朝鲜IT人员通过谷歌文档及Upwork平台渗透加密货币行业
调查发现,朝鲜黑客正利用谷歌文档、Upwork、领英等常规办公平台,大规模渗透全球加密货币开发市场。据匿名举报者通过入侵朝鲜IT人员设备获取的资料显示,这些由5人组成的小型团队已构建30余个虚假身份开展活动。该调查结果由知名区块链分析师ZachXBT对外披露。
伪装手段与运作模式
调查显示,朝鲜黑客通过购买政府签发身份证、VPN、AI软件及计算机设备,成功在多个平台注册并获取开发者职位。从谷歌云端硬盘、Chrome用户配置及截屏等资料中发现,谷歌产品被其用作日程管理、任务分配及预算编制的核心工具,团队主要使用英语沟通。
值得注意的是,该组织制作的2025年度电子表格中,包含团队成员周工作报告和财务记录。文档中既有"未能理解任务要求"的坦诚反馈,也有"务必认真完成"的自我鞭策备注,显示其努力适应正规工作流程的痕迹。
身份盗用与资金转移
另一份文件记录了通过身份盗用获取的社会保险号、Upwork/领英账户、虚拟电话号码、AI服务订阅、计算机租赁及VPN等采购记录。调查还发现包含"Henry Zhang"等化名的面试话术脚本及会议日程表。
在具体操作中,黑客通过购买或租赁计算机后,使用AnyDesk远程控制工具伪装成海外工作人员。所得报酬经Payoneer平台转换为加密货币,其中关联钱包地址"0x78e1"被确认涉及2025年6月针对加密货币项目Favrr的68万美元(约9.45亿韩元)黑客攻击事件。Favrr项目包括首席技术官在内的多名开发人员被证实为朝鲜黑客。
追踪难点与全球威胁
这些人员频繁使用谷歌翻译通过俄罗斯IP地址检索韩语关键词的行为暴露了其朝鲜背景。ZachXBT指出:"虽然技术层面不算精密,但其通过海量职位申请的持久战术构成了战略性威胁。"私营企业间协同不足,以及内部举报机制形同虚设,为追踪工作设置了额外障碍。
与此同时,朝鲜黑客组织Lazarus Group持续对加密货币行业构成严峻威胁。2025年2月,该组织利用Safe{Wallet}多重签名验证漏洞,从迪拜交易所Bybit窃取约15亿美元(约2.085万亿韩元),创下加密货币史上最大规模盗窃案。美国FBI将此定性为朝鲜主导的"TraderTraitor"攻击。同年7月,印度交易所CoinDCX遭黑客盗取4400万美元(约611.6亿韩元),调查同样指向该组织。
朝鲜对加密货币领域的渗透已超越普通网络犯罪范畴,正逐渐演变为动摇全球区块链信任基础的系统性威胁。全球加密企业与开发者社区需对伪装渗透采取更缜密、持久的应对措施。