ZachXBT викрив внутрішні дані працівників IT Північної Кореї сьогодні, детально описуючи криптовалютний потік у 3,5 мільйона доларів з кінця 2025 року. Згідно з ZachXBT, набір даних походить з скомпрометованого пристрою і включає 390 облікових записів, журнали чатів та записи транзакцій. Висновки розкривають, як працівники використовували фейкові особистості, слабку безпеку та координовані системи для обробки приблизно 1 мільйона доларів щомісяця.
Згідно з ZachXBT в детальному X потоці, неназване джерело надало дані, витягнуті з внутрішнього платіжного сервера, що використовується працівниками IT Північної Кореї. Набір даних включає журнали чатів з IPMsg, списки облікових записів і історії браузера, пов'язані з шахрайськими операціями. Користувачі обговорювали платформу під назвою luckyguys[.]site, описану як хаб для переказів.
Система функціонувала як інструмент для обміну повідомленнями та як канал звітності. Працівники подавали відомості про заробіток і отримували інструкції через цю платформу. Однак слабка безпека зробила систему вразливою: кілька акаунтів використовували пароль за замовчуванням «123456» без змін.
У записах користувачів були вказані корейські імена, міста та закодовані ідентифікатори груп. Крім того, у даних з’явилися три суб’єкти: Sobaeksu, Saenal і Songkwang. Ці компанії наразі перебувають під санкціями OFAC, що пов’язує мережу з раніше ідентифікованими операціями.
Шаблони транзакцій розкривають потік у розмірі 3,5 млн доларів.
Журнали транзакцій демонструють послідовний рух коштів у межах мережі. За даними ZachXBT, користувачі переводили криптовалюту з бірж або сервісів, перш ніж конвертувати її у фіат. У багатьох випадках працівники використовували китайські банківські рахунки та платформи на кшталт Payoneer для виведення коштів.
Адміністративний обліковий запис, ідентифікований як PC-1234, підтвердив платежі та розповсюдив облікові дані. Ці облікові дані відрізнялися між криптобіржами та фінтех-платформами залежно від потреб користувачів. Починаючи з листопада 2025 року відстежені адреси гаманців обробили понад 3,5 млн доларів.
Блокчейн-трасування пов’язало кілька платіжних адрес із відомою Північнокорейською загрозою DPRK. Один гаманець Tron було заморожено Tether у грудні 2025 року. Ця дія вказує на обмежене втручання учасників індустрії відповідно до ZachXBT.
Фальшиві ідентичності, навчання та координація
Набір даних також описує, як працівники отримували віддалену роботу, використовуючи підроблені ідентичності. За даними ZachXBT, скомпрометовані дані пристрою розкрили фальшиві персоналії, заявки на вакансії та активність у браузері.
Працівники покладалися на інструменти на кшталт Astrill VPN, щоб приховувати локації під час цих операцій. Це нове розслідування з’явилося після того, як ZachXBT розкритикував Circle за затримку експлойту в протоколі Drift на понад 285 млн доларів. У новому звіті внутрішні чати показали координацію між кількома платформами.
Адміністратор надав 43 модулі з тем зворотної інженерії, зокрема Hex-Rays та IDA Pro. Ці сесії були зосереджені на дизасемблюванні, налагодженні та аналізі шкідливого ПЗ, що вказує на триваючий технічний розвиток у мережі.