ZachXBT викрив 140 IT-агентів КНДР: $3,5 млн через фейкові вакансії розробника

Хакер скомпрометував пристрій одного з ІТ-шпигунів КНДР і отримав доступ до внутрішніх документів цілого підрозділу. Зібрані матеріали блокчейн-детектив ZachXBT оприлюднив у середу в X. Вони розкрили операцію з 140 учасниками, яка принесла $3,5 млн менш ніж за чотири місяці.

Рейтингова дошка і пароль "123456"

Один з лідерів, відомий як "Jerry", організовував роботу через сайт luckyguys.site. Внутрішній сервер вів рейтинг: скільки криптовалюти кожен учасник приніс організації з 8 грудня. До кожного запису додавались посилання на blockchain-explorer з транзакційними хешами.

Для подачі заявок на роботу використовувався Astrill VPN і Gmail. Учасники групи реєструвались на Indeed як full-stack розробники та software engineer. Отримані виплати проходили через Payoneer і переводились на китайські банківські рахунки.

Гаманці, санкції і Tether

Частина гаманців, через які проходили виплати, перетинається з адресами, заблокованими Tether у грудні 2025 року. ZachXBT зазначив, що ряд учасників luckyguys.site пов'язаний з компаніями Sobaeksu, Saenal та Songkwang - всі три перебувають під санкціями американського OFAC.

Загальна сума з листопада 2025 по момент зламу склала $3,5 млн. Темп близько $1 млн на місяць тримався весь цей час.

КНДР і крипта: $7 млрд з 2009 року

Північна Корея краде криптовалюту з 2009 року. Сукупний обсяг вкраденого оцінюється більш ніж у $7 млрд. Серед найбільших атак - злам Bybit на $1,4 млрд та злам Ronin Bridge на $625 млн. Хакери КНДР отримали підозру і у справі Drift Protocol - $280 млн у квітні 2026 року.

ІТ-шахрайство тихіше за прямі злами. Але стабільніше. Фіктивному програмісту не потрібна складна атакувальна інфраструктура. Потрібне переконливе резюме і VPN.

Що відкрив злам сервера

Скомпрометований сервер розкрив імена учасників, суми на кожному рахунку та транзакційні хеші. Ці дані можуть слугувати доказовою базою для OFAC і compliance-відділів у криптокомпаніях.

Для платформ, які наймають фрилансерів, висновок прямий: стандартного KYC на рівні email та резюме вже недостатньо. Угруповання КНДР адаптуються і ІТ-фронт стає для них не менш прибутковим, ніж великі злами.