ZachXBT đã công khai dữ liệu nội bộ từ các công nhân CNTT Bắc Triều Tiên hôm nay, chi tiết về một dòng tiền crypto trị giá 3,5 triệu đô la kể từ cuối năm 2025. Theo ZachXBT, tập dữ liệu đến từ một thiết bị bị xâm phạm và bao gồm 390 tài khoản, nhật ký trò chuyện và hồ sơ giao dịch. Các phát hiện cho thấy các công nhân đã sử dụng danh tính giả, bảo mật yếu và các hệ thống phối hợp để xử lý khoảng 1 triệu đô la mỗi tháng.

Theo ZachXBT trong một chủ đề X chi tiết, một nguồn không tên đã cung cấp dữ liệu lấy từ một máy chủ thanh toán nội bộ được sử dụng bởi các công nhân CNTT Bắc Triều Tiên DPRK. Tập dữ liệu bao gồm nhật ký trò chuyện từ IPMsg, danh sách tài khoản và lịch sử trình duyệt liên quan đến các hoạt động gian lận. Người dùng đã thảo luận về một nền tảng gọi là luckyguys[.]site, được mô tả như một trung tâm chuyển tiền.

Hệ thống hoạt động như cả một công cụ nhắn tin và kênh báo cáo. Các nhân viên đã gửi thu nhập và nhận hướng dẫn thông qua nền tảng này. Tuy nhiên, bảo mật yếu đã làm lộ hệ thống, vì một số tài khoản sử dụng mật khẩu mặc định “123456” mà không thay đổi.

Hồ sơ người dùng liệt kê tên người Hàn Quốc, các thành phố và mã định danh nhóm. Ngoài ra, ba thực thể; Sobaeksu, Saenal và Songkwang, cũng xuất hiện trong dữ liệu. Các công ty này hiện đang chịu lệnh trừng phạt của OFAC, liên kết mạng lưới với các hoạt động đã được xác định trước đó.

Các mô hình giao dịch tiết lộ dòng tiền 3,5 triệu USD.

Nhật ký giao dịch cho thấy dòng tiền di chuyển nhất quán trên toàn mạng lưới. Theo ZachXBT, người dùng đã chuyển crypto từ các sàn giao dịch hoặc dịch vụ trước khi đổi sang tiền pháp định. Trong nhiều trường hợp, các nhân viên sử dụng tài khoản ngân hàng Trung Quốc và các nền tảng như Payoneer để rút tiền (off-ramping).

Một tài khoản quản trị được xác định là PC-1234 đã xác nhận các khoản thanh toán và phân phát thông tin đăng nhập cho tài khoản. Các thông tin đăng nhập này khác nhau giữa các sàn giao dịch crypto và nền tảng fintech tùy theo nhu cầu của người dùng. Từ tháng 11/2025, các địa chỉ ví được theo dõi đã xử lý hơn 3,5 triệu USD.

Theo dõi trên blockchain đã liên kết một số địa chỉ thanh toán với các đối tượng DPRK đã biết. Một ví Tron đã bị Tether đóng băng vào tháng 12/2025. Hành động này cho thấy mức can thiệp hạn chế từ các bên tham gia trong ngành theo ZachXBT.

Danh tính giả mạo, đào tạo và phối hợp

Bộ dữ liệu cũng mô tả cách các nhân viên bảo đảm các công việc từ xa bằng các danh tính giả mạo. Theo ZachXBT, dữ liệu thiết bị bị xâm nhập đã cho thấy các nhân vật giả, hồ sơ xin việc và hoạt động trình duyệt.

Các nhân viên dựa vào các công cụ như Astrill VPN để che giấu vị trí trong quá trình thực hiện các thao tác này. Cuộc điều tra mới này diễn ra sau khi ZachXBT chỉ ra Circle về sự chậm trễ liên quan đến lỗ hổng của Drift Protocol trị giá hơn 285 triệu USD. Trong báo cáo mới, các cuộc trò chuyện nội bộ cho thấy có sự phối hợp trên nhiều nền tảng.

Người quản trị đã chia sẻ 43 mô-đun về các chủ đề phân tích ngược, bao gồm Hex-Rays và IDA Pro. Các buổi học tập trung vào việc phân rã mã, gỡ lỗi và phân tích mã độc, cho thấy hoạt động phát triển kỹ thuật liên tục trong mạng lưới.