Оператори, пов’язані з Північною Кореєю, протягом багатьох років приховано інтегрувалися в криптофірми та команди DeFi, викликаючи нові побоювання щодо інсайдерських ризиків після низки гучних експлойтів, пов’язаних з кіберапаратом країни.

Дослідниця безпеки та розробниця MetaMask Тейлор Монахан заявила, що ці тактики сягають ранніх днів децентралізованих фінансів, коли особи, пов’язані з Корейською Народно-Демократичною Республікою, долучалися до розробки кількох широко використовуваних протоколів.

«Багато ІТ-працівників КНДР створювали протоколи, які ви знаєте та любите, ще з часів DeFi-літа», — сказала вона в неділю, додавши, що понад 40 платформ, включаючи кілька відомих проектів, у якийсь момент покладалися на таких розробників.

Однак вона зазначила, що «сім років досвіду розробки блокчейну», зазначені в їхніх резюме, — «не брехня».

Слідчі давно пов'язують кібероперації Північної Кореї з угрупованням Lazarus Group, державним колективом, який, як вважається, викрав близько 7 мільярдів доларів у цифрових активах з 2017 року, за даними аналітиків R3ACH.

Угруповання пов’язують з деякими з найбільших витоків у галузі, включаючи експлойт Ronin Bridge на 625 мільйонів доларів у 2022 році, злам WazirX на 235 мільйонів доларів у 2024 році та інцидент Bybit на 1,4 мільярда доларів у 2025 році.

Північнокорейські актори стоять за експлойтом Drift

Експлойт Drift Protocol на 280 мільйонів доларів минулого тижня привернув підвищену увагу. Проект заявив, що має «середню-високу впевненість» у тому, що за атакою стоїть пов’язана з Північною Кореєю державна група, пов’язуючи інцидент із ширшою схемою інфільтрації та соціальної інженерії.

Однак особисті зустрічі, що передували витоку, були не з громадянами Північної Кореї, а скоріше з «посередниками з третіх сторін», які використовували «повністю сфабриковані особистості, включаючи історію працевлаштування, публічні облікові дані та професійні мережі».

Ці профілі включали історію працевлаштування, публічні облікові дані та активні професійні мережі, що дозволило їм завоювати довіру через особисті зустрічі до того, як стався експлойт.

Незалежний блокчейн-розслідувач ZachXBT у нещодавній публікації на X попередив, що не всі загрози, пов’язані з Північною Кореєю, діють на однаковому рівні складності.

«Основна проблема полягає в тому, що всі об’єднують їх разом, хоча складність загроз різна», — сказав він.

Він описав багато спроб інфільтрації як відносно прості, що ґрунтуються на наполегливості, а не на технічній складності. Звернення через оголошення про вакансії, LinkedIn, електронну пошту, дзвінки Zoom та процеси співбесід залишаються поширеними.

«Базові та жодним чином не складні […] єдине, що їх відрізняє, це їхня невпинність», — сказав він, додавши, що команди, які продовжуватимуть піддаватися таким тактикам у 2026 році, ризикують бути визнаними недбалими.