Cờ Ketman dựa trên Ethereum phản ánh sự xâm nhập rộng rãi của Triều Tiên trong tuyển dụng tiền điện tử

Một cuộc điều tra mới được hỗ trợ bởi Quỹ Ethereum đã thu hút sự chú ý mới đến một vấn đề an ninh lâu dài trong lĩnh vực tiền điện tử: các nhân viên Bắc Triều Tiên giả danh là các nhà phát triển từ xa hợp pháp. Trong một bản tổng kết gần đây của Quỹ Ethereum ETH Rangers, tổ chức này cho biết một người nhận tài trợ đã sử dụng khoản trợ cấp để xây dựng và mở rộng Ketman, một dự án tình báo mối đe dọa tập trung vào việc phát hiện các nhân viên CNTT của DPRK trong các dự án blockchain. Bản tổng kết nói rằng nhóm đã liên hệ với khoảng 53 dự án và xác định khoảng 100 nhân viên CNTT của DPRK hoạt động trong các tổ chức Web3.

Các phát hiện này xuất hiện sau khi nhà bình luận tiền điện tử Colin Wu nhấn mạnh báo cáo trên X, nói rằng cuộc rà soát cho thấy Ketman đã phát hiện khoảng 100 hacker Bắc Triều Tiên xâm nhập các dự án tiền điện tử. Bài đăng của Wu cũng đề cập đến các báo cáo cho biết các nhân viên này thường sử dụng giấy tờ tùy thân giả của Nhật Bản để đảm bảo các công việc từ xa trong Web3, một chi tiết phù hợp với mô hình mô tả trong báo cáo của Ketman về việc xâm nhập các nền tảng tự do.

Báo cáo công khai của Ketman, được công bố vào ngày 16 tháng 4 năm 2025, mô tả cách cuộc điều tra bắt đầu từ một đối tượng đáng ngờ trong kho lưu trữ của một nhà phát triển hợp pháp và mở rộng thành một nhóm lớn hơn liên kết với hệ sinh thái freelancer onlyDust. Các nhà nghiên cứu viết rằng họ ban đầu nhận thấy các hoạt động thao túng lịch sử tài khoản, hoạt động spam, thay đổi danh tính đáng ngờ, cùng nhiều dấu hiệu cảnh báo khác, rồi theo dõi các tài khoản đó đến một mạng lưới các cộng tác viên rộng hơn hoạt động trên nhiều kho lưu trữ. Trong báo cáo, Ketman cho biết đã phát hiện các đối tượng sử dụng nhiều bí danh, danh tính giả và thậm chí các tài liệu giả mạo trong quá trình tuyển dụng.

Cảnh báo An ninh Tiền điện tử

Một trong những phần nổi bật nhất của bài viết của Ketman là tuyên bố rằng một số đối tượng bị nghi ngờ đã tự giới thiệu là người Nhật, mặc dù các nhà nghiên cứu cuối cùng kết luận họ có liên quan đến hoạt động liên kết DPRK. Báo cáo cho biết một đối tượng đã sử dụng nhiều tên khác nhau và tự xưng là người Nhật, trong khi nhóm cũng đề cập đến một tài liệu giả của Nhật Bản được sử dụng trong quá trình xác minh. Ketman nói rằng loại hình rửa danh tính này có thể giúp các cộng tác viên đáng ngờ xây dựng uy tín, thu thập thanh toán, và sau đó dùng kinh nghiệm đó để chuyển vào các vai trò nhạy cảm hơn.

Bản tổng kết của Quỹ Ethereum đã xem công việc này như một phần của nỗ lực an ninh rộng hơn chứ không chỉ là một cuộc điều tra đơn lẻ. Cạnh đó, tóm tắt ETH Rangers cho biết chương trình tổng thể đã thu hồi hoặc phong tỏa hơn 5,8 triệu đô la, ghi nhận hơn 785 lỗ hổng bảo mật, và xác định khoảng 100 nhân viên hoạt động do nhà nước tài trợ trong toàn bộ hệ sinh thái. Bối cảnh này giúp giải thích tại sao Quỹ xem loại mối đe dọa này như một vấn đề vận hành nghiêm trọng đối với các nhóm Web3, chứ không chỉ là một vấn đề nghiên cứu đặc thù.

Ketman cũng đã lập luận công khai rằng các nhóm nên xác minh nhân viên từ xa một cách nghiêm ngặt hơn, bao gồm qua các cuộc gọi video và kiểm tra chặt chẽ hơn các bất thường trong hành vi hoặc các tuyên bố về danh tính. Trong báo cáo của mình, dự án nói rằng các tài liệu KYC đơn thuần là không đủ và đề xuất các bước xác minh vượt ra ngoài giấy tờ tĩnh. Cảnh báo này đến vào một năm mà các cơ quan Mỹ tiếp tục cảnh báo về hoạt động của nhân viên CNTT Bắc Triều Tiên như một mối đe dọa đang tiến triển, bao gồm tống tiền dữ liệu và các hình thức lạm dụng khác liên quan đến các vụ lừa đảo tuyển dụng từ xa.

Đối với các startup tiền điện tử, bài học rút ra là không thoải mái nhưng rõ ràng. Việc xâm nhập liên kết Bắc Triều Tiên không còn chỉ là vấn đề hack ở rìa mạng lưới nữa. Nó còn là vấn đề tuyển dụng, vấn đề sàng lọc nhà thầu, và vấn đề niềm tin trong các nhóm dựa vào hợp tác từ xa. Các phát hiện của Ketman cho thấy rằng sơ yếu lý lịch giả, lịch sử GitHub chỉnh chu, và các nhân vật phỏng vấn thuyết phục vẫn có thể lọt qua trừ khi các dự án siết chặt cách kiểm tra nhà phát triển trước khi cấp quyền truy cập vào mã nguồn, quỹ hoặc các liên lạc nội bộ.