Badacze wywiadu zagrożeń stworzyli fałszywy startup z zakresu zdecentralizowanych finansów (DeFi), zatrudnili podejrzewanych północnokoreańskich pracowników IT jako programistów i obserwowali ich od wewnątrz.
Operacja odwróciła zwykły podręcznik infiltracji. Zamiast łapać agentów próbujących się włamać, badacze obserwowali ich pracę po pomyślnym przejściu rozmów kwalifikacyjnych.
Jak fałszywy startup ujawnił północnokoreańskich pracowników IT
Śledztwo było wspólnym wysiłkiem Mauro Eldritcha z BCA LTD, Heinera Garcíi z NorthScan oraz ANY.RUN. Badacze zarejestrowali Ballena Azul LTD jako protokół obsługujący wieloryby kryptowalutowe.
Dali mu stronę internetową, branding korporacyjny oraz odpowiadającą rejestrację firmy w Wielkiej Brytanii, aby wyglądał na legitny. Następnie podali się za założycieli i lidera zespołu.
Badacze użyli platformy ANY.RUN jako środowiska pracy. Rejestrowała ona każdy ruch agentów. Angelo Cruz, rekruter, którego zespół spotkał na GitHubie, dostarczył pierwszego programistę.
Ten zatrudniony polecił drugiego, który wprowadził trzeciego. Wszyscy trzej przeszli rozmowy kwalifikacyjne i otrzymali dostęp do wirtualnych pulpitów, które w rzeczywistości były kontrolowanymi środowiskami nagraniowymi.
Agenci są opisywani w całym raporcie jako podejrzewani członkowie Famous Chollima, jednostki powiązanej z północnokoreańską grupą Lazarus, która specjalizuje się w umieszczaniu fałszywych pracowników IT w zachodnich firmach.
Śledź nas na X, aby otrzymywać najnowsze wiadomości na bieżąco
Co odkryli badacze
Programiści złożyli sfałszowane amerykańskie dokumenty tożsamości podczas onboardingu. Obejmuje to prawa jazdy, skradzione numery ubezpieczenia społecznego oraz konta w Lead Bank, Citibank i Wise.
Metadane na jednym z praw jazdy pokazały, że zostało przetworzone za pomocą Google Gemini i miało wbudowany znak wodny SynthID. To niemal natychmiast ujawniło fałszerstwo.
„Do tego momentu mieliśmy fałszywe tożsamości, skradzione numery ubezpieczenia społecznego, konta bankowe kurierów, możliwe bezpieczne domy dla pośredników oraz portfele kryptowalutowe z historią transakcji,” napisali badacze.
Pracownicy mocno polegali na sztucznej inteligencji. Używali ChatGPT do pisania kodu, którego wydawało się, że nie rozumieją, oraz do realizacji zadań. Narzędzia do tłumaczenia na żywo również działały podczas wywiadów i codziennych spotkań.
Operacja ujawniła również wspierającą infrastrukturę. Badacze zarejestrowali węzły wyjściowe AstrillVPN, serwery hostowane na Vultr i Gorilla Servers oraz portfele kryptowalutowe z historią transakcji. Jeden z operacyjnych serwerów był już oznaczony w kanałach informacji o zagrożeniach, co wskazuje, że został wykorzystany w wcześniejszych kampaniach.
„Wyniki pokazują, że schematy pracowników IT z DPRK nie są tylko ryzykiem zatrudnienia. Po wejściu do środka, agenci mogą uzyskać legalny dostęp do kodu, systemów, własności intelektualnej i zaufanych procesów biznesowych,” czytamy w raporcie.
Hakerzy z Korei Północnej stanowią stałe zagrożenie dla branży kryptowalutowej. TRM Labs przypisało 76% strat z haków kryptowalutowych w 2026 roku do kwietnia ekipom DPRK. Kradzież osiągnęła 2 miliardy dolarów w 2025 roku.
Taktyka infiltracji działa inaczej. Północnokoreańscy pracownicy podszywają się pod inżynierów, aby zdobyć zdalne prace, a następnie kradną tajemnice lub wprowadzają sposób na powrót. Jeden projekt finansowany przez Ethereum (ETH) wcześniej zidentyfikował 100 podejrzanych północnokoreańskich pracowników IT w 53 projektach kryptograficznych.
Subskrybuj nasz kanał YouTube, aby oglądać liderów i dziennikarzy, którzy dostarczają fachowych spostrzeżeń
Źródło: BeInCrypto
