Đặc vụ Triều Tiên thâm nhập thị trường phát triển tài sản tiền điện tử toàn cầu, đội ngũ hoạt động 30 danh tính giả bị phơi bày

【币界】Tin tức, cuộc điều tra của một thám tử blockchain nổi tiếng cho thấy, Bắc Triều Tiên đã thực hiện sự thâm nhập rộng rãi vào thị trường tuyển dụng phát triển tài sản tiền điện tử toàn cầu. Một nguồn tin ẩn danh gần đây đã xâm nhập vào thiết bị của một nhân viên CNTT Bắc Triều Tiên và cung cấp những hiểu biết chưa từng có, tiết lộ cách một nhóm nhỏ gồm năm nhân viên CNTT vận hành hơn 30 danh tính giả.

Đặc vụ Triều Tiên đổ vào thị trường tuyển dụng tài sản tiền điện tử

Theo cuộc điều tra, nhóm Bắc Triều Tiên đã sử dụng giấy tờ danh tính do chính phủ cấp để đăng ký tài khoản trên các nền tảng tuyển dụng, nhằm giành được vị trí phát triển cho nhiều dự án. Các nhà điều tra đã phát hiện một tệp xuất khẩu gồm hồ sơ Google Drive, hồ sơ Chrome cá nhân và các ảnh chụp màn hình, cho thấy các sản phẩm của Google là cốt lõi trong việc tổ chức lịch trình, nhiệm vụ và ngân sách, và giao tiếp chủ yếu được thực hiện bằng tiếng Anh.

Trong các tài liệu này, có một bảng tính điện tử cho năm 2025, chứa báo cáo hàng tuần của các thành viên trong nhóm, tiết lộ cách thức hoạt động bên trong và tâm lý của họ. Các mục điển hình bao gồm những tuyên bố như "Tôi không hiểu yêu cầu công việc, và cũng không biết tôi cần làm gì" cũng như những ghi chú tự hướng dẫn như "Giải pháp/Sửa chữa: Đầu tư đủ nỗ lực".

Một bảng tính khác theo dõi chi phí, cho thấy chi phí mua số an sinh xã hội, tài khoản nền tảng tuyển dụng, số điện thoại, đăng ký AI, thuê máy tính cũng như dịch vụ VPN hoặc proxy. Lịch trình cuộc họp và kịch bản danh tính giả cũng đã được khôi phục, bao gồm một danh tính tên là "Henry Zhang".

Phương pháp hoạt động của nhóm bao gồm việc mua hoặc thuê máy tính, sử dụng AnyDesk để thực hiện công việc từ xa, và chuyển đổi tiền tệ hợp pháp kiếm được thành mã hóa thông qua Payoneer. Một địa chỉ ví liên quan đến tổ chức này đã được liên kết trên chuỗi với vụ khai thác 680.000 đô la xảy ra vào tháng 6 năm 2025 ở Favrr, CTO của dự án và các nhà phát triển khác sau đó đã được xác định là nhân viên CNTT của Triều Tiên sử dụng tài liệu giả mạo. Những nhân viên khác có liên quan đến Triều Tiên đã được kết nối với dự án thông qua địa chỉ này.

Các dấu hiệu cho thấy họ đến từ Triều Tiên bao gồm việc sử dụng Google Dịch thường xuyên và tìm kiếm tiếng Hàn từ địa chỉ IP của Nga. Các nhà điều tra cho biết, những nhân viên CNTT này không phải là người có kỹ năng đặc biệt, nhưng sự kiên trì của họ nhờ vào số lượng vị trí mà họ nhắm đến trên toàn cầu. Những thách thức trong việc đối phó với các hành động này bao gồm sự hợp tác kém giữa các công ty tư nhân và dịch vụ, cũng như sự kháng cự của đội ngũ khi báo cáo các hoạt động gian lận.

Mối đe dọa liên tục từ Triều Tiên

Tin tặc Triều Tiên, đặc biệt là Nhóm Lazarus, tiếp tục tạo ra mối đe dọa lớn đối với ngành công nghiệp này. Vào tháng 2 năm 2025, tổ chức này đã lên kế hoạch cho cuộc tấn công hack sàn giao dịch tiền điện tử lớn nhất trong lịch sử, đánh cắp khoảng 1,5 tỷ đô la Ethereum từ một nền tảng giao dịch có trụ sở tại Dubai. Cuộc tấn công này đã khai thác lỗ hổng trong các nhà cung cấp ví bên thứ ba, cho phép tin tặc vượt qua các biện pháp bảo mật ký nhiều và chuyển tiền vào nhiều ví khác nhau. Cục Điều tra Liên bang Hoa Kỳ đã quy trách nhiệm cho hành vi vi phạm này cho các đặc vụ Triều Tiên và gán cho nó cái tên "TraderTraitor".

Sau đó, vào tháng 7 năm 2025, sàn giao dịch tiền điện tử Ấn Độ CoinDCX đã trở thành nạn nhân của một vụ trộm 44 triệu đô la, vụ trộm này cũng liên quan đến nhóm Lazarus. Kẻ tấn công đã xâm nhập vào cơ sở hạ tầng thanh khoản của CoinDCX, lợi dụng các thông tin xác thực nội bộ bị lộ để thực hiện vụ trộm.