Zatrudnienie w IT w Korei Północnej: Wyzwania związane z bezpieczeństwem w rekrutacji w branży kryptowalut

Przypadek rozmowy kwalifikacyjnej zdalnego programisty, który może być powiązany z Koreą Północną, ponownie ujawnił problemy z weryfikacją zatrudnienia w branży kryptowalut. Hacking może zaczynać się nie tylko od luk w kodzie, ale także od procedur związanych z zatrudnianiem i przyznawaniem uprawnień.

TechFlow donosi, że 14. dnia miesiąca jeden z kandydatów przedstawił się jako programista, ale przerwał odpowiedzi po tym, jak poproszono go o skrytykowanie Kim Jong-una. Podobno ten kandydat powiedział, że lubi film „Kraina lodu”. Pseudonim, narodowość i miejsce zamieszkania postaci z artykułu nie zostały niezależnie potwierdzone.

Kluczowym punktem tego przypadku jest nie tożsamość kandydata, ale metoda. Departament Skarbu USA i FBI ostrzegali, że od 2022 roku północnokoreańscy pracownicy IT próbują udawać obywateli innych krajów, aby uzyskać zatrudnienie w zagranicznych firmach. Starają się przejść przez proces rekrutacji, wykorzystując fałszywe dokumenty, kradzione tożsamości, fikcyjne dane osobowe, narzędzia do zdalnego dostępu oraz lokalnych współpracowników.

FBI w ogłoszeniu z stycznia 2025 roku stwierdziło, że północnokoreańscy pracownicy IT mogą wykorzystać dostęp do sieci firmowej, aby wykradać wrażliwe dane i kody źródłowe lub wykorzystywać je do szantażu. Zalecili, aby w trakcie rozmów kwalifikacyjnych i procesu onboardingu wielokrotnie weryfikować tożsamość oraz sprawdzać, czy te same sformułowania w CV lub dane kontaktowe są używane przez wielu kandydatów.

Departament Skarbu USA nałożył sankcje na sześciu współpracowników i dwie firmy związane z oszustwami północnokoreańskich pracowników IT w marcu 2026 roku. Departament wskazał, że ta metoda przyniosła Korei Północnej prawie 800 milionów dolarów (około 11,344 bilionów wonów) tylko w 2024 roku.

Scott Bessent, sekretarz skarbu USA, powiedział wówczas, że "reżim północnokoreański celuje w amerykańskie firmy, stosując oszukańcze metody z wykorzystaniem zagranicznych pracowników IT". Organy sankcyjne traktują oszustwa związane z zdalnym zatrudnieniem w Korei Północnej nie tylko jako kwestie zatrudnienia, ale także jako część pozyskiwania walut obcych i operacji cybernetycznych.

TRM Labs oszacowało, że w pierwszej połowie 2026 roku straty związane z hackowaniem kryptowalut wyniosły 972 miliony dolarów (około 13,783 bilionów wonów). Z tego około 643 miliony dolarów (około 9,118 bilionów wonów) pochodziło z działalności powiązanej z Koreą Północną, co stanowi 66% całkowitych strat. TRM Labs oceniło, że w 2025 roku straty związane z północnokoreańskim hackingiem wyniosły 1,92 miliarda dolarów (około 27,226 bilionów wonów).

Straty koncentrowały się na kilku dużych incydentach. TRM Labs poinformowało, że do kwietnia 2026 roku w wyniku dwóch ataków na Drift i KelpDAO skradziono około 577 milionów dolarów (około 8,182 bilionów wonów). Straty w przypadku Drift wyniosły 285 milionów dolarów (około 4,041 bilionów wonów), a w przypadku KelpDAO 292 miliony dolarów (około 4,141 bilionów wonów).

W tym samym raporcie TRM Labs stwierdziło, że od 2017 roku całkowite straty związane z kradzieżą kryptowalut przez Koreę Północną przekroczyły 6 miliardów dolarów (około 85,080 bilionów wonów). Do kwietnia 2026 roku hacking związany z Koreą Północną stanowił 76% strat związanych z hackowaniem kryptowalut w tym roku. W zależności od momentu zbierania danych i kryteriów, liczby za pierwszą połowę roku i całkowity udział w roku mogą być przedstawione inaczej.

Zdalne zatrudnienie jest szczególnie wrażliwą procedurą dla firm zajmujących się kryptowalutami. Programiści mogą mieć dostęp do repozytoriów kodu, infrastruktury portfela, procedur podpisywania i dokumentów wewnętrznych. Jeśli ukryty pracownik przejdzie przez proces rekrutacji, atak może rozpocząć się nie od luk technologicznych, ale od uprawnień do pracy.

Taka struktura jest również powiązana z wcześniejszymi incydentami bezpieczeństwa. Wcześniej informowaliśmy o złośliwym oprogramowaniu typu scam, które celowało w pracowników Web3. Ustalono, że atakujący próbowali wyłudzić informacje związane z portfelami i przeglądarkami, nakłaniając do zainstalowania fałszywego narzędzia do spotkań AI.

Problem północnokoreańskich pracowników IT za granicą również nie może być postrzegany jako pojedynczy incydent. Zespół monitorujący wielostronne sankcje stwierdził, że dochody z kradzieży kryptowalut w Korei Północnej oraz dochody z zagranicznych pracowników IT są wykorzystywane do programów broni masowego rażenia i rakiet balistycznych. Dlatego proces zatrudniania zagranicznych pracowników IT jest traktowany w kontekście przeciwdziałania praniu pieniędzy i kradzieży informacji.

Jednak odpowiedź na pytanie o "krytykę Kim Jong-una" nie kończy się na tym. Mark Karpelès, były dyrektor generalny Mt. Gox, powiedział na X, że ta metoda jest "naprawdę skutecznym filtrem". W terenie może być używana jako pytanie, które pozwala na natychmiastowe sprawdzenie reakcji.

Są jednak głosy sprzeciwu. W dyskusji na Hacker News zauważono, że takie pytania mogą prowadzić do kontrowersji związanych z profilowaniem, a w dłuższej perspektywie mogą być osłabione przez skrypty lub deepfake. Istnieje obawa, że bezpieczeństwo rekrutacji, polegające na jednym pytaniu, może w rzeczywistości zawęzić procedury weryfikacyjne.

Zalecenia FBI i Departamentu Skarbu USA kładą większy nacisk na weryfikację procedur niż na pojedyncze pytania. Należy stosować jednocześnie weryfikację tożsamości, weryfikację lokalizacji, kontrolę IP i urządzeń, wykrywanie narzędzi do zdalnego dostępu oraz monitorowanie nieprawidłowych sygnałów po zatrudnieniu. Proces zdalnego zatrudnienia w firmach zajmujących się kryptowalutami wszedł w etap, w którym należy ponownie ocenić kryteria przyznawania uprawnień wewnętrznych wraz z oceną zdolności programistycznych.

Niniejsza treść ma charakter wyłącznie informacyjny i nie stanowi porady finansowej, inwestycyjnej, prawnej ani podatkowej. Wszelkie wydarzenia, nagrody, promocje online lub powiązane informacje, o których tu mowa, nie powinny być traktowane jako rekomendacja, zachęta ani zaproszenie do kupna, sprzedaży, wymiany lub innego rodzaju obrotu aktywami kryptograficznymi. Aktywa kryptograficzne charakteryzują się dużą zmiennością i mogą prowadzić do strat. Dostępność usług, produktów i powiązanych wydarzeń WEEX może się różnić w zależności od regionu. Użytkownik jest odpowiedzialny za upewnienie się, że jego udział jest zgodny z obowiązującymi lokalnymi przepisami i regulacjami.