Ethereum-Забезпечені прапори Кетман про широке проникнення Північної Кореї у криптовалютний найм

Нове розслідування, підтримане Фондом Ethereum, привернуло додаткову увагу до довготривалої проблеми безпеки у криптоіндустрії: операції з Північної Кореї, які видають себе за легітимних віддалених розробників. У недавньому огляді ETH Rangers від Фонду Ethereum організація повідомила, що один із отримувачів гранту використав stipend для створення та масштабування Ketman — проекту з розвідки загроз, спрямованого на виявлення ІТ-спеціалістів із DPRK у блокчейн-проектах. У огляді зазначалося, що команда звернулася приблизно до 53 проектів і виявила близько 100 різних ІТ-спеціалістів із DPRK, які працювали у Web3-організаціях.

Виявлення з’явилися після того, як крипто-коментатор Колін Ву висвітлив цей звіт у X, заявивши, що огляд показав, що Ketman виявив близько 100 північнокорейських хакерів, які проникли у криптопроекти. Пост Ву також посилався на повідомлення, що операції часто використовували підроблені японські посвідчення для отримання віддалених робочих місць у Web3, що відповідає патерну, описаному у власному звіті Ketman щодо проникнення на фріланс-платформи.

Публічний звіт Ketman, опублікований 16 квітня 2025 року, описує, як розслідування почалося з підозрілого актора у репозиторії легітимного розробника і розширилося у ширший кластер, пов’язаний із екосистемою фрілансерів onlyDust. Дослідники зазначили, що спочатку вони помітили маніпуляції з історією облікових записів, спам-активність, підозрілі зміни особистих даних та інші ознаки тривоги, а потім простежили ці облікові записи до ширшої мережі учасників, що працювали у кількох репозиторіях. У звіті Ketman зазначає, що вони виявили акторів, які використовували кілька псевдонімів, фальшиві особистості та навіть сфабриковані документи під час процесу найму.

Попередження щодо криптозахисту

Одна з найяскравіших частин звіту Ketman — це твердження, що деякі підозрювані особи представляли себе як японці, хоча дослідники в кінцевому підсумку дійшли висновку, що вони пов’язані з діяльністю, що має зв’язки з DPRK. У звіті йдеться, що один із суб’єктів використовував кілька імен і заявляв, що він японський, а команда також посилалася на підроблений японський документ, використаний під час процесу верифікації. Ketman зазначає, що такий тип відмивання особистості може допомогти підозрілим учасникам здобути довіру, отримати платежі і згодом використати цей досвід для переходу у більш чутливі ролі.

Огляд Фонду Ethereum подає цю роботу як частину ширшої програми безпеки, а не як однеразове розслідування. Разом із висновками Ketman, підсумок ETH Rangers повідомляє, що загальна програма відновила або заморозила понад 5,8 мільйонів доларів, задокументувала понад 785 вразливостей і виявила приблизно 100 державних операційних агентів у всій екосистемі. Цей контекст допомагає зрозуміти, чому Фонд розглядає цю категорію загроз як серйозну операційну проблему для команд Web3, а не лише як вузькоспеціалізовану дослідницьку задачу.

Ketman також публічно стверджує, що команди мають більш активно перевіряти віддалених працівників, зокрема через відеодзвінки та більш ретельне вивчення невідповідностей у поведінці або заявках на особистість. У своєму звіті проект зазначає, що документи KYC самі по собі недостатні і рекомендує заходи перевірки, що виходять за межі статичних паперів. Це попередження актуальне у рік, коли американські влади продовжують позначати діяльність ІТ-спеціалістів із DPRK як еволюційну загрозу, включаючи шантаж даних та інші форми зловживань, пов’язаних із шахрайством із віддаленим працевлаштуванням.

Для крипто-стартапів висновок є незручним, але ясним. Проникнення, пов’язане із Північною Кореєю, вже не є лише проблемою зломів на межі мережі. Це також проблема найму, відбору підрядників і довіри всередині команд, що покладаються на віддалену співпрацю. Висновки Ketman свідчать, що підроблені резюме, відполіровані історії GitHub і переконливі образи для співбесід все ще можуть пройти, якщо проекти не посилюють процеси перевірки розробників перед наданням їм доступу до коду, коштів або внутрішніх комунікацій.