Проникновение Северной Кореи в удаленный набор кадров: проверка собеседований стала защитной линией

Согласно интервью, вновь выявлены обстоятельства, при которых сотрудники, связанные с Северной Кореей, используют процедуры удаленного набора кадров криптовалютных компаний в качестве пути проникновения. Оценки показывают, что не только взломы кошельков, но и собеседования, процесс адаптации, доставка оборудования и предоставление прав удаленного доступа стали первой линией контроля безопасности.

18 числа Crypto Briefing сообщила, что Лора Шин, ведущая Unchained, провела интервью с человеком, представившимся как "Джастин Лим", притворяясь соискателем на собеседовании под именем "Софи Ван". Этот разговор был представлен в эпизоде подкаста Unchained, опубликованном 14 числа.

В репортаже Лим описал себя как удаленного разработчика. Он ответил на вопросы о безопасности смарт-контрактов, графе (GRT), Uniswap (UNI) и Velas, но уклонился от вопросов о северокорейском лидере.

Crypto Briefing написала, что Лим связан с кражей в 2,7 миллиона долларов (около 38 миллиардов вон), произошедшей в MetaPlay в 2022 году. Однако эта связь является утверждением данного репортажа и не была подтверждена официальными следственными документами или заявлениями учреждений.

Федеральное бюро расследований США (FBI) в уведомлении от 16 мая 2024 года заявило, что IT-специалисты из Северной Кореи используют местных помощников в США, чтобы скрыть свою личность и получить доступ к корпоративным сетям. FBI представило основные методы, такие как получение оборудования, подключение к удаленному рабочему столу, открытие финансовых счетов, создание учетных записей на сайтах для поиска работы, участие в виртуальных собеседованиях от имени других и создание фронтальных компаний на территории США.

Предупреждение FBI имеет значение, поскольку рассматривает хакерство не только как проблему уязвимостей кода, но и как проблему процесса найма. В нем содержится рекомендация для компаний не только проверять личность перед наймом, но и регулярно проверять местоположение, оборудование и шаблоны использования учетных записей на протяжении всего рабочего периода после адаптации.

Министерство юстиции США также сообщило в своем заявлении от 30 июня 2025 года, что сотрудники из Северной Кореи получили удаленные IT-работы с использованием украденных или поддельных личностей и устроились более чем в 100 американских компаниях. В том же заявлении упоминается о 29 местах, подозреваемых в "ноутбук-фермах", обыске в 16 штатах, изъятии 29 финансовых счетов и 21 мошеннического веб-сайта.

Ноутбук-ферма — это физическая база, где третьи лица хранят рабочее оборудование, отправленное нанимающей компанией, и помогают иностранным работникам подключаться удаленно. Министерство юстиции сообщило, что некоторые IT-специалисты из Северной Кореи устроились в компании по исследованию и разработке блокчейна и украли виртуальные активы на сумму более 900 тысяч долларов (около 13 миллиардов вон).

Chainalysis в своем отчете за 2025 год сообщила, что северокорейские хакеры украли 2,02 миллиарда долларов (около 28,31 триллиона вон) в этом году, а общая сумма краж достигла 6,75 миллиарда долларов (около 95,44 триллиона вон). Chainalysis объяснила, что связанные с Северной Кореей группы внедряют IT-специалистов в крипто-сервисы для получения прав доступа или маскируются под рекрутеров в компаниях Web3 и AI, чтобы на этапе технического собеседования получить доступ к сертификатам и исходному коду.

Компания Kudelski Security в исследовании от 30 июня 2026 года сообщила, что кампания "контейнерных собеседований", связанная с Северной Кореей, привлекает разработчиков через LinkedIn, WhatsApp и Discord. Анализ показал, что в процессе фальшивого технического собеседования заставляют запускать репозитории с вредоносным кодом и извлекать чувствительную информацию, такую как переменные окружения и токены.

Образовательная компания по безопасности KnowBe4 в открытом письме от 24 февраля 2025 года рассказала о своем опыте проведения собеседования с фальшивым соискателем из Северной Кореи. Соискатель, как сообщается, повторял вопросы, затягивая время, и, похоже, использовал поисковые системы или ответы AI. KnowBe4 объяснила, что компании, нанимающие удаленных разработчиков, регулярно сталкиваются с такими соискателями.

В криптоиндустрии существует проблема, когда удаленные приоритетные организации, сотрудничество разработчиков через границы, быстрый набор и культура псевдонимов могут привести к ослаблению проверки личностей. Если аудит смарт-контрактов и мониторинг кошельков приближаются к послеследственным мерам, то проверка собеседований и адаптации является контролирующим механизмом до получения внутреннего доступа.

Та же проблема наблюдается и в южнокорейских крипто-компаниях. Ранее мы сообщали, что случаи собеседований с удаленными разработчиками, подозреваемыми в связях с Северной Кореей, выявили проблемы в проверке найма в индустрии виртуальных активов. В то время также не была независимо подтверждена информация о псевдонимах, национальности и месте жительства персонажей статьи, и суть заключалась не в конкретных личностях, а в методах.

Существуют также примеры, когда исследователи безопасности создали фальшивую DeFi-компанию и проследили за замаскированными IT-работниками, которые были указаны как часть группы Lazarus из Северной Кореи. Мы ранее сообщали о том, что в процессе приема на работу использовались поддельные удостоверения личности, украденные номера социального страхования и подставные счета.

Данный случай нацелен не на идентичность конкретного собеседника, а на структуру найма в криптоиндустрии. Процессы собеседования, доставки оборудования, предоставления удаленного доступа и прав должны управляться в рамках одной системы безопасности, чтобы уменьшить проникновение, направленное на получение внутреннего доступа.

Этот контент предоставляется исключительно в общих информационных целях и не является финансовым, инвестиционным, юридическим или налоговым советом. Любые мероприятия, вознаграждения, онлайн-акции или связанная с ними информация, упомянутые в настоящем документе, не должны рассматриваться как рекомендация, приглашение к покупке, продаже, торговле или иной сделке с какими-либо криптоактивами. Криптоактивы очень волатильны и могут привести к убыткам. Доступность услуг, продуктов WEEX и связанных с ними событий может варьироваться в зависимости от региона. Вы несете ответственность за обеспечение того, чтобы ваше участие соответствовало применимым местным законам и нормативным актам.