调查揭露朝鲜IT人员伪造身份渗透加密货币项目
区块链调查员ZachXBT于2025年8月13日发布调查报告,揭露一个由五名朝鲜IT工作者组成的团队通过伪造30余个虚假身份,成功渗透多个加密货币项目担任开发职位。
精密伪装手段
匿名消息源成功入侵某朝鲜IT工作者的设备后,获取了包括Google Drive导出文件、Chrome浏览器配置及设备截图在内的重要证据。调查显示,该团队通过购买政府身份证件、LinkedIn和Upwork平台职业账户构建虚假身份,并详细记录了采购社会安全号码、电话号码、AI订阅服务、电脑租赁及VPN网络等开支。
这些人员全程使用英语交流,但浏览器历史记录显示其频繁使用韩语版谷歌翻译,且翻译请求IP地址来自俄罗斯。团队通过AnyDesk远程访问软件连接VPN服务,使工作地点与其声称的位置相符。
与重大加密黑客事件的关联
调查过程中,ZachXBT发现该团队使用的某个ERC-20钱包地址(0x78e1)与2025年6月发生的Favrr平台68万美元被盗事件存在直接关联。进一步调查证实,该项目的首席技术官及其他开发人员实为使用伪造证件的朝鲜特工。此发现促使多个加密货币项目启动内部审查,结果暴露出更多朝鲜特工使用虚假身份担任关键开发岗位的案例。
行业反应与历史事件
加密货币社区对此反应不一,部分人士指责相关项目存在招聘疏忽。虽然Kraken交易所曾在5月成功识别出伪装求职者的朝鲜威胁分子,但类似骗局仍屡屡得逞——2025年1月纽约居民因此损失220万美元加密货币,6月美国当局更查获朝鲜IT人员通过虚假自由职业者身份获取的770万美元加密货币。
上月美国财政部已对涉及渗透加密公司的朝鲜IT人员网络实施制裁,冻结两名个人及四个实体的资产。ZachXBT呼吁加密及科技企业对求职者进行更严格的背景审查,指出虽然这些操作技术含量不高,但海量的申请常导致招聘团队疏于防范。