知名区块链侦探揭露朝鲜对全球加密货币开发岗位的渗透
区块链调查专家ZachXBT的最新调查显示,朝鲜正大规模渗透全球加密货币开发就业市场。一名匿名消息人士近期成功入侵某朝鲜IT工作者的设备,首次揭露了一个五人小组如何通过30余个虚假身份开展活动。
朝鲜特工涌入加密就业市场
据ZachXBT披露,该团队使用政府颁发的身份证件在Upwork和LinkedIn注册账户,成功获取多个项目的开发者职位。调查人员获取了其Google Drive数据、Chrome用户配置及屏幕截图,发现谷歌系产品被用于统筹日程、任务和预算管理,团队主要使用英语进行沟通。
一份标注为2025年的电子表格记录了成员周报内容,暴露出其内部运作模式与思维特征。典型条目包含"无法理解工作要求""不知该做什么"等表述,同时附有"解决方案:全心投入"等自我激励备注。
另一份支出明细表显示,该团队定期购买社会安全号码、平台账户、电话号码、AI订阅服务、电脑租赁及VPN代理服务。调查还发现了包括"Henry Zhang"在内的假身份会议日程与话术脚本。
运作模式与犯罪关联
该团队通过购买/租赁电脑,使用AnyDesk远程操作,并借助Payoneer将法币收入转换为加密货币。其中0x78e1开头的钱包地址与2025年6月Favrr平台68万美元漏洞攻击存在链上关联——该项目CTO及其他开发者后被确认为使用伪造证件的朝鲜IT人员。更多关联该地址的朝鲜工作者仍在调查中。
其朝鲜背景的蛛丝马迹包括:频繁通过俄罗斯IP地址使用谷歌翻译进行韩语搜索。ZachXBT指出,这些IT工作者技术并非顶尖,但凭借全球范围海量岗位的持续尝试形成威胁。
朝鲜黑客的持续威胁
以Lazarus集团为代表的朝鲜黑客持续对行业构成重大威胁。2025年2月,该组织策划了史上最大规模加密货币交易所攻击案,从迪拜Bybit窃取价值约15亿美元的以太坊。
攻击者利用第三方钱包服务商Safe{Wallet}的漏洞,绕过多重签名安全机制,将资金转移至多个钱包。美国联邦调查局将此次代号"TraderTraitor"的攻击归咎于朝鲜黑客。
2025年7月,印度交易所CoinDCX再遭4400万美元盗窃,同样与Lazarus集团有关。攻击者通过获取暴露的内部凭证,入侵了该交易所的流动性基础设施。