8 Minutės
Blockchain tyrėjas sieja Šiaurės Korėjos nuotolinius darbuotojus su keliais kripto pažeidimais
Žinomas on-chain tyrėjas, veikiantis kaip ZachXBT, teigia, kad Šiaurės Korėjos (DPRK) IT rangovai buvo susiję su daugiau nei 25 kibernetinėmis incidentų, nukreiptų prieš kriptovaliutų sektorių. Šie teiginiai atsirado kaip atsakas į įrašą, kurį paskelbė Amjad Masad — dirbtinio intelekto programuotojų platformos Replit vadovas — ir kuriame jis išreiškė susirūpinimą dėl didėjančio nuotolinių IT kandidatų iš Šiaurės Korėjos skaičiaus, naudojančių AI priemones darbo atrankos metu.
Ką paskatino debatą
Masad pasidalino trumpu vaizdo įrašu X (anksčiau „Twitter“), kuriame rodoma, kaip nuotoliniai darbo kandidatai — dažnai pateikiami kaip IT specialistai —, panaudoja dirbtinio intelekto filtrus ir interviu pagalbines priemones, kad praliptų per pradines atrankas JAV technologijų įmonėse. Jo požiūris į tendenciją buvo iš esmės ekonominis: tai esą rangovai, bandantys užsidirbti pajamų DPRK labui, o ne specialiai infiltruotis Vakarų kompanijose su kenkėjiškais ketinimais.
ZachXBT su tuo nesutiko. Nors jis pripažino finansinį motyvą, jis pabrėžė, kad Šiaurės Korėjos IT įdarbinimas dažnai veikė kaip prieigos vektorius kibernetinėms atakoms, išpirkos reikalavimams ir šantažui prieš kripto įmones.
„Ne infiltracijai,“ — Masad buvo rašęs — nuomonę, kurią ZachXBT pavadino klaidinga. Remiantis jo tyrimais, yra bent 25 dokumentuoti atvejai, kai nuotoliniai darbuotojai, susiję su Šiaurės Korėja, buvo įtariami įsibrovimais, išpirkos programų diegimu arba šantažo operacijomis, paveikusiais blokų grandinės projektus ir kriptovaliutų įmones.
Įrodymai ir on-chain modeliai: ką nustatė ZachXBT
ZachXBT nurodė ankstesnes tiriamas gijas, kurios iliustruoja, kaip užpuolikai įgydavo darbą ar rangovo statusą ir vėliau išnaudodavo tą vidinę prieigą siekdami išnešti lėšas, įdiegti išpirkos programas arba inicijuoti apgaulingas finansines operacijas. Tyrėjas pastebi, kad daugelyje tokių incidentų pasikartoja tam tikras nuoseklus modelis, leidžiantis atskirti organizuotą veiklą nuo pavienių nusikalstamų bandymų.
- Nuotolinis įdarbinimas arba rangovo prieigos suteikimas, naudojamas privilegijuotų kredencialų gavimui.
- Lateralinės judėjimo strategijos įmonių tinkluose, vedančios prie piniginių, raktų valdymo sistemų arba iždų sąsajų.
- Vagysčių pervedimo per gerai žinomas „plovimo“ grandines, ypač stabilias monetas, tokias kaip USDC, naudojimas, norint greitai perkelti pavogtas lėšas on-chain.
Tokie on-chain pėdsakai, kartu su įdarbinimo istorijomis, skaitmeninio teismo požymiais ir infrastruktūros sutapimais, rodo organizuotą operacinį modelį, o ne tik atsitiktinį sukčiavimą. Tyrimai dažnai atseka srautus per tarpusavyje susijusias pinigines, centralizuotų keityklų įkeltus adresus ar pasikartojančias plovimo schemas, kurios leidžia analitikams sujungti atskirus incidentus į platesnį veikėją arba komandą.
USDC ir stablecoinai DPRK finansavime
Tai nėra pirmas kartas, kai analitikai atkreipė dėmesį į Šiaurės Korėjos naudojimąsi stabiliais žetonais. Ankstesni pranešimai ir on-chain analizės rodė, kad DPRK susiję veikėjai persiunčia milijonus per USDC ir kitus tokenus, išnaudodami kriptografinių sandorių greitį ir tarptautinę prieigą. Tokia veikla sustiprina kritikas stablecoin išleidėjams, pavyzdžiui, Circle, ir skatina reikalavimus geresniam transakcijų stebėjimui bei operatyviam atitikimo (compliance) reagavimui.
ZachXBT griežtai kritikavo kai kurias saugotojų ir paslaugų teikėjasų reakcijas kaip per lėtas arba nepakankamas blokavimo priemones neteisėtoms pinigų srautoms. Jis teigia, kad blokų grandinės skaidrumas iš principo turėtų palengvinti tokių modelių aptikimą, tačiau realybėje taikymas ir teisėsaugos bei industrijos atsakai yra nevienodi — nuo greito lėšų užšaldymo iki visiško ignoravimo dėl paslaugų teikėjo silpnų procesų.
Be to, stabilios monetos dažnai naudojamos kaip „pereinamasis sluoksnis“ — pavogtos lėšos pirmiausia konvertuojamos į USDC ar panašų tokeną, toliau perkelamos per daugybę įrenginių ar mixer’ius (kai kuriais atvejais centralizuotas keityklas ar „peer-to-peer“ platformas), o galiausiai išgryninamos ar pervedamos į sankcionuotus grandinių mazgus. Tokios operacijos sukuria papildomą apsunkinimą teisėsaugai ir finansinių institucijų atsekamumui.
Įdarbinimo taktikos ir vidinės grėsmės vektoriai
Buvęs Binance vadovas Changpeng Zhao (CZ) taip pat įspėjo kripto bendruomenę apie padidėjusią grėsmę, kylantį iš netikrų atrankų, piktybinių įsidarbinimo agentūrų ar feikinių kandidatų. CZ ir kiti saugumo ekspertai skelbia, kad DPRK susiję veikėjai dažnai pretenduoja į inžinerijos, saugumo, finansų ir DevOps pozicijas — pareigas, kurios gali suteikti prieigą prie privatinių raktų, parašų teisės (signers) ar iždo API.
Saugumo lyderiai išskiria kelias dažnai naudojamas taktikas:
- Suklastotos darbo paraiškos ir pažymėjimų kopijos, sukurtos tam, kad praeitų pirmines atrankas ir automatizuotus CV filtrus.
- Poseris kaip trečiųjų šalių žmogiškųjų išteklių ar rekrūterių agentai, užmezgantys ryšį su esamais darbuotojais ir prašantys atsisiųsti failus ar suteikti nuotolinę prieigą.
- Socialinės inžinerijos per interviu pavyzdžiai — pavyzdžiui, tariama Zoom klaida, po kurios kandidatas paprašomas atlikti „atnaujinimą“ per bendrinamą nuorodą, kuri iš tiesų instaliuoja kenkėjišką programinę įrangą.
Nors pradinis vidinis prieigos lygis gali būti ribotas, toks požiūris dažnai leidžia įsilaužėliams eskaluoti teises, modifikuoti diegimo grandines arba įterpti piktybinius skriptus, nukreiptus į pinigines ir išmaniuosius kontraktus. Pavyzdžiui, pakeitus CI/CD grandinę, galima automatiškai injektuoti kodą arba konfigūracijas, kurios vėliau leis išvilioti parašus arba nukreipti iždo valdymą į užpuolikų kontroliuojamas adresus.
Išpirkos programos, šantažas ir on-chain išpirkų mokėjimai
Keletas incidentų, susietų su Šiaurės Korėjos IT darbuotojais, įtrauktų išpirkos reikalavimus arba grasinimus nutekinti konfidencialią informaciją. Užpuolikai užkodavo vidines sistemas arba grasino atskleisti jautrius duomenis, o vėliau reikalavo mokėjimo kriptovaliutose. Stabilios monetos, tokios kaip USDC, leidžia greitai pervesti lėšas ir naudoti slepiamuosius metodus, kurie apsunkina lėšų susigrąžinimą ar sekimą.
On-chain analizė dažnai atskleidžia klasterių modelius ir piniginių infrastruktūros pakartotinį naudojimą keliose bylose, kas suteikia tyrėjams sriegių, kuriais galima surišti skirtingus incidentus su tais pačiais operatoriais. ZachXBT apskaičiavimas — daugiau nei 25 incidentai — atspindi tokių susidariusių signalų sankirtą per daugelį metų forenzinio darbo, kurio metu buvo lyginami įdarbinimo dokumentai, tinklo žurnalai ir on-chain tranzakcijų istorijos.
Pramonės atsakas: įspėjimai, įdarbinimo kontrolės ir atitiktis
Kai šios grėsmės tampa viešos, vis daugiau kripto įmonių gaunamų įspėjimų el. paštu ar per pramoninius konsorciumus — kad kandidatų iš sankcionuotų jurisdikcijų, įskaitant Šiaurės Korėją, reikėtų vertinti kaip potencialią vidinę riziką. Saugumo komandos ir tyrėjai rekomenduoja kelias pagrindines priemones:
- Stiprinti nuotolinio įdarbinimo procesus — įskaitant gilesnį tapatybės patikrinimą ir dokumentų autentiškumo patikrą rangovams.
- Riboti pirminę prieigą tik prie neprodukcinių aplinkų iki tol, kol atliekami išsamūs patikrinimai.
- Įdiegti griežtas politikos priemones privilegijuotai prieigai, raktų valdymui ir daugiafunkciams (multi-signature) reikalavimams iždo operacijoms.
- Stebėti išeinančius on-chain srautus dėl anomalijų, susijusių su žinomomis DPRK plovimo strategijomis, įskaitant tam tikras stablecoin grandines.
Saugumo vadovai taip pat pabrėžia atsakingo pranešimo ir bendradarbiavimo tarp keityklų, saugotojų bei atitikties grupių reikšmę, kad įtartinos lėšos būtų užšaldytos arba jas būtų galima sekti kuo operatyviau. Tarptautinis bendradarbiavimas su teisėsauga ir finansinėmis priežiūros institucijomis leidžia suderinti veiksmus ir sumažinti tarptautinių sankcijų pažeidimų riziką.
Kodėl tai svarbu blokų grandinėms ir DeFi ekosistemoms
Kripto įmonės veikia aukštos rizikos aplinkoje, kur vidinė prieiga gali būti tokia pat žalinga, kaip ir išoriniai atakos vektoriai. Nuotolinio įdarbinimo, AI-paremto interviu ir stabilcoinų patrauklumo greitoms operacijoms derinys sukuria grėsmių paviršių, kuriam reikalingi tiek techniniai, tiek procedūriniai sprendimai.
Paskolų platformos, decentralizuotos biržos, saugotojai ir blokų grandinės infrastruktūros tiekėjai ypač turėtų taikyti didesnį pradinį due diligence lygį. Užpuolikai, gavę net ribotą prieigą prie kūrėjo ar operacijų rolės, gali padaryti disproporcingą žalą — manipuliuodami diegimo procesais, pakeisdami konfigūracijas ar išlaisvindami privatinius raktus. Todėl būtina derinti techninius sprendimus (pvz., CI/CD auditus, automatinius atradimų įrankius) su griežtomis žmogiškųjų išteklių procedūromis.
Praktiniai žingsniai įmonėms ir vartotojams
Saugumą prižiūrinčioms organizacijoms ir vartotojams rekomenduojami veiksmai apima:
- Taikyti griežtas multi-sig ir aparatinės įrangos raktų (hardware wallet) politiką iždo operacijoms.
- Detaliai tikrinti nuotolinius kandidatus — naudoti nepriklausomus tapatybės patvirtinimus, patikrinti darbo istoriją ir, kur galima, atlikti foninius patikrinimus.
- Apriboti naujų rangovų prieigą iki izoliuotų (sandbox) aplinkų, kol jie patvirtins savo patikimumą ir kompetenciją.
- Palaikyti on-chain stebėseną ir greitas pranešimų kanalus su keityklomis bei stablecoin išleidėjais, kad būtų galima blokuoti įtartinus sandorius.
- Šviesti darbuotojus apie socialinės inžinerijos taktiką, naudojamą per įdarbinimo procesus, bei praktinius pavyzdžius, kaip atpažinti įtartinus prašymus.
Taip pat rekomenduojama periodiškai atlikti išorinius saugumo auditai, rašytinius incidentų reagavimo planus ir rengti streso testus, kurie patikrintų, kaip organizacija elgtųsi pastebėjus įtartiną vidinę prieigą ar netikėtą iždo operaciją.
Išvada: vertinti įdarbinimo riziką kaip kripto saugumo dalį
ZachXBT vertinimas sustiprina susirūpinimą, kad nuotolinis įdarbinimas gali būti paverstas ginklu prieš kripto įmones. Nors kai kurie kandidatai gali siekti paprasčiausio pajamų šaltinio, dokumentuotas taktikos ir sėkmingų įsilaužimų sutapimas rodo nuolatinę ir organizuotą grėsmę. Įmonės turi suderinti nuotolinio darbo efektyvumą su griežtais saugumo kontrolės mechanizmais, o stablecoin išleidėjai ir saugotojai — likti budrūs dėl on-chain piktnaudžiavimo.
Kripto infrastruktūros apsauga reikalauja tiek techninių priemonių, tiek griežtų HR bei įsigijimų praktikų. Kai industrija bręsta, kryžminis bendradarbiavimas — tarp tyrėjų, keityklų, stabilcoin tiekėjų ir reguliuotojų — bus esminis, siekiant sumažinti DPRK susijusių įsibrovimų riziką ir užtikrinti decentralizuoto finansavimo atsparumą bei patikimumą.
Šaltinis: crypto
Palikite komentarą