Раскрыта северокорейская криптосхема: 3,5 миллиона долларов украдены через поддельные личности разработчиков
Оглавление Известный блокчейн-детектив ZachXBT на этой неделе опубликовал конфиденциальную информацию, полученную со взломанного устройства, принадлежащего северокорейскому ИТ-специалисту, раскрывающую организованную схему мошенничества с криптовалютой, на которой за несколько месяцев накопилось более 3,5 миллионов долларов. Информация была предоставлена анонимным исследователем безопасности, который успешно проник в один из компьютеров оперативников. ZachXBT поделился своим анализом на X, объяснив, как около 140 работников, контролируемых человеком под псевдонимом «Джерри», ежемесячно зарабатывали примерно 1 миллион долларов в криптовалюте, начиная с конца ноября 2024 года. 1/ Недавно неназванный источник поделился данными, украденными с внутреннего северокорейского платежного сервера, содержащего 390 учетных записей, журналы чатов и криптотранзакции. Я провел долгие часы, просматривая все это, ни одно из которых так и не было опубликовано. В ходе расследования была выявлена сложная… pic.twitter.com/aTybOrwMHq — ZachXBT (@zachxbt) 8 апреля 2026 г. Оперативники использовали сфабрикованные удостоверения личности для обеспечения должностей удаленных технологических специалистов на досках объявлений, таких как Indeed. Доказательства показали, что Джерри подавал заявки на полноценную разработку и разработку программного обеспечения, одновременно используя Astrill VPN для сокрытия географического местоположения. В черновике переписки, обнаруженном при взломе, Джерри претендует на должность специалиста по WordPress и SEO в компании по производству футболок, расположенной в Техасе, требуя компенсацию в размере 30 долларов в час за 15–20 часов в неделю. Второй оперативник, известный как «Мошенник», использовал фальшивые учетные данные и почтовый адрес Гонконга в финансовых документах. В просочившихся материалах также содержались изображения ирландского паспорта, приписываемые Мошеннику, хотя его фактическое использование остается непроверенным. Коллектив управлял финансовыми транзакциями через специальный веб-сайт, известный как Luckyguys.site. Многочисленные учетные записи пользователей на этой платформе использовали элементарный пароль по умолчанию «123456», что свидетельствует о серьезных уязвимостях операционной безопасности. Платформа служила двойным целям: как канал связи и система отчетности. Оперативники фиксировали свои доходы и получали указания через интерфейс. Административная учетная запись предназначена для проверки транзакций PC-1234 и распространения учетных данных доступа для криптовалютных бирж и платформ финансовых технологий. Три организации, упомянутые в скомпрометированных данных — Sobaeksu, Saenal и Songkwang — в настоящее время подвергаются санкциям со стороны Управления по контролю за иностранными активами США. Цифровая валюта была обменяна на традиционную валюту с использованием китайских финансовых учреждений и платформ, таких как Payoneer. Подключенный к сети кошелек на базе Tron был заблокирован Tether в декабре 2024 года. Скомпрометированная информация также показала, что некоторые оперативники разрабатывали стратегии кражи. В сообщениях упоминались планы скомпрометировать блокчейн-инициативу Arcano на GalaChain с использованием нигерийского посредника, хотя подтверждение исполнения в доступных данных отсутствует. Административный персонал распространил 43 учебных модуля, посвященных утилитам реверс-инжиниринга, включая Hex-Rays и IDA Pro, с упором на методы дизассемблирования, процедуры отладки и проверку вредоносных программ. Полный набор данных включал 390 учетных записей пользователей, записи общения и активность просмотра. Следователи обнаружили 33 оперативника, обменивающихся сообщениями через IPMsg в единой сетевой среде. ZachXBT заметил, что этот коллектив продемонстрировал более низкую техническую подготовку по сравнению с альтернативными северокорейскими подразделениями по борьбе с киберпреступностью, такими как AppleJeus и TraderTraitor. Спонсируемые государством северокорейские субъекты угроз совокупно присвоили более 7 миллиардов долларов с 2009 года. Эта конкретная группа была также связана с нарушением безопасности Drift Protocol на сумму 280 миллионов долларов, произошедшим 1 апреля 2025 года.