Cuộc điều tra 10.000 từ: Cách Triều Tiên thâm nhập vào ngành công nghiệp tiền điện tử

Tác giả: Sam Kessler, Coindesk
Biên soạn: Joy, PANews
Những điểm chính của bài viết:
CoinDesk phát hiện ra rằng hơn chục công ty tiền điện tử đã vô tình thuê nhân viên CNTT từ Triều Tiên, bao gồm các dự án blockchain cao cấp như Injective, ZeroLend, Fantom, Sushi, Yearn Finance và Cosmos Hub.
Những nhân viên này đã sử dụng ID giả, vượt qua các cuộc phỏng vấn thành công, vượt qua kiểm tra trình độ chuyên môn và cung cấp kinh nghiệm làm việc xác thực.
Thuê công nhân Triều Tiên là bất hợp pháp tại Hoa Kỳ và các quốc gia khác áp đặt lệnh trừng phạt đối với Triều Tiên. Điều này cũng gây ra rủi ro bảo mật khi CoinDesk phát hiện ra rằng một số công ty đã bị tấn công sau khi tuyển dụng nhân viên CNTT Triều Tiên.
Zaki Manian, một nhà phát triển blockchain nổi tiếng, cho biết: “Mọi người đang cố gắng lọc ra những người này”. Anh ấy nói rằng anh ấy đã vô tình thuê hai nhân viên CNTT người Triều Tiên vào năm 2021 để giúp phát triển chuỗi khối Cosmos Hub.
Công ty tiền điện tử Truflation vẫn còn ở giai đoạn sơ khai vào năm 2023 khi người sáng lập Stefan Rust vô tình thuê nhân viên người Triều Tiên đầu tiên của mình.
“Chúng tôi luôn tìm kiếm những nhà phát triển giỏi,” Rust nói từ quê nhà Thụy Sĩ. Thật bất ngờ, "nhà phát triển này đã gặp chúng tôi."
"Ryuhei" đã gửi sơ yếu lý lịch của mình qua Telegram, khẳng định đang làm việc tại Nhật Bản. Ngay sau khi anh được thuê, những mâu thuẫn kỳ lạ bắt đầu xuất hiện.
Rust kể lại: “Có lúc, tôi đã nói chuyện với anh ấy qua điện thoại và anh ấy nói rằng mình gặp phải một trận động đất”. Nhưng gần đây không có trận động đất nào ở Nhật Bản. Sau đó, nhân viên này bắt đầu bỏ lỡ các cuộc gọi và khi anh ta xuất hiện thì “không phải anh ta”, Rust nói. “Là ai đó khác.” Dù đó là ai đi nữa, giọng Nhật của họ đã biến mất.
Rust sớm biết rằng "Ryuhei" và 4 nhân viên khác, hơn 1/3 trong nhóm của anh, là người Triều Tiên. Rust vô tình rơi vào một âm mưu có tổ chức của Triều Tiên nhằm cung cấp cho nhân viên của họ công việc ở nước ngoài từ xa và chuyển thu nhập về Bình Nhưỡng.
Chính quyền Hoa Kỳ gần đây đã tăng cường cảnh báo rằng các nhân viên CNTT của Triều Tiên đang thâm nhập vào các công ty công nghệ, bao gồm cả các nhà tuyển dụng tiền điện tử và sử dụng số tiền thu được để tài trợ cho chương trình vũ khí hạt nhân của nước này. Theo báo cáo năm 2024 của Liên Hợp Quốc, những nhân viên CNTT này kiếm được cho Triều Tiên tới 600 triệu USD mỗi năm.
Thuê và trả lương cho công nhân - thậm chí là vô ý - vi phạm các lệnh trừng phạt của Liên Hợp Quốc và là bất hợp pháp ở Hoa Kỳ và nhiều quốc gia khác. Điều này cũng gây ra rủi ro bảo mật nghiêm trọng, vì tin tặc Triều Tiên được biết là bí mật tuyển dụng nhân viên để tấn công các công ty.
Một cuộc điều tra của CoinDesk cho thấy động cơ và tần suất mà những người tìm việc ở Triều Tiên nhắm đến các công ty tiền điện tử – thành công trong các cuộc phỏng vấn, vượt qua kiểm tra lý lịch và thậm chí chứng minh lịch sử đóng góp mã ấn tượng trên kho phần mềm nguồn mở GitHub.
CoinDesk đã nói chuyện với hơn chục công ty tiền điện tử, những người nói rằng họ đã vô tình thuê nhân viên CNTT từ Triều Tiên.
Những cuộc phỏng vấn này với những người sáng lập, nhà nghiên cứu blockchain và chuyên gia trong ngành cho thấy rằng nhân viên CNTT của Triều Tiên phổ biến hơn nhiều trong ngành công nghiệp tiền điện tử so với suy nghĩ trước đây. Gần như mọi người quản lý tuyển dụng được phỏng vấn cho bài báo này đều thừa nhận rằng họ đã phỏng vấn các nhà phát triển bị nghi ngờ là người Triều Tiên, đã thuê họ mà họ không hề biết hoặc biết ai đó đã làm việc đó.
Zaki Manian, một nhà phát triển blockchain nổi tiếng, cho biết: “Trong toàn bộ ngành công nghiệp mã hóa, tỷ lệ hồ sơ, người xin việc hoặc người đóng góp từ Triều Tiên có thể vượt quá 50%. Ông nói rằng ông đã vô tình thuê hai nhân viên CNTT của Triều Tiên vào năm 2021”. nhân viên để giúp phát triển chuỗi khối Cosmos Hub. "Mọi người đang cố gắng loại bỏ những người này."
Trong số các nhà tuyển dụng Triều Tiên vô tình được CoinDesk xác định có một số dự án blockchain nổi tiếng như Cosmos Hub, Injective, ZeroLend, Fantom, Sushi và Yearn Finance. “Tất cả đều diễn ra ở hậu trường,” Manian nói.
Cuộc điều tra là lần đầu tiên các công ty này công khai thừa nhận việc vô tình tuyển dụng nhân viên CNTT người Triều Tiên.
Trong nhiều trường hợp, công nhân Triều Tiên làm việc giống như những người lao động bình thường; vì vậy, theo một nghĩa nào đó, người sử dụng lao động về cơ bản nhận được những gì họ phải trả để giao hàng. Nhưng CoinDesk đã tìm thấy bằng chứng cho thấy những nhân viên đó sau đó chuyển tiền lương của họ đến các địa chỉ blockchain được liên kết với chính phủ Triều Tiên.
Cuộc điều tra của CoinDesk cũng tiết lộ một số trường hợp trong đó các dự án tiền điện tử sử dụng nhân viên CNTT của Triều Tiên sau đó đã bị hack. Trong một số trường hợp, vụ trộm có thể liên quan trực tiếp đến các nhân viên CNTT bị nghi ngờ là người Triều Tiên đang nhận lương của công ty. Đây là trường hợp của Sushi, một giao thức DeFi nổi tiếng đã mất 3 triệu USD sau một vụ hack vào năm 2021.
Văn phòng Kiểm soát Tài sản Nước ngoài (OFAC) của Bộ Tài chính Hoa Kỳ và Bộ Tư pháp bắt đầu công khai nỗ lực của Triều Tiên nhằm thâm nhập vào ngành công nghiệp tiền điện tử của Hoa Kỳ vào năm 2022. CoinDesk đã phát hiện ra bằng chứng cho thấy các nhân viên CNTT của Triều Tiên đã bắt đầu làm việc cho các công ty tiền điện tử dưới danh tính giả từ lâu trước đó, ít nhất là vào đầu năm 2018.
Manian nói: “Tôi nghĩ nhiều người đang hiểu sai rằng đây là điều gì đó bất ngờ xảy ra”. “Những người này đã có tài khoản GitHub và những thứ khác từ năm 2016, 2017, 2018.” (GitHub, thuộc sở hữu của Microsoft, là một nền tảng trực tuyến được nhiều tổ chức phần mềm sử dụng để lưu trữ mã và cho phép các nhà phát triển cộng tác.)
CoinDesk đã sử dụng nhiều phương pháp khác nhau để kết nối nhân viên CNTT Triều Tiên với các công ty, bao gồm hồ sơ thanh toán blockchain, đóng góp mã GitHub công khai, email từ các quan chức chính phủ Hoa Kỳ và phỏng vấn trực tiếp với các công ty mục tiêu. Một trong những mạng thanh toán lớn nhất ở Triều Tiên do CoinDesk điều tra đã được phát hiện bởi nhà điều tra blockchain ZachXBT, người đã công bố danh sách các nhà phát triển bị nghi ngờ của Triều Tiên vào tháng 8.
Trước đó, các nhà tuyển dụng vẫn giữ im lặng vì sợ dư luận không mong muốn hoặc hậu quả pháp lý. Giờ đây, đối mặt với hàng loạt hồ sơ thanh toán và các bằng chứng khác được CoinDesk khai quật, nhiều người trong số họ đã quyết định ra mặt và chia sẻ câu chuyện của mình lần đầu tiên, vạch trần sự thành công và quy mô phi thường của sự xâm nhập của Triều Tiên vào ngành công nghiệp tiền điện tử.
giấy tờ giả mạo
Sau khi thuê Ryuhei, người có vẻ là nhân viên người Nhật, Rust's Truflation tràn ngập các ứng dụng mới. Chỉ trong vòng vài tháng, Rust đã vô tình thuê thêm bốn nhà phát triển Triều Tiên, những người này tuyên bố có trụ sở tại Montreal, Vancouver, Houston và Singapore.
Ngành công nghiệp tiền điện tử đặc biệt dễ bị tổn thương trước sự gián đoạn của các nhân viên CNTT Triều Tiên. Lực lượng lao động của ngành tiền điện tử có tính toàn cầu và các công ty tiền điện tử có xu hướng sẵn sàng thuê các nhà phát triển hoàn toàn từ xa (hoặc thậm chí ẩn danh) hơn các công ty khác.
CoinDesk đã xem xét các đơn xin việc của Triều Tiên mà các công ty tiền điện tử nhận được từ nhiều nguồn khác nhau, bao gồm các nền tảng nhắn tin như Telegram và Discord, các bảng việc làm dành riêng cho tiền điện tử như Danh sách việc làm tiền điện tử và các bảng việc làm như Indeed.
Taylor Monahan, giám đốc sản phẩm của ứng dụng ví tiền điện tử MetaMask, người thường xuyên xuất bản nghiên cứu bảo mật liên quan đến North, cho biết: “Nơi họ có nhiều khả năng được tuyển dụng nhất là với những đội ngũ thực sự mới, đầy triển vọng, sẵn sàng thuê từ Discord”. Hoạt động tiền điện tử của Hàn Quốc. “Họ không có sẵn quy trình để thuê những người trải qua quá trình kiểm tra lý lịch. Nhiều khi họ sẵn sàng trả bằng tiền điện tử.”
Rust cho biết anh tiến hành kiểm tra lý lịch tất cả nhân viên mới của Truflation. “Họ đã gửi cho chúng tôi hộ chiếu và ID của chúng tôi, đưa cho chúng tôi kho lưu trữ GitHub, kiểm tra nó và về cơ bản thì chúng tôi đã thuê họ.”
Một người nộp đơn đã nộp bằng lái xe Texas làm bằng chứng nhận dạng cho công ty tiền điện tử Truflation hiện bị nghi ngờ là công dân Triều Tiên. CoinDesk đang giữ lại một số thông tin chi tiết vì nhân viên CNTT Triều Tiên đã sử dụng tài liệu nhận dạng bị đánh cắp. (Hình ảnh lịch sự của Stefan Rust)
Đối với một người bình thường, hầu hết các tài liệu giả mạo sẽ không thể phân biệt được với hộ chiếu và thị thực thật, nhưng các chuyên gia nói với CoinDesk rằng các dịch vụ kiểm tra lý lịch chuyên nghiệp có khả năng phát hiện ra chúng.
Một trong những nhân viên CNTT bị tình nghi là người Triều Tiên được ZachXBT xác định, "Naoki Murano", đã cung cấp cho công ty hộ chiếu Nhật Bản có vẻ như thật. (Ảnh do Taylor Monahan cung cấp)
Monahan cho biết, mặc dù các công ty khởi nghiệp khó có thể sử dụng công cụ kiểm tra lý lịch chuyên nghiệp, nhưng “chúng tôi thấy nhân viên CNTT người Triều Tiên tại các công ty lớn hơn, với tư cách là nhân viên thực tế hoặc ít nhất là nhà thầu”.
Ẩn trong tầm nhìn rõ ràng
Trong một số trường hợp, CoinDesk phát hiện nhân viên CNTT tại các công ty Triều Tiên sử dụng dữ liệu blockchain có sẵn công khai.
Vào năm 2021, công ty Iqlusion của nhà phát triển blockchain Manian cần một số trợ giúp. Anh ấy đang tìm kiếm các lập trình viên tự do có thể trợ giúp cho dự án nâng cấp chuỗi khối Cosmos Hub phổ biến. Anh ấy đã tìm được hai nhân viên mới; họ làm việc rất tốt.
Manian chưa bao giờ gặp trực tiếp các freelancer "Jun Kai" và "Sarawut Sanit". Trước đây, họ đã hợp tác trong một dự án phần mềm nguồn mở được tài trợ bởi mạng blockchain THORChain có liên quan chặt chẽ và họ nói với Manian rằng họ đang ở Singapore.
“Tôi nói chuyện với họ hầu như mỗi ngày trong suốt một năm,” Manian nói. "Họ đã hoàn thành công việc. Thành thật mà nói, tôi rất hài lòng."
Hai năm sau khi những người làm nghề tự do hoàn thành công việc của họ, Manian nhận được email từ một đặc vụ FBI đang điều tra việc chuyển token dường như bắt nguồn từ Iqlusion và được gửi đến một địa chỉ ví tiền điện tử bị nghi ngờ ở Triều Tiên. Các giao dịch chuyển tiền được đề cập hóa ra là các khoản thanh toán từ Iqlusion cho Kai và Sanit.
Bên trái: Một đặc vụ FBI (tên đã được biên tập lại) đã yêu cầu Zaki Manian cung cấp thông tin về hai khoản thanh toán blockchain từ công ty của anh ta, Iqlusion. Đúng: Manian đã thông báo cho các đại lý rằng các giao dịch là giữa Iqlusion và nhiều nhà thầu.
FBI chưa bao giờ xác nhận với Manian rằng các nhà phát triển mà anh ta ký hợp đồng là đặc vụ Triều Tiên, nhưng đánh giá của CoinDesk về các địa chỉ blockchain của Kai và Sanit đã tiết lộ rằng trong suốt năm 2021 và 2022, họ đã chuyển thu nhập cho hai cá nhân trong danh sách trừng phạt của OFAC: Kim Sang Man và. Sim Hyon Sop.
Theo OFAC, Sim là đại diện của Ngân hàng Kwangson của Triều Tiên, nơi rửa tiền cho nhân viên CNTT để giúp “tài trợ cho các chương trình vũ khí hủy diệt hàng loạt và tên lửa đạn đạo của Triều Tiên”. Sarawut dường như đã chuyển tất cả thu nhập của mình vào Sim và các ví blockchain được liên kết với Sim khác.
Hồ sơ chuỗi khối từ tháng 4 đến tháng 12 năm 2022 cho thấy “Sarawut Sanit” đã gửi tất cả tiền lương của anh ấy đến một ví có liên quan đến đặc vụ Triều Tiên Sim Hyon Sop được OFAC phê duyệt. (Lựa chọn các ví Ethereum được CoinDesk theo dõi. Giá tài sản được Arkham ước tính.)
Đồng thời, Kai gửi trực tiếp gần 8 triệu USD cho Kim. Theo báo cáo tư vấn của OFAC năm 2023, Kim là đại diện của Công ty Hợp tác Công nghệ Thông tin Chinyong do Triều Tiên điều hành, công ty này đã “sử dụng một phái đoàn nhân viên CNTT Triều Tiên làm việc ở Nga và Lào thông qua các công ty mà họ kiểm soát và đại diện của họ”.
Trong suốt năm 2021, “Jun Kai” đã gửi trực tiếp số tiền điện tử trị giá 7,7 triệu đô la đến các địa chỉ blockchain trong danh sách trừng phạt OFAC liên quan đến Kim Sang Man. (Lựa chọn các ví Ethereum được CoinDesk theo dõi. Giá tài sản được Arkham ước tính.)
Mức lương của Iqlusion cho Kai chưa đến 50.000 USD trong số gần 8 triệu USD mà anh đưa cho Kim, phần còn lại một phần đến từ các công ty tiền điện tử khác.
Ví dụ: CoinDesk phát hiện ra rằng Fantom Foundation, nơi phát triển chuỗi khối Fantom được sử dụng rộng rãi, đã trả tiền cho “Jun Kai” và một nhà phát triển khác có quan hệ với Triều Tiên.
Người phát ngôn của Fantom Foundation nói với CoinDesk: “Fantom đã xác nhận rằng hai cá nhân bên ngoài có liên quan đến Triều Tiên vào năm 2021. Tuy nhiên, các nhà phát triển có liên quan đã tham gia vào một dự án bên ngoài chưa bao giờ được hoàn thành và chưa bao giờ được triển khai.”
Theo Fantom Foundation, "Hai nhân viên liên quan đã bị sa thải. Họ chưa bao giờ đóng góp bất kỳ mã độc hại nào hoặc truy cập cơ sở mã của Fantom và người dùng Fantom không bị ảnh hưởng." nhưng không thành công do thiếu quyền truy cập cần thiết.
Theo cơ sở dữ liệu OpenSanctions, địa chỉ blockchain liên quan đến Triều Tiên của Kim đã không được chính phủ công bố cho đến tháng 5 năm 2023, hơn hai năm sau các khoản thanh toán Iqlusion và Fantom.
cho đi tự do
Hoa Kỳ và Liên Hợp Quốc đã áp đặt các biện pháp trừng phạt đối với việc tuyển dụng nhân viên CNTT của Triều Tiên vào năm 2016 và 2017.
Dù bạn có biết hay không thì việc trả lương cho công nhân Triều Tiên ở Hoa Kỳ là bất hợp pháp - một khái niệm pháp lý được gọi là “trách nhiệm pháp lý nghiêm ngặt”.
Việc công ty đặt trụ sở ở đâu cũng không quan trọng: Việc thuê công nhân Triều Tiên mang lại rủi ro pháp lý cho bất kỳ công ty nào kinh doanh tại một quốc gia áp dụng các lệnh trừng phạt đối với Triều Tiên.
Tuy nhiên, Hoa Kỳ và các quốc gia thành viên khác của Liên Hợp Quốc vẫn chưa truy tố các công ty tiền điện tử sử dụng nhân viên CNTT của Triều Tiên.
Bộ Tài chính Hoa Kỳ đã mở một cuộc điều tra về Iqlusion có trụ sở tại Hoa Kỳ, nhưng Manian cho biết cuộc điều tra đã kết thúc mà không có bất kỳ hình phạt nào.
Chính quyền Hoa Kỳ đã rất khoan dung trong việc buộc tội các công ty này - một kiểu thừa nhận rằng, trong trường hợp tốt nhất, họ đã phải chịu một hình thức gian lận danh tính tinh vi và tinh vi bất thường, hoặc tệ nhất là một vụ lừa đảo dài hạn nhục nhã nhất.
Ngoài những rủi ro pháp lý, Monahan của MetaMask giải thích rằng việc trả lương cho nhân viên CNTT của Triều Tiên cũng “tệ vì những người bạn trả về cơ bản là những người bị chế độ bóc lột”.
Theo báo cáo dài 615 trang của Hội đồng Bảo an Liên hợp quốc, các nhân viên CNTT của Triều Tiên sẽ chỉ được giữ lại một phần tiền lương. Báo cáo nêu rõ: “Người có thu nhập thấp được đặt trước 10%, trong khi người có thu nhập cao được giữ 30%.
Mặc dù mức lương đó có thể vẫn cao so với mức trung bình của Triều Tiên, nhưng “Tôi không quan tâm họ sống ở đâu”, Monahan nói. "Nếu tôi trả tiền cho ai đó và họ buộc phải gửi toàn bộ tiền lương cho ông chủ của họ, điều đó sẽ khiến tôi rất khó chịu. Nếu ông chủ của họ là chế độ Triều Tiên, tôi sẽ càng khó chịu hơn".
CoinDesk đã liên hệ với nhiều nhân viên CNTT bị nghi ngờ là nhân viên CNTT của Triều Tiên trong quá trình báo cáo nhưng vẫn chưa nhận được phản hồi.
tương lai
CoinDesk đã xác định hơn 20 công ty có thể tuyển dụng nhân viên CNTT Triều Tiên bằng cách phân tích hồ sơ thanh toán blockchain từ các thực thể bị OFAC trừng phạt. Mười hai công ty đã gửi hồ sơ liên quan đã xác nhận với CoinDesk rằng trước đây họ đã tìm thấy những nhân viên CNTT bị nghi ngờ là người Triều Tiên trong biên chế của họ.
Một số từ chối bình luận thêm vì sợ hậu quả pháp lý, nhưng những người khác đồng ý chia sẻ câu chuyện của họ với hy vọng những người khác có thể học hỏi kinh nghiệm của họ.
Trong nhiều trường hợp, nhân viên Triều Tiên sẽ dễ bị nhận diện hơn sau khi được tuyển dụng.
Eric Chen, Giám đốc điều hành của Injective, một dự án tập trung vào tài chính phi tập trung, cho biết ông đã ký hợp đồng với một nhà phát triển tự do vào năm 2020 nhưng nhanh chóng sa thải anh ta do hiệu suất kém.
“Anh ấy không tồn tại được lâu,” Chen nói. “Mã anh ấy viết rất kém và kết quả không tốt.” Chen không biết nhân viên này có quan hệ với Triều Tiên cho đến năm ngoái, khi một “cơ quan chính phủ” Hoa Kỳ liên hệ với Injective.
Một số công ty nói với CoinDesk rằng họ đã sa thải một nhân viên trước khi biết được bất kỳ mối quan hệ nào với Triều Tiên – với lý do chất lượng công việc không đạt tiêu chuẩn.
"Cuộn tiền lương của vài tháng"
Tuy nhiên, nhân viên CNTT Triều Tiên cũng giống như các nhà phát triển điển hình và có những khả năng khác nhau.
Manian nói: “Một mặt, bạn có những nhân viên “vào công ty, trải qua quá trình phỏng vấn và kiếm được vài tháng lương”. thực chất chúng là gì. Khả năng kỹ thuật thực sự mạnh mẽ.”
Rust nhớ lại đã gặp "một nhà phát triển rất giỏi" khi ở Truflation, người này tự nhận là đến từ Vancouver, nhưng sau đó phát hiện ra rằng anh ta đến từ Triều Tiên. “Anh ấy thực sự là một chàng trai trẻ,” Rust nói. “Cảm giác như anh ấy mới ra trường. Hơi xanh, rất nhiệt tình, rất hào hứng với cơ hội được làm việc”.
Trong một ví dụ khác, Cluster khởi nghiệp DeFi đã sa thải hai nhà phát triển vào tháng 8 sau khi ZachXBT cung cấp bằng chứng cho thấy họ có quan hệ với Triều Tiên.
“Thật đáng ngạc nhiên là những người này biết được bao nhiêu,” z3n, người sáng lập ẩn danh của Cluster, nói với CoinDesk khi nhìn lại, đã có một số “cờ đỏ rõ ràng”. Ví dụ: "Họ thay đổi địa chỉ thanh toán hai tuần một lần và tên Discord hoặc tên Telegram của họ mỗi tháng hoặc lâu hơn."
tắt webcam
Trong cuộc trò chuyện với CoinDesk, nhiều nhà tuyển dụng cho biết họ nhận thấy điều gì đó bất thường và điều đó càng hợp lý hơn khi họ biết nhân viên của mình có thể là người Triều Tiên.
Đôi khi những dấu hiệu này rất tinh vi, chẳng hạn như khi giờ làm của nhân viên không khớp với nơi họ phải làm việc.
Các nhà tuyển dụng khác, chẳng hạn như Truflation, đã nhận thấy rằng nhiều người có thể đang giả vờ là một người, điều này khiến nhân viên che giấu bằng cách tắt webcam của họ. (Hầu hết họ đều là đàn ông).
Một công ty đã thuê một nhân viên tham dự các cuộc họp vào buổi sáng nhưng dường như quên mất mọi thứ được thảo luận sau đó trong ngày, một điều kỳ quặc càng có lý hơn khi cô ấy đã nói chuyện rõ ràng với nhiều người trước đó.
Khi Rust bày tỏ mối lo ngại về nhân viên "người Nhật" Ryuhei với một nhà đầu tư có kinh nghiệm theo dõi mạng lưới thanh toán tội phạm, nhà đầu tư này đã nhanh chóng xác định được 4 nhân viên CNTT bị nghi ngờ khác của Triều Tiên thuộc biên chế của Truflation.
“Chúng tôi cắt đứt quan hệ ngay lập tức,” Rust nói và cho biết thêm rằng nhóm của ông đã tiến hành kiểm tra bảo mật mã của nó, nâng cao quy trình kiểm tra lý lịch và thay đổi một số chính sách. Một trong những chính sách mới là yêu cầu nhân viên làm việc từ xa phải bật camera của họ.
vụ hack 3 triệu USD
Nhiều nhà tuyển dụng được CoinDesk tư vấn đã lầm tưởng rằng các nhân viên CNTT của Triều Tiên hoạt động độc lập với lĩnh vực hack của Triều Tiên, nhưng dữ liệu blockchain và các cuộc trò chuyện với các chuyên gia cho thấy các hoạt động hack của Triều Tiên và nhân viên CNTT thường có mối liên hệ với nhau.
Vào tháng 9 năm 2021, MISO, một nền tảng do Sushi xây dựng để phát hành mã thông báo tiền điện tử, đã bị mất 3 triệu đô la trong một vụ trộm. CoinDesk tìm thấy bằng chứng cho thấy cuộc tấn công có liên quan đến việc Sushi thuê hai nhà phát triển có hồ sơ thanh toán blockchain có liên quan đến Triều Tiên.
Vào thời điểm xảy ra vụ hack, Sushi là một trong những nền tảng được nhắc đến nhiều nhất trong không gian DeFi mới nổi. Hơn 5 tỷ USD đã được gửi vào SushiSwap, một nền tảng hoạt động chủ yếu như một “sàn giao dịch phi tập trung” để mọi người giao dịch tiền điện tử mà không cần qua trung gian.
Joseph Delong, giám đốc công nghệ của Sushi vào thời điểm đó, đã truy ra vụ trộm MISO của hai nhà phát triển tự do làm việc trên nền tảng này: họ sử dụng tên Anthony Keller và Sava Grujic. Delong cho biết những nhà phát triển này, những người mà ông hiện nghi ngờ là cùng một cá nhân hoặc tổ chức, đã tiêm mã độc vào nền tảng MISO để chuyển tiền vào ví mà họ kiểm soát.
Khi Keller và Grujic được Sushi DAO, tổ chức tự trị phi tập trung quản lý giao thức Sushi, thuê, họ đã đưa ra các thông tin xác thực điển hình và thậm chí ấn tượng đối với các nhà phát triển mới vào nghề.
Keller sử dụng bút danh "eratos1122" ở nơi công cộng, nhưng khi nộp đơn xin việc tại MISO, anh ấy đã sử dụng tên thật của mình, "Anthony Keller". Trong sơ yếu lý lịch mà Delong chia sẻ với CoinDesk, Keller tuyên bố sống ở Gainesville, Georgia và tốt nghiệp Đại học Phoenix với bằng cử nhân kỹ thuật máy tính. (Trường đại học đã không trả lời yêu cầu xem liệu có sinh viên tốt nghiệp có cùng tên hay không.)
“Anthony Keller” tuyên bố sống ở Gainesville, Georgia và sơ yếu lý lịch của anh ấy liệt kê kinh nghiệm làm việc tại ứng dụng tài chính phi tập trung phổ biến Yearn.
Sơ yếu lý lịch của Keller có đề cập đến công việc trước đây. Một trong những điều ấn tượng nhất là Yearn Finance, một giao thức đầu tư tiền điện tử cực kỳ phổ biến, cung cấp cho người dùng cách kiếm tiền lãi thông qua một loạt chiến lược đầu tư. Banteg, nhà phát triển cốt lõi của Yearn, xác nhận rằng Keller đã làm việc trên Coorderape, một ứng dụng do Yearn phát triển để giúp các nhóm cộng tác và hỗ trợ thanh toán. (Banteg, cho biết công việc của Keller chỉ giới hạn ở Coorderape và anh ấy không có quyền truy cập vào cơ sở mã cốt lõi của Yearn.)
Theo Delong, Keller đã giới thiệu Grujic với MISO và cả hai tự mô tả mình là "bạn bè". Giống như Keller, Grujic đã cung cấp sơ yếu lý lịch liệt kê tên thật của anh ấy chứ không phải bút danh trực tuyến "AristoK3". Anh ta khai mình đến từ Serbia và tốt nghiệp Đại học Belgrade với bằng cử nhân khoa học máy tính. Tài khoản GitHub của anh ấy đang hoạt động và sơ yếu lý lịch của anh ấy liệt kê kinh nghiệm làm việc của anh ấy tại một số dự án tiền điện tử nhỏ hơn và các công ty khởi nghiệp trò chơi.
Trong sơ yếu lý lịch của mình, "Sava Grujic" liệt kê 5 năm kinh nghiệm lập trình và tuyên bố rằng anh ấy sống ở Belgrade, Serbia.
Rachel Chu, cựu nhà phát triển cốt lõi của Sushi, người đã làm việc chặt chẽ với Keller và Grujic trước vụ trộm, cho biết cô đã trở nên "nghi ngờ" về cặp đôi này trước vụ hack.
Chu nói, bất chấp khoảng cách giữa hai người, Grujic và Keller có “giọng nói giống nhau” và “cách nhắn tin giống nhau”. Cô nói thêm: “Mỗi lần chúng tôi nói chuyện, họ đều có tiếng ồn xung quanh, giống như trong một nhà máy”. Chu kể lại rằng cô đã nhìn thấy khuôn mặt của Keller, nhưng chưa bao giờ nhìn thấy khuôn mặt của Grujic. Theo Chu, camera của Keller đã "phóng to" nên cô không thể nhìn thấy vật gì phía sau anh ta.
Grujic và Keller cuối cùng đã ngừng đóng góp cho MISO cùng một lúc. Delong nói: “Chúng tôi nghĩ họ là cùng một người, vì vậy chúng tôi đã ngừng trả tiền cho họ”. không phổ biến.
Sau khi Grujic và Keller bị sa thải vào mùa hè năm 2021, nhóm Sushi đã sơ ý thu hồi quyền truy cập của họ vào cơ sở mã MISO.
Vào ngày 2 tháng 9, Grujic, người có tên hiển thị là “Aristok3”, đã gửi mã độc tới nền tảng MISO để chuyển 3 triệu đô la sang ví tiền điện tử mới, theo ảnh chụp màn hình do CoinDesk thu được.
"Sava Grujic" đã gửi mã bị nhiễm độc tới MISO của Sushi bằng bút danh AristoK3. (Ảnh chụp màn hình do Joseph Delong cung cấp)
Phân tích của CoinDesk về hồ sơ thanh toán blockchain cho thấy các mối liên hệ có thể có giữa Grujic, Keller và Triều Tiên. Vào tháng 3 năm 2021, Keller đã đăng một địa chỉ blockchain trong một tweet hiện đã bị xóa. CoinDesk đã tìm thấy nhiều khoản thanh toán giữa địa chỉ đó, địa chỉ hacker của Grujic và địa chỉ Keller trong hồ sơ của Sushi. Theo Delong, cuộc điều tra nội bộ của Sushi cuối cùng đã kết luận rằng địa chỉ này thuộc về Keller.
Từ năm 2021 đến năm 2022, các địa chỉ blockchain gắn liền với Keller và Grujic đã gửi phần lớn số tiền đến các ví được liên kết với Triều Tiên. (Lựa chọn các ví Ethereum được CoinDesk theo dõi. Giá tài sản được Arkham ước tính.)
CoinDesk phát hiện ra rằng địa chỉ này đã gửi phần lớn số tiền đến "Jun Kai" (nhà phát triển Iqlusion, người đã gửi tiền cho Kim Sang Man bị OFAC trừng phạt) và một ví khác dường như đóng vai trò ủy quyền cho Triều Tiên (vì nó cũng trả tiền cho Kim ).
Cuộc điều tra nội bộ của Sushi cho thấy Keller và Grujic thường xuyên hoạt động từ các địa chỉ IP của Nga, điều này càng củng cố thêm ý kiến ​​​​cho rằng họ là người Triều Tiên. OFAC cho biết các công nhân CNTT Triều Tiên đôi khi làm việc tại Nga. (Số điện thoại của Hoa Kỳ trong sơ yếu lý lịch của Keller đã bị vô hiệu hóa và tài khoản Github và Twitter “eratos1122” của anh ấy đã bị xóa.)
Ngoài ra, CoinDesk còn tìm thấy bằng chứng cho thấy Sushi đã thuê Keller và Grujic cùng lúc với một nhà thầu CNTT bị nghi ngờ khác của Triều Tiên. Nhà phát triển mà ZachXBT gọi là "Gary Lee", được mã hóa dưới bút danh LightFury và gửi thu nhập cho "Jun Kai" và một địa chỉ proxy khác được liên kết với Kim.
Từ năm 2021 đến năm 2022, Sushi cũng thuê một nhà thầu Triều Tiên rõ ràng khác tên là "Gary Lee". Người công nhân này đã chuyển thu nhập năm 2021-2022 của mình tới các địa chỉ blockchain có liên kết với Triều Tiên, bao gồm cả ví được “Jun Kai” của Iqlusion sử dụng. (Lựa chọn các ví Ethereum được CoinDesk theo dõi. Giá tài sản được Arkham ước tính.)
Grujic đã trả lại số tiền bị đánh cắp sau khi Sushi công khai đổ lỗi vụ tấn công cho bút danh "eratos1122" của Keller và đe dọa sẽ lôi kéo FBI. Mặc dù có vẻ trái ngược khi cho rằng nhân viên CNTT Triều Tiên lo ngại về việc bảo vệ danh tính giả, nhưng nhân viên CNTT Triều Tiên dường như sử dụng lại một số tên nhất định và xây dựng danh tiếng của họ bằng cách đóng góp cho nhiều dự án, có lẽ để lấy được lòng tin của các nhà tuyển dụng trong tương lai.
Người ta có thể lập luận rằng việc bảo vệ bí danh Anthony Keller về lâu dài sẽ có lợi hơn: Vào năm 2023, hai năm sau vụ Sushi, một người đàn ông tên "Anthony Keller" đã nộp đơn đăng ký lên công ty của Stefan Rust, Truflation.
Coindesk đã cố gắng liên hệ với “Anthony Keller” và “Sava Grujic” để nhận xét nhưng không thành công.
Cướp kiểu Bắc Triều Tiên
Theo Liên Hợp Quốc, Triều Tiên đã đánh cắp hơn 3 tỷ USD tiền điện tử thông qua các cuộc tấn công hack trong 7 năm qua. Trong số các vụ hack được công ty phân tích chuỗi khối Chainalysis theo dõi trong nửa đầu năm 2023, 15 vụ có liên quan đến Triều Tiên, “khoảng một nửa trong số đó liên quan đến các vụ trộm liên quan đến nhân viên CNTT”, người phát ngôn của công ty Madeleine Kennedy cho biết.
Các cuộc tấn công mạng của Triều Tiên không giống như phiên bản hack của Hollywood, trong đó các lập trình viên đội mũ trùm đầu sử dụng mã máy tính phức tạp và các thiết bị đầu cuối máy tính màu xanh đen để đột nhập vào các máy tính lớn.
Các cuộc tấn công kiểu Triều Tiên rõ ràng là có công nghệ thấp. Chúng thường liên quan đến một số hình thức kỹ thuật xã hội, trong đó kẻ tấn công chiếm được lòng tin của nạn nhân đang nắm giữ khóa hệ thống và sau đó trực tiếp trích xuất các khóa đó thông qua một thứ đơn giản như liên kết email độc hại.
Monahan nói: “Cho đến nay, chúng tôi chưa bao giờ thấy Triều Tiên tiến hành một cuộc tấn công thực sự. Họ luôn bắt đầu bằng một cuộc tấn công kỹ thuật xã hội, sau đó xâm phạm thiết bị và sau đó đánh cắp các khóa riêng tư”.
Nhân viên CNTT rất phù hợp để đóng góp vào các hoạt động trộm cắp của Triều Tiên, bằng cách lấy thông tin cá nhân có thể được sử dụng để phá hoại các mục tiêu tiềm năng hoặc bằng cách truy cập trực tiếp vào các hệ thống phần mềm chứa đầy tiền kỹ thuật số.
hàng loạt sự trùng hợp
Vào ngày 25 tháng 9, khi bài viết này sắp được xuất bản, CoinDesk đã sắp xếp một cuộc gọi điện video với Rust của Truflation. Kế hoạch là xác minh một số chi tiết mà anh ấy đã chia sẻ trước đó.
Rust bối rối tham gia cuộc gọi muộn 15 phút. Anh ấy vừa bị hack.
CoinDesk đã liên hệ với hơn 20 dự án dường như đã bị lừa tuyển dụng nhân viên CNTT Triều Tiên. Chỉ trong hai tuần phỏng vấn vừa qua, hai trong số các dự án đã bị tấn công: Truflation và một ứng dụng cho vay tiền điện tử có tên Delta Prime.
Còn quá sớm để biết liệu hai vụ hack này có liên quan trực tiếp đến việc vô tình tuyển dụng nhân viên CNTT của Triều Tiên hay không.
Vào ngày 16 tháng 9, Delta Prime lần đầu tiên bị xâm phạm. CoinDesk trước đây đã phát hiện ra các khoản thanh toán và đóng góp mã giữa Delta Prime và Naoki Murano, một trong những nhà phát triển có liên kết với Triều Tiên được thúc đẩy bởi thám tử blockchain ẩn danh ZachXBT.
Dự án đã thua lỗ hơn 7 triệu USD, với lời giải thích chính thức là "khóa riêng đã bị xâm phạm". Delta Prime đã không trả lời nhiều yêu cầu bình luận.
Vụ hack Truflation diễn ra chưa đầy hai tuần sau đó. Khoảng hai giờ trước khi nói chuyện với CoinDesk, Rust nhận thấy một dòng tiền chảy ra từ ví tiền điện tử của mình. Anh ấy vừa trở về sau chuyến công tác ở Singapore và đang cố gắng tìm hiểu xem mình đã làm gì sai. “Tôi chỉ không biết nó xảy ra như thế nào,” anh nói. "Tôi khóa máy tính xách tay của mình trong két sắt của khách sạn. Tôi luôn mang theo điện thoại bên mình."
Khi Rust phát biểu, hàng triệu đô la đã chảy ra khỏi ví blockchain cá nhân của anh ấy. "Ý tôi là, nó thực sự tệ. Số tiền này là học phí và lương hưu của các con tôi."
Truflation và Rust cuối cùng thua lỗ khoảng 5 triệu USD. Cơ quan chức năng xác định nguyên nhân mất mát là do bị lấy cắp chìa khóa riêng.