейским ИТ-специалистам также «плохо, потому что люди, которым вы платите, в основном эксплуатируются режимом».
Согласно 615-страничному докладу Совета Безопасности ООН, северокорейские ИТ-специалисты смогут сохранить лишь часть своей зарплаты. «Людям с низкими доходами резервируется 10 процентов, а людям с высокими доходами — 30 процентов», — говорится в отчете.
Хотя эта заработная плата все еще может быть высокой по сравнению со средней зарплатой в Северной Корее, «Мне все равно, где они живут», - сказал Монахан. «Если бы я платил кому-то, а он был бы вынужден отсылать всю свою зарплату своему боссу, мне было бы очень неловко. Если бы их начальником был северокорейский режим, мне было бы еще более неловко».
CoinDesk связался с несколькими подозреваемыми северокорейскими ИТ-работниками во время процесса сообщения, но до сих пор не получил ответа.
будущее
CoinDesk выявил более 20 компаний, которые могут нанимать северокорейских ИТ-специалистов, проанализировав платежные записи блокчейна от организаций, находящихся под санкциями OFAC. Двенадцать компаний, представивших соответствующие отчеты, подтвердили CoinDesk, что ранее они обнаруживали в своих платежных ведомостях подозреваемых северокорейских ИТ-сотрудников.
Некоторые отказались от дальнейших комментариев, опасаясь юридических последствий, но другие согласились поделиться своими историями в надежде, что другие смогут извлечь уроки из их опыта.
Во многих случаях северокорейских сотрудников легче идентифицировать после приема на работу.
Эрик Чен, генеральный директор Injective, проекта, ориентированного на децентрализованное финансирование, сказал, что подписал контракт с разработчиком-фрилансером в 2020 году, но быстро уволил его из-за плохой работы.
«Он продержался недолго», — сказал Чен. «Код, который он написал, был ужасен, и результаты не были хорошими». Чен не знал, что этот сотрудник связан с Северной Кореей, до прошлого года, когда «правительственное агентство» США связалось с Injective.
Несколько компаний сообщили CoinDesk, что уволили сотрудника до того, как узнали о каких-либо связях с Северной Кореей, сославшись на некачественную работу.
«Квитанции о зарплате за несколько месяцев»
Однако северокорейские ИТ-специалисты похожи на типичных разработчиков и обладают разными способностями.
С одной стороны, у вас есть сотрудники, которые «приходят в компанию, проходят собеседование и получают зарплату за несколько месяцев», — сказал Маниан, — «А с другой стороны, когда вы проводите собеседование с этими людьми, вы это узнаете. какие они на самом деле. Технические возможности действительно сильны».
Раст вспоминает, как в Truflation встретил «очень хорошего разработчика», который утверждал, что он из Ванкувера, но позже обнаружил, что он из Северной Кореи. «Он действительно молодой человек», — сказал Раст. «Ощущение было такое, будто он только что закончил колледж. Немного зеленоватый, полный энтузиазма, очень взволнованный возможностью работать».
В другом примере стартап DeFi Cluster уволил двух разработчиков в августе после того, как ZachXBT предоставил доказательства того, что они связаны с Северной Кореей.
«Поразительно, как много знали эти люди», — сказал CoinDesk анонимный основатель Cluster z3n. Оглядываясь назад, можно отметить некоторые «очевидные тревожные сигналы». Например: «Они меняют свой платежный адрес каждые две недели, а имя в Discord или имя в Telegram — примерно раз в месяц».
веб-камера выключена
В беседах с CoinDesk многие работодатели заявили, что заметили что-то необычное, что приобрело больше смысла, когда они узнали, что их сотрудники могут быть северокорейцами.
Иногда эти сигналы неуловимы, например, когда часы сотрудника не совпадают с тем местом, где он должен работать.
Другие работодатели, такие как Truflation, заметили, что несколько человек могут притворяться одним человеком, что сотрудники скрывают, отключая веб-камеры. (Они почти все мужчины).
Компания наняла сотрудницу, которая посещала собрания по утрам, но, казалось, забывала все, что обсуждалось позже в тот же день, и эта причуда имела больше смысла, когда она раньше явно разговаривала со многими людьми.
Когда Раст выразил свою обеспокоенность по поводу «японского» сотрудника Рюхея инвестору, имеющему опыт отслеживания преступных платежных сетей, инвестор быстро идентифицировал четырех других подозреваемых северокорейских ИТ-работников, получающих зарплату в Truflation.
«Мы немедленно разорвали связи», — сказал Раст, добавив, что его команда провела аудит безопасности своего кода, усовершенствовала процесс проверки биографических данных и изменила некоторые политики. Одна из новых политик требует, чтобы удаленные работники включали свои камеры.
Взлом на 3 миллиона долларов
Многие работодатели, с которыми консультировался CoinDesk, ошибочно полагают, что северокорейские ИТ-специалисты действуют независимо от хакерского сектора Северной Кореи, но данные блокчейна и беседы с экспертами показывают, что хакерская деятельность Северной Кореи и ИТ-работники часто связаны между собой.
В сентябре 2021 года MISO, платформа, созданная Sushi для выпуска криптотокенов, потеряла 3 миллиона долларов в результате кражи. CoinDesk обнаружил доказательства того, что атака была связана с наймом Sushi двух разработчиков, чьи платежные записи в блокчейне были связаны с Северной Кореей.
На момент взлома Sushi была одной из самых обсуждаемых платформ в развивающемся пространстве DeFi. Более 5 миллиардов долларов было депонировано на SushiSwap, платформе, которая в первую очередь функционирует как «децентрализованная биржа», позволяющая людям торговать криптовалютами без посредника.
Джозеф Делонг, тогдашний технический директор Sushi, связал кражу MISO с двумя разработчиками-фрилансерами, которые работали на платформе: они использовали имена Энтони Келлер и Сава Груйич. Делонг сказал, что эти разработчики, которые, как он теперь подозревает, являются одним и тем же человеком или организацией, внедрили вредоносный код в платформу MISO для перевода средств на кошельки, которые они контролировали.
Когда Келлер и Груйич были наняты Sushi DAO, децентрализованной автономной организацией, управляющей протоколом Sushi, они предоставили полномочия, типичные и даже впечатляющие для разработчиков начального уровня.
Келлер публично использовал псевдоним «eratos1122», но когда он подал заявку на работу в MISO, он использовал имя, которое, по всей видимости, было его настоящим именем — «Энтони Келлер». В резюме, которым Делонг поделился с CoinDesk, Келлер утверждал, что живет в Гейнсвилле, штат Джорджия, и окончил Университет Феникса со степенью бакалавра в области компьютерной инженерии. (В университете не ответили на запрос узнать, есть ли выпускник с таким именем.)
«Энтони Келлер» утверждает, что живет в Гейнсвилле, штат Джорджия, и в его резюме указан опыт работы в популярном приложении для децентрализованных финансов Yearn.
В резюме Келлера упоминается предыдущая работа. Одним из наиболее впечатляющих является Yearn Finance, чрезвычайно популярный протокол криптовалютных инвестиций, который предлагает пользователям возможность зарабатывать проценты с помощью ряда инвестиционных стратегий. Бантег, основной разработчик Yearn, подтвердил, что Келлер работал над Coordinape, приложением, разработанным Yearn, чтобы помочь командам сотрудничать и облегчать платежи. (Бантег сказал, что работа Келлера ограничивалась Coordinape, и у него не было доступа к основной кодовой базе Yearn.)
По словам Делонга, Келлер познакомил Груича с MISO, и они назвали себя «друзьями». Как и Келлер, Груич предоставил резюме, в котором было указано его настоящее имя, а не онлайн-псевдоним «АристоК3». Он утверждал, что родом из Сербии и окончил Белградский университет со степенью бакалавра компьютерных наук. Его учетная запись GitHub активна, а в его резюме указан опыт работы в нескольких небольших криптопроектах и игровых стартапах.
В своем резюме «Сава Груйич» указывает 5-летний опыт программирования и утверждает, что живет в Белграде, Сербия.
Рэйчел Чу, бывший основной разработчик Sushi, которая до кражи тесно сотрудничала с Келлером и Груичем, сказала, что она стала «подозрительно относиться» к этой паре еще до взлома.
Несмотря на расстояние между ними, у Груича и Келлера был «одинаковый акцент» и «одинаковая манера переписываться», сказал Чу. «Каждый раз, когда мы разговаривали, у них был какой-то фоновый шум, как на фабрике», — добавила она. Чу вспомнила, что видела лицо Келлера, но никогда не видела лица Груича. По словам Чу, камера Келлера «приблизилась», поэтому она не могла видеть, что было позади него.
Груйич и Келлер в конечном итоге одновременно прекратили сотрудничать с MISO. «Мы думали, что это один и тот же человек», — сказал Делонг, — «поэтому мы перестали им платить». В разгар пандемии COVID-19 удаленные разработчики криптовалюты притворялись несколькими людьми, чтобы заработать дополнительные деньги из своей заработной платы. Ситуация не такова. необычный.
После увольнения Груича и Келлера летом 2021 года команда Sushi не отказалась отозвать им доступ к кодовой базе MISO.
Согласно снимку экрана, полученному CoinDesk, 2 сентября Груйич, известный под псевдонимом «Aristok3», отправил на платформу MISO вредоносный код для перевода 3 миллионов долларов на новый криптовалютный кошелек.
«Сава Груич» передал в MISO компании Sushi испорченный код, используя псевдоним AristoK3. (Скриншот предоставлен Джозефом Делонгом)
Анализ записей платежей в блокчейне, проведенный CoinDesk, предполагает возможные связи между Груичем, Келлером и Северной Кореей. В марте 2021 года Келлер опубликовал адрес блокчейна в ныне удаленном твите. CoinDesk обнаружил несколько платежей между этим адресом, хакерским адресом Груича и адресом Келлера, зарегистрированным в Sushi. По словам Делонга, внутреннее расследование Sushi в конечном итоге пришло к выводу, что адрес принадлежал Келлеру.
В период с 2021 по 2022 год адреса блокчейна, связанные с Келлером и Груичем, отправили большую часть средств на кошельки, связанные с Северной Кореей. (Выбор кошельков Ethereum, отслеживаемых CoinDesk. Цена актива оценена Arkham.)
CoinDesk обнаружил, что с этого адреса большая часть средств отправлялась «Джун Каю» (разработчику Iqlusion, который отправлял деньги Ким Сан Ману, находящемуся под санкциями OFAC) и другому кошельку, который, судя по всему, действует как прокси для Северной Кореи (поскольку он также платил Киму Сан Ману). ).
Внутреннее расследование «Суши» показало, что Келлер и Груич часто действовали с российских IP-адресов, что еще раз подтверждает версию о том, что они были северокорейцами. По данным OFAC, северокорейские ИТ-специалисты иногда базируются в России. (Номер телефона в США, указанный в резюме Келлера, был деактивирован, а его учетные записи «eratos1122» на Github и Twitter были удалены.)
Кроме того, CoinDesk обнаружил доказательства того, что Суши наняла Келлера и Груича одновременно с другим подозреваемым северокорейским ИТ-подрядчиком. Разработчик, которого ZachXBT называет «Гэри Ли», закодировался под псевдонимом LightFury и отправлял доходы «Джун Каю» и другому прокси-адресу, связанному с Кимом.
С 2021 по 2022 год компания Sushi также наняла еще одного очевидного северокорейского подрядчика по имени Гэри Ли. Рабочий перевел свои доходы за 2021–2022 годы на адреса блокчейна, связанные с Северной Кореей, включая кошелек, который использовал «Джун Кай» из Iqlusion. (Выбор кошельков Ethereum, отслеживаемых CoinDesk. Цена актива оценена Arkham.)
Груйич вернул украденные средства после того, как Суши публично обвинил в нападении псевдоним Келлера «eratos1122» и пригрозил привлечь ФБР. Хотя может показаться нелогичным, что северокорейские ИТ-специалисты будут обеспокоены защитой поддельных личных данных, северокорейские ИТ-специалисты, похоже, повторно используют определенные имена и строят свою репутацию, участвуя во многих проектах, возможно, чтобы завоевать доверие будущих работодателей.
Можно подумать, что защита псевдонима Энтони Келлера будет более выгодной в долгосрочной перспективе: в 2023 году, через два года после инцидента в суши, человек по имени «Энтони Келлер» подал заявку в компанию Стефана Раста Truflation.
Coindesk попыталась связаться с «Энтони Келлером» и «Саввой Груичем» для получения комментариев, но безуспешно.
Ограбление в северокорейском стиле
По данным ООН, Северная Корея украла более 3 миллиардов долларов в криптовалюте в результате хакерских атак за последние семь лет. По словам представителя компании Мадлен Кеннеди, из хакерских атак, отслеженных аналитической фирмой Chainaанализ в первой половине 2023 года, 15 были связаны с Северной Кореей, «около половины из которых были связаны с кражами, связанными с ИТ-работниками».
Кибератаки Северной Кореи не похожи на голливудскую версию хакерства, где скрытые программисты используют сложный компьютерный код и черно-зеленые компьютерные терминалы для взлома мэйнфреймов.
Атаки в стиле Северной Кореи явно нетехнологичны. Обычно они включают в себя ту или иную форму социальной инженерии, когда злоумышленник завоевывает доверие жертвы, владеющей системными ключами, а затем напрямую извлекает эти ключи с помощью чего-то простого, например, вредоносной ссылки по электронной почте.
«До сих пор мы никогда не видели, чтобы Северная Корея проводила настоящую атаку», — сказал Монахан. «Они всегда начинают с атаки с помощью социальной инженерии, затем компрометируют устройство, а затем крадут секретные ключи».
ИТ-специалисты хорошо подходят для участия в грабительских операциях Северной Кореи, либо путем получения личной информации, которая может быть использована для саботажа потенциальных целей, либо путем прямого доступа к программным системам, изобилующим цифровыми деньгами.
серия совпадений
25 сентября, когда должна была быть опубликована эта статья, CoinDesk организовал видеозвонок с Rust от Truflation. План состоит в том, чтобы проверить некоторые детали, которыми он поделился ранее.
Взволнованный Раст присоединился к разговору с опозданием на 15 минут. Его только что взломали.
CoinDesk связалась с более чем 20 проектами, которые, по всей видимости, были обмануты при найме северокорейских ИТ-специалистов. Только за последние две недели интервью были взломаны два проекта: Truflation и приложение для кредитования в криптовалюте под названием Delta Prime.
Пока слишком рано говорить о том, связаны ли два хакерских инцидента с непреднамеренным наймом северокорейских ИТ-сотрудников.
16 сентября компания Delta Prime была впервые скомпрометирована. CoinDesk ранее обнаружил платежи и кодовые вклады между Delta Prime и Наоки Мурано, одним из связанных с Северной Кореей разработчиков, продвигаемых анонимным сыщиком по блокчейну ZachXBT.
Проект потерял более 7 миллионов долларов, при этом официальное объяснение заключалось в том, что «закрытые ключи были скомпрометированы». Delta Prime не ответила на многочисленные запросы о комментариях.
Взлом Truflation последовал менее чем через две недели. Примерно за два часа до разговора с CoinDesk Руст заметил отток средств из своего криптокошелька. Он только что вернулся из командировки в Сингапур и пытался понять, что же он сделал не так. «Я просто не знаю, как это произошло», — сказал он. «Я держу свои ноутбуки запертыми в стене отеля. Телефон всегда ношу с собой».
Пока Раст говорил, миллионы долларов уходили из его личного блокчейн-кошелька. «Я имею в виду, это действительно плохо. Эти деньги — плата за обучение и пенсия моих детей».
Truflation и Rust в итоге потеряли около 5 миллионов долларов. Чиновники установили, что причиной пропажи стала кража закрытого ключа.