«Когда государство становится хакером, его атаки — это не просто кража. Это война без фронтов, где оружием являются резюме и доверие.»
— Эллисон Пирсон, директор по кибербезопасности Europol
В сентябре 2025 года бывший CEO Binance Чанпэн Чжао (CZ) сделал тревожное признание: топовые криптовалютные компании подвергаются систематическим атакам со стороны северокорейских хакеров, которые используют сложные методы социальной инженерии для проникновения внутрь организаций. В отличие от прямых взломов смарт-контрактов, эти атаки нацелены на самое слабое звено — людей.
По словам CZ, злоумышленники создают поддельные профили LinkedIn, позиционируя себя как опытных специалистов из США или Европы, и целенаправленно охотятся за вакансиями в финансовых, технических и безопасностных отделах. После трудоустройства они получают доступ к внутренним системам, кошелькам и стратегическим данным, что может привести к масштабным утечкам активов.
Как отметил Хакан Унал из Cyvers: «Сегодня самый опасный сотрудник — это тот, чье резюме выглядит слишком идеально.»
Основная группа, стоящая за этими атаками, — Lazarus Group, киберпреступная организация, действующая под прикрытием правительства Северной Кореи. По данным ООН, с 2017 года эта группа похитила криптоактивов на сумму свыше $3 миллиардов, используя средства для финансирования ядерных программ и обхода международных санкций.
Известные атаки Lazarus:
Группа известна своей терпеливой, многоэтапной тактикой, которая может длиться месяцы — от создания легенды до получения полного контроля над системой.
Тактика, раскрытая Чанпэн Чжао, представляет собой длинную игру (long con), в которой хакеры действуют как обычные кандидаты на работу, но с одной целью — получить доступ к внутренним ресурсам.
Злоумышленник создаёт профессиональный профиль на LinkedIn, GitHub и других платформах:
Они подают заявки на ключевые позиции:
После найма хакер начинает сбор данных:
Через несколько месяцев или лет злоумышленник совершает кражу:
Как сказал представитель FBI: «Это не хакинг. Это шпионаж. Они не ломаются внутрь. Их приглашают.»
Хотя многие инциденты остаются закрытыми, известны случаи, где подобные тактики были применены.
Стартап в области RWA был вынужден закрыться после того, как новый разработчик получил доступ к ключам управления и перевёл $23 млн в неизвестные адреса. Расследование показало, что его профиль на GitHub был создан всего за год до собеседования.
Специалист по безопасности, принятый в компанию, начал передавать конфиденциальные отчёты о уязвимостях третьим лицам. Выявлено только после того, как один из протестированных проектов был взломан.
Как сообщается, команда Nemo Protocol могла быть атакована через аналогичный вектор: недавно нанятый инженер имел необычно высокий уровень доступа к деплою. Хотя это не подтверждено, инцидент вызвал пересмотр политик найма в экосистеме Sui.
Как отметил Чарльз Гильем из Ledger: «Самый дорогой сотрудник — это тот, кто стоит $0, но открывает дверь для миллиона.»
Защита от таких атак требует комплексного подхода, сочетающего кибербезопасность и процессы найма.
Как сказал Скотт Дьюк Коминерс из a16z: «Безопасность начинается не с кода. Она начинается с первого интервью.»
Помимо найма, Lazarus Group активно использует и другие методы, которые дополняют их общую стратегию.
Новое поколение дрэйнеров, продаваемое по модели SaaS (software-as-a-service), позволяет даже неопытным мошенникам арендовать вредоносное ПО за $100 в месяц. Эти дрэйнеры распространяются через:
Как в случае с ByBit и Ledger (2025), хакеры могут внедрять вредоносный код в интерфейс кошелька, заставляя пользователя одобрить транзакцию, которую он не видит. Это особенно эффективно против технических специалистов.
В Замбии была разоблачена схема, где мошенники создали серию приложений, имитирующих легальные сервисы. Через них было похищено $300 миллионов у 65 000 пользователей.
Как сказал Виталик Бутерин: «Когда вредоносное ПО выглядит как легальное, граница между пользователем и жертвой исчезает.»
Криптовалюты стали идеальным инструментом для режима, находящегося под жёсткими санкциями.
Традиционные банковские каналы (SWIFT) заблокированы. Криптовалюты позволяют переводить средства напрямую, минуя регуляторов.
Сложность отслеживания средств делает крипто более привлекательной, чем фиатные переводы.
Северная Корея готовит высококвалифицированных программистов, которых направляет на работу в Китай, Россию и Юго-Восточную Азию, где они ведут атаки удалённо.
Одна успешная атака может обеспечить страну средствами на месяцы. Например, $625 млн с Ronin Bridge эквивалентны нескольким годовым бюджетам некоторых малых государств.
Как отметил Паоло Ардоино из Tether: «Каждый доллар, украденный из Web3, финансирует не просто преступление. Он финансирует государство.»
Индустрия должна изменить свой подход к безопасности.
Компании должны использовать спецслужбы и частные агентства для проверки кандидатов, как это делают банки и правительства.
Переход к системам, которые работают без централизованных ботов и админ-ключей, снижает риски от внутренних угроз.
Использование ИИ для анализа поведения сотрудников и выявления аномалий в реальном времени.
Обмен данными между компаниями, Interpol, Europol и ФБР для быстрого реагирования на угрозы.
Создание курсов по кибербезопасности для разработчиков, HR и менеджеров.
Как сказал Андреас Антонопулос: «Будущее Web3 зависит не от скорости транзакций, а от способности противостоять самым изощрённым врагам.»
Предупреждение Чанпэна Чжао — это не просто совет. Это тревожный сигнал для всей индустрии. Мы больше не живём в мире, где безопасность ограничивается паролями и двухфакторной аутентификацией. Теперь она включает проверку каждого резюме, каждого собеседования и каждого нового сотрудника.
Ключевые выводы:
Как сказал Майкл Сэйлор: «В эпоху цифровых войн, каждый сотрудник — это потенциальный фронт.»
Конфликт за контроль над цифровыми активами вышел за пределы кода и блокчейнов. Он переместился в офисы, на Zoom-собеседования и в профили LinkedIn. И пока мы будем верить, что безопасность — это только задача IT-отдела, наши двери будут открыты для тех, кто приходит с резюме, а не с брутфорсом. Защита Web3 начинается не с аудита смарт-контрактов, а с вопроса: «Кто вы на самом деле?»
