Pracownicy z Korei Północnej infiltrują DeFi od 7 lat: badacz

Według analityka cyberbezpieczeństwa, północnokoreańscy pracownicy IT od co najmniej siedmiu lat infiltrują firmy związane z kryptowalutami i projekty zdecentralizowanych finansów.

"Wielu pracowników IT z DPRK tworzyło protokoły, które znasz i cenisz, sięgając aż do DeFi summer," powiedział w niedzielę Taylor Monahan, deweloper MetaMask i badacz bezpieczeństwa. 

Monahan twierdzi, że ponad 40 platform DeFi, w tym znane marki, miało północnokoreańskich pracowników IT pracujących nad swoimi protokołami.

"Siedem lat doświadczenia w rozwoju blockchain" w ich CV to "nie kłamstwo", dodała.

Lazarus Group to powiązana z Koreą Północną grupa hakerska, która od 2017 roku ukradła szacowane 7 miliardów dolarów w kryptowalutach, według analityków z sieci creator network R3ACH. 

Grupa ta została powiązana z najbardziej głośnymi atakami w branży, w tym z exploitacją Ronin Bridge na 625 milionów dolarów w 2022 roku, hackiem WazirX na 235 milionów dolarów w 2024 roku oraz kradzieżą Bybit na 1,4 miliarda dolarów w 2025 roku.

Komentarze Monahan pojawiły się kilka godzin po tym, jak Drift Protocol ogłosił, że ma "średnio-wysoką pewność", iż ostatni exploit na 280 milionów dolarów został przeprowadzony przez grupę powiązaną z Koreą Północną.

Szefowie DeFi wypowiadają się na temat prób infiltracji DPRK

Tim Ahhl, założyciel Titan Exchange, agregatora DEX opartego na Solana, powiedział, że w poprzedniej pracy "przeprowadziliśmy rozmowę z kimś, kto okazał się operatorem Lazarus."

Ahhl powiedział, że kandydat "prowadził wideorozmowy i był bardzo wykwalifikowany." Odmówił rozmowy twarzą w twarz i później odkryto jego nazwisko w "info dumpie" Lazarus. 

Amerykańskie Biuro Kontroli Aktywów Zagranicznych (OFAC) posiada stronę internetową, na której firmy kryptowalutowe mogą sprawdzić kontrahentów pod kątem aktualizowanych list sankcji OFAC, a także wzorców typowych dla oszustw związanych z pracownikami IT. 

Chronologia ataków Lazarus Group. Źródło: R3ACH Network

Powiązane: Drift Protocol twierdzi, że exploit na 280 mln USD był wynikiem 'miesięcy celowych przygotowań'

Drift Protocol celem pośredników z DPRK 

Analiza powłamaniowa Drift Protocol dotycząca zeszłotygodniowego exploitu na 280 milionów dolarów również wskazała na hakerów powiązanych z Koreą Północną jako sprawców ataku.

Jednak zaznaczono, że spotkania twarzą w twarz, które ostatecznie doprowadziły do exploita, nie odbywały się z obywatelami Korei Północnej, lecz z "pośrednikami zewnętrznymi" posiadającymi "w pełni stworzone tożsamości, w tym historię zatrudnienia, publiczne kwalifikacje i sieci zawodowe."

"Po latach wydaje się, że Lazarus ma teraz nie-NK [osoby spoza Korei Północnej] pracujące dla nich, by oszukiwać ludzi osobiście," mówi Ahhl. 

Zagrożenia podczas rozmów kwalifikacyjnych nie są zaawansowane

Lazarus Group to zbiorcza nazwa dla "wszystkich północnokoreańskich cyberaktorów sponsorowanych przez państwo," wyjaśnił w niedzielę detektyw blockchain ZachXBT.

"Głównym problemem jest to, że wszyscy wrzucają ich do jednego worka, podczas gdy złożoność zagrożeń jest różna," dodał. 

ZachXBT stwierdził, że zagrożenia poprzez ogłoszenia o pracę, LinkedIn, e-mail, Zoom czy rozmowy kwalifikacyjne są "podstawowe i w żadnym stopniu zaawansowane ... jedyną cechą jest ich nieustępliwość."

"Jeśli Ty lub Twój zespół nadal będziecie nabierać się na to w 2026 roku, prawdopodobnie jesteście niedbali," powiedział. 

Istnieją dwa typy wektorów ataku, jeden bardziej zaawansowany od drugiego. Źródło: ZachXBT

Magazyn: Koniec 85% spadków Bitcoina, Tajwan potrzebuje BTC jako rezerwy wojennej: Hodler’s Digest