Всередині крипто-системи Північної Кореї: останнє розслідування ZachXBT

Блокчейн-дослідник ZachXBT опублікував один зі своїх найдетальніших звітів, який розкриває, як північнокорейські ІТ-фахівці щомісяця виводять мільйони з криптоіндустрії.

Неназване джерело передало ZachXBT дані, вилучені з внутрішнього північнокорейського платіжного сервера. Набір даних містив 390 облікових записів, приватні журнали чатів та записи криптотранзакцій за період з грудня 2025 року по квітень 2026 року. Жодна з цих даних раніше не публікувалася. ZachXBT виявив повноцінну, організовану схему, яка генерувала приблизно 1 мільйон доларів щомісяця за допомогою шахрайських ідентифікаційних даних, підроблених юридичних документів та надійної мережі конвертації криптовалюти у фіатні кошти.

В центрі операції був сайт під назвою luckyguys[.]site — внутрішня платформа для переказів, яку використовували ІТ-фахівці КНДР для звітування про платежі своїм кураторам. Уявіть її як приватний месенджер, створений спеціально для переказу грошей. Пароль за замовчуванням на платформі був 123456. Десять користувачів його ніколи не змінювали. Список користувачів включав справжні корейські імена, назви міст, кодовані назви груп та призначені ролі. Три з компаній, що фігурували в даних, наразі перебувають під санкціями OFAC: Sobaeksu, Saenal та Songkwang.

З кінця листопада 2025 року через платіжні адреси гаманців, пов’язані з цією мережею, пройшло понад 3,5 мільйона доларів. Метод був однаковим для всіх користувачів. Працівники отримували криптовалюту з біржі чи сервісу, або конвертували заробіток у фіатні кошти через китайські банківські рахунки за допомогою таких платформ, як Payoneer. Центральний адміністративний обліковий запис, ідентифікований лише як PC-1234, підтверджував отримання та розподіляв облікові дані для тієї біржі чи фінтех-платформи, яка використовувалася в поточному циклі. Одну платіжну адресу Tron було заморожено Tether у грудні 2025 року — це означає, що хтось уже знав про це. Мережу це не зупинило.

Один працівник, на ім'я "Джеррі", був спійманий на спробі подати заявку на віддалену роботу під вигаданими особами, підключившись через Astrill VPN. Внутрішні повідомлення показували, як працівники обговорювали новинну статтю про ІТ-фахівця КНДР, якого спіймали на використанні технології діпфейк під час співбесіди, нервово розмірковуючи вголос, чи це не хтось із них. Тридцять три працівники спілкувалися в одній мережі. Це не була невелика ізольована група. Це була робоча сила, зі структурою, дисципліною та дуже чіткою ієрархією.

Між листопадом 2025 року та лютим 2026 року адміністратор мережі розповсюдив 43 навчальні модулі, присвячені Hex-Rays та IDA Pro — професійним інструментам, що використовуються для зворотного проектування та бінарного аналізу. Матеріали охоплювали дезасемблювання, декомпіляцію, налагодження та розпакування ворожих виконуваних файлів. Це не інструменти звичайної шахрайської операції. Це інструменти людей, які готуються завдати серйозної шкоди.

ZachXBT обережно зазначає, що ця група знаходиться нижче більш небезпечних північнокорейських загрозливих груп, таких як AppleJeus та TraderTraitor, які відповідальні за одні з найбільших криптокрадіжок за всю історію. Ця група знаходиться нижче в ієрархії. Але "нижче" не означає "нешкідлива". ZachXBT раніше оцінював, що ІТ-фахівці КНДР колективно генерують багатомільйонні суми щомісяця по всій галузі, і це розслідування підтверджує цю цифру квитанціями. Внутрішній платіжний сайт зник незабаром після публікації ZachXBT. Усі дані вже були заархівовані.

Реакція індустрії

Звіт ZachXBT не залишився непоміченим. Він з'явився посеред тижня, коли індустрія вже боролася з масштабами присутності Північної Кореї в криптокомандах. За кілька днів до публікації звіту дослідниця безпеки MetaMask Тейлор Монахан заявила, що понад 40 платформ DeFi несвідомо найняли спонсорованих державою північнокорейських розробників, деякі з яких працювали ще з "DeFi-літа" 2020 року. "Багато ІТ-фахівців КНДР створили протоколи, які ви знаєте і любите", — написала вона на X, додавши, що багато з цих працівників мали справжній досвід роботи з блокчейном, що робило їх надзвичайно важкими для ідентифікації.

Сам ZachXBT, коли його запитали про витонченість цієї тактики, був прямолінійним. "Загрози через оголошення про вакансії, LinkedIn, електронну пошту, Zoom або співбесіди є базовими і жодним чином не витонченими", — сказав він. "Єдине, що їх відрізняє, це їхня безжальність."

Реакція ширшої спільноти була неоднозначною. Багато хто вказував на недбалість при наймі серед команд, які займають оборонну позицію при попередженні про потенційні загрози безпеці. Інші посилалися на цифри: у 2025 році групи, пов'язані з КНДР, викрали щонайменше 2,02 мільярда доларів у криптовалюті — 60% світових крадіжок того року — включаючи хакерську атаку на Bybit на суму 1,5 мільярда доларів. Це останнє розслідування не є поодиноким інцидентом. Це один видимий елемент набагато більшої операції.

Це розслідування чітко показує, що криптооперація Північної Кореї — це не зборище фрілансерів-шахраїв. Це структуроване, ієрархічне підприємство з кураторами, адміністраторами, навченими працівниками та платіжною інфраструктурою, яка працює місяцями без перебоїв. Для будь-якого криптопроекту, біржі або DAO, що наймає віддалених учасників, це не віддалена проблема. Ці працівники подають заявки на роботу прямо зараз, з відточеними портфоліо та обличчями, які можуть бути не їхніми власними. Верифікація ніколи не була важливішою.

Блокчейн прозорий. Ці мережі розраховують на те, що індустрія не зверне уваги.