«Когда государство превращает своих программистов в цифровых солдат, граница между работой и шпионажем исчезает.»
— Хакан Унал, руководитель отдела безопасности Cyvers
В сентябре 2025 года известный аналитик блокчейна и охотник за хакерами Зак Чжоу (ZachXBT) сделал тревожное заявление: по его данным, ИТ-специалисты из Северной Кореи причастны как минимум к 25 инцидентам взломов, вымогательств и краж криптоактивов. Эти атаки были направлены против компаний, работающих в сфере Web3, DeFi, NFT и криптобирж, и привели к утечкам средств на миллиарды долларов.
Сообщение было сделано в ответ на пост CEO платформы Replit Амджада Масада, который заявил, что северокорейские удалённые работники приходят на рынок США не для шпионажа, а чтобы «заработать деньги». Зак Чжоу резко опроверг это, назвав подобное мнение «распространённым заблуждением», и представил доказательства того, что многие из этих специалистов действуют с целью получения доступа к внутренним системам компаний для последующего киберпреступления.
Как отметил Чарльз Гильем из Ledger: «Сегодня самый опасный сотрудник — это тот, чьё резюме написано с помощью ИИ, а лояльность продана государству.»
Под термином «IT-работники Северной Кореи» (North Korean IT Workers, DPRK ITWs) понимаются программисты и специалисты по кибербезопасности, которые официально или неофициально работают на правительство Северной Кореи. По данным ООН, эти группы являются частью государственной программы по обходу экономических санкций через легальные и нелегальные источники дохода.
Их ключевые характеристики:
Эти специалисты не просто пишут код — они являются частью государственной киберармии, цель которой — финансировать ядерную программу и военные нужды через криптовалюты.
Способ, который использует Зак Чжоу для раскрытия этих операций, — анализ цепочек транзакций, поведения на форумах и цифровых следов. Он установил, что северокорейские хакеры используют сложные методы для проникновения в западные криптокомпании.
Хакеры создают профессиональные профили на LinkedIn, GitHub, Upwork и других платформах:
Как показал Амджад Масад, некоторые кандидаты используют AI-фильтры и чит-инструменты во время интервью:
Они целенаправленно подаются на должности, дающие доступ к критически важным системам:
После найма злоумышленник может годами работать, не вызывая подозрений, прежде чем совершить кражу:
Как сказал представитель FBI: «Они не ломаются внутрь. Их приглашают. Это делает их самыми опасными хакерами.»
Зак Чжоу привёл несколько примеров, где его расследования указывали на участие северокорейских хакеров.
Одна из крупнейших краж в истории DeFi была совершена после того, как хакеры внедрились в компанию Axie Infinity. Расследование показало, что один из разработчиков мог быть связан с КНДР.
Проект Ethereum L2 был закрыт после масштабного взлома. Хотя причина официально — неаудированный код, есть данные о возможной утечке через сотрудника.
Британская стартап-платформа прекратила существование после кражи активов. Интерпол связывает инцидент с группой Lazarus, действующей под прикрытием Пхеньяна.
Seedify’s децентрализованный фонд потерял почти все средства через эксплуатацию уязвимости моста. Атака была совершена после захвата админ-ключа, что вызвало подозрения в инсайдерской помощи.
Как отметил Паоло Ардоино из Tether: «Каждый доллар, украденный из Web3, финансирует не просто преступление. Он финансирует режим.»
Несмотря на предупреждения, угроза остаётся актуальной из-за нескольких факторов.
Криптоиндустрия активно использует удалённые команды, что усложняет проверку географического положения и паспортных данных.
Компании готовы нанимать быстро, чтобы не отставать от конкурентов, что снижает порог проверки.
Многие стартапы не проводят глубокую верификацию, не проверяют IP-адреса, не используют видеосессии для подтверждения личности.
Генерация резюме, симуляция голоса, автоматический ответ на технические вопросы — всё это делает кандидатов практически неотличимыми от настоящих специалистов.
Нет единой системы, где бы фиксировались подозрительные профили или IP-адреса, что позволяет злоумышленникам переходить от одной компании к другой.
Как сказал Скотт Дьюк Коминерс из a16z: «Когда ты нанимаешь человека, ты нанимаешь не только его навыки. Ты нанимаешь его страну.»
Защита требует комплексного подхода, сочетающего технологии и процессы.
Как сказал Виталик Бутерин: «Безопасность начинается не с кода. Она начинается с первого интервью.»
По данным Зак Чжоу, северокорейские хакеры имеют свои предпочтения в выборе инструментов и активов.
Хакеры предпочитают USDC из-за его высокой ликвидности и наличия на всех крупных биржах. Кроме того, Circle, эмитент USDC, пока не блокирует адреса КНДР так же активно, как Tether (USDt), что делает USDC более удобным для отмывания.
Для перемещения средств используются мосты вроде Wormhole, Stargate и Portal, что позволяет быстро переводить активы между сетями и затруднять отслеживание.
После вывода средства направляются в миксеры, такие как Tornado Cash, Blinder или Railgun, для сокрытия следов.
В Замбии Interpol разоблачил сеть, которая через поддельные мобильные приложения похитила $300 миллионов у 65 000 пользователей. Такие схемы также связывают с КНДР.
Как отметил Эллисон Пирсон из Europol: «Когда мошенничество достигает размеров государственного бюджета, оно перестаёт быть преступлением. Это война.»
На фоне растущей угрозы крупные игроки начинают реагировать.
Бывший CEO Binance предупредил сообщество о тактике поддельных вакансий, используемых хакерами для проникновения в криптокомпании.
CEO Kris Marszalek подтвердил, что компания усиливает проверку кандидатов и опровергает любые слухи о компрометации, подчёркивая важность прозрачности.
Специальная команда обнаружила 60 подозрительных IT-специалистов, связанных с КНДР, и предупредила десятки криптокомпаний.
FBI, Europol и Минфин США усиливают контроль за финансовыми потоками, связанными с КНДР, и добавляют новые адреса в санкционные списки.
Как сказал Андреас Антонопулос: «Будущее Web3 зависит не от скорости транзакций, а от способности противостоять самым изощрённым врагам.»
Заявление Зак Чжоу — это не просто наблюдение. Это тревожный сигнал для всей индустрии. Мы больше не живём в мире, где безопасность ограничивается паролями и двухфакторной аутентификацией. Теперь она включает проверку каждого резюме, каждого собеседования и каждого нового сотрудника.
Ключевые выводы:
Как сказал Майкл Сэйлор: «В эпоху цифровых войн, каждый сотрудник — это потенциальный фронт.»
Конфликт за контроль над цифровыми активами вышел за пределы кода и блокчейнов. Он переместился в офисы, на Zoom-собеседования и в профили LinkedIn. И пока мы будем верить, что безопасность — это только задача IT-отдела, наши двери будут открыты для тех, кто приходит с резюме, а не с брутфорсом. Защита Web3 начинается не с аудита смарт-контрактов, а с вопроса: «Кто вы на самом деле?»
