Bên Trong Máy Móc Tiền Điện Tử Bắc Triều Tiên: Cuộc Điều Tra Mới Nhất Của ZachXBT

Điều tra viên blockchain ZachXBT vừa công bố một trong những báo cáo chi tiết nhất của mình, phơi bày cách thức các nhân viên IT Triều Tiên đang rút cạn hàng triệu đô la mỗi tháng từ ngành công nghiệp tiền mã hóa.

Một nguồn tin giấu tên đã cung cấp cho ZachXBT dữ liệu bị đánh cắp từ một máy chủ thanh toán nội bộ của Triều Tiên. Bộ dữ liệu này chứa 390 tài khoản, nhật ký trò chuyện riêng tư và hồ sơ giao dịch tiền mã hóa kéo dài từ tháng 12 năm 2025 đến tháng 4 năm 2026. Chưa từng có thông tin nào trong số này được công bố. Những gì ZachXBT tìm thấy bên trong là một kế hoạch hoạt động hoàn chỉnh, có tổ chức, tạo ra khoảng 1 triệu đô la mỗi tháng thông qua danh tính giả mạo, tài liệu pháp lý bị làm giả và một mạng lưới chuyển đổi tiền mã hóa sang tiền pháp định cực kỳ chặt chẽ.

Trung tâm của hoạt động này là một trang web có tên luckyguys[.]site — một nền tảng chuyển tiền nội bộ được các nhân viên IT của Triều Tiên sử dụng để báo cáo các khoản thanh toán về cho người quản lý của họ. Hãy hình dung nó như một ứng dụng nhắn tin riêng tư được xây dựng đặc biệt để chuyển tiền. Mật khẩu mặc định của nền tảng là 123456. Mười người dùng chưa bao giờ thay đổi nó. Danh sách người dùng bao gồm tên thật bằng tiếng Hàn, địa điểm thành phố, tên nhóm được mã hóa và vai trò được chỉ định. Ba trong số các công ty xuất hiện trong dữ liệu hiện đang bị OFAC trừng phạt: Sobaeksu, Saenal và Songkwang.

Kể từ cuối tháng 11 năm 2025, hơn 3,5 triệu đô la đã đi qua các địa chỉ ví thanh toán liên quan đến mạng lưới này. Phương thức này nhất quán giữa các người dùng. Các nhân viên sẽ nhận tiền mã hóa từ một sàn giao dịch hoặc dịch vụ, hoặc chuyển đổi thu nhập sang tiền pháp định thông qua tài khoản ngân hàng Trung Quốc qua các nền tảng như Payoneer. Một tài khoản quản trị viên trung tâm, chỉ được xác định là PC-1234, sẽ xác nhận việc nhận tiền và phân phối thông tin đăng nhập cho bất kỳ sàn giao dịch hoặc nền tảng fintech nào đang được sử dụng trong chu kỳ đó. Một địa chỉ thanh toán Tron đã bị Tether đóng băng vào tháng 12 năm 2025 — điều đó có nghĩa là ai đó đã biết chuyện này đang xảy ra. Tuy nhiên, điều đó không ngăn cản được mạng lưới này.

Một nhân viên, được gọi là "Jerry," đã bị phát hiện nộp đơn xin việc từ xa dưới danh tính giả mạo trong khi kết nối qua Astrill VPN. Các tin nhắn nội bộ cho thấy các nhân viên thảo luận về một bài báo tin tức về một nhân viên IT Triều Tiên bị bắt khi sử dụng công nghệ deepfake trong buổi phỏng vấn xin việc, lo lắng tự hỏi liệu đó có phải là một trong số họ không. Ba mươi ba nhân viên được phát hiện liên lạc trên cùng một mạng lưới. Đây không phải là một nhóm nhỏ biệt lập. Đây là một lực lượng lao động, có cấu trúc, kỷ luật và một chuỗi mệnh lệnh rất rõ ràng.

Từ tháng 11 năm 2025 đến tháng 2 năm 2026, quản trị viên của mạng lưới đã phân phối 43 mô-đun đào tạo tập trung vào Hex-Rays và IDA Pro — các công cụ chuyên nghiệp được sử dụng để kỹ thuật đảo ngược và phân tích mã nhị phân. Các tài liệu bao gồm tháo gỡ mã, dịch ngược, gỡ lỗi và giải nén các tệp thực thi độc hại. Đây không phải là công cụ của một hoạt động lừa đảo cơ bản. Đây là công cụ của những người chuẩn bị gây ra thiệt hại nghiêm trọng.

ZachXBT cẩn thận lưu ý rằng cụm này nằm dưới các nhóm đe dọa nguy hiểm hơn của Triều Tiên như AppleJeus và TraderTraitor, vốn chịu trách nhiệm cho một số vụ cướp tiền mã hóa lớn nhất được ghi nhận. Nhóm này ở cấp thấp hơn. Nhưng cấp thấp hơn không có nghĩa là vô hại. ZachXBT trước đây ước tính rằng các nhân viên IT của Triều Tiên tổng cộng tạo ra hàng triệu đô la mỗi tháng trong toàn ngành, và cuộc điều tra này đã củng cố con số đó bằng bằng chứng cụ thể. Trang thanh toán nội bộ đã biến mất ngay sau khi ZachXBT công bố báo cáo. Tất cả dữ liệu đã được lưu trữ.

Phản ứng của ngành công nghiệp

Báo cáo của ZachXBT không xuất hiện trong im lặng. Nó được công bố vào giữa một tuần mà ngành công nghiệp này đã phải vật lộn với quy mô hiện diện của Triều Tiên trong các đội ngũ tiền mã hóa. Vài ngày trước khi báo cáo được công bố, nhà nghiên cứu bảo mật của MetaMask, Taylor Monahan, đã tuyên bố rằng hơn 40 nền tảng DeFi đã vô tình thuê các nhà phát triển Triều Tiên do nhà nước tài trợ, một số đã làm việc từ thời kỳ "mùa hè DeFi" vào năm 2020. "Rất nhiều nhân viên IT của Triều Tiên đã xây dựng các giao thức mà bạn biết và yêu thích," cô viết trên X, thêm rằng nhiều nhân viên này có kinh nghiệm blockchain thực sự, điều này khiến việc xác định họ trở nên cực kỳ khó khăn.

Chính ZachXBT, khi được hỏi về mức độ tinh vi của các chiến thuật này, đã thẳng thắn nói: "Các mối đe dọa qua các bài đăng tuyển dụng, LinkedIn, email, Zoom hoặc phỏng vấn là cơ bản và không hề tinh vi. Điều duy nhất về chúng là chúng không ngừng nghỉ."

Phản ứng rộng rãi của cộng đồng rất đa dạng. Nhiều người chỉ ra sự tắc trách trong tuyển dụng của các đội ngũ vốn trở nên phòng thủ khi được cảnh báo về các mối đe dọa an ninh tiềm tàng. Những người khác chỉ ra các con số: vào năm 2025, các nhóm liên kết với Triều Tiên đã đánh cắp ít nhất 2,02 tỷ đô la tiền mã hóa — 60% tổng số vụ trộm toàn cầu năm đó — bao gồm cả vụ hack Bybit trị giá 1,5 tỷ đô la. Cuộc điều tra mới nhất này không phải là một sự cố đơn lẻ. Đó là một mảnh ghép nhìn thấy được của một hoạt động lớn hơn nhiều.

Điều mà cuộc điều tra này làm rõ là hoạt động tiền mã hóa của Triều Tiên không phải là tập hợp của những người làm việc tự do vô kỷ luật. Đó là một doanh nghiệp có cấu trúc, phân cấp với người quản lý, quản trị viên, nhân viên được đào tạo và cơ sở hạ tầng thanh toán đã hoạt động trong nhiều tháng không bị gián đoạn. Đối với bất kỳ dự án tiền mã hóa, sàn giao dịch hay DAO nào thuê cộng tác viên từ xa, đây không phải là một vấn đề xa vời. Những nhân viên này đang nộp đơn xin việc ngay bây giờ, với hồ sơ năng lực trau chuốt và những khuôn mặt có thể không phải của chính họ. Việc xác minh chưa bao giờ quan trọng hơn thế.

Blockchain là minh bạch. Các mạng lưới này đang trông chờ vào việc ngành công nghiệp không chú ý.