Проблема віддаленого найму в Північній Кореї: перевірка співбесід стала бар'єром безпеки

Виявлено, що особи, пов'язані з Північною Кореєю, використовують процедури віддаленого найму криптовалютних компаній як шлях для проникнення. Оцінюється, що не лише злом гаманців, але й співбесіди, процеси адаптації, доставка обладнання та надання прав доступу стали першою лінією контролю безпеки.

Crypto Briefing повідомила 18 числа, що Лора Шин, ведуча Unchained, провела інтерв'ю з особою, яка представилася як "Джастін Лім" під виглядом шукача роботи на ім'я "Софі Ван". Ця розмова була представлена в епізоді подкасту Unchained, опублікованому 14 числа.

У повідомленні Лім описав себе як віддаленого розробника. Він відповів на запитання про безпеку смарт-контрактів, граф (GRT), Uniswap (UNI) та Velas, а на запитання про лідера Північної Кореї відповів ухильно.

Crypto Briefing зазначила, що Лім пов'язаний з крадіжкою 2,7 мільйона доларів (приблизно 38 мільйонів гривень), що сталася в MetaPlay у 2022 році. Однак це зв'язок є лише заявою в повідомленні, і не підтверджений офіційними документами слідства чи заявами установ.

Федеральне бюро розслідувань США (FBI) у повідомленні від 16 травня 2024 року заявило, що IT-спеціалісти з Північної Кореї використовують помічників у США, щоб приховати свою особистість та отримати доступ до корпоративних мереж. FBI представила основні методи, такі як отримання обладнання, підключення до віддаленого робочого столу, відкриття фінансових рахунків, створення облікових записів на сайтах для пошуку роботи, участь у віртуальних співбесідах від імені інших осіб та створення фронтових компаній на території США.

Попередження FBI є важливим, оскільки воно вказує на те, що злом є не лише проблемою кодових вразливостей, але й проблемою найму. Компаніям рекомендовано не лише перевіряти особистість перед наймом, але й повторно перевіряти місцезнаходження, обладнання та патерни використання облікових записів протягом всього терміну роботи.

Міністерство юстиції США також повідомило 30 червня 2025 року, що працівники з Північної Кореї отримали віддалені IT-роботи за допомогою вкрадених або підроблених особистостей та працевлаштувалися в понад 100 компаніях США. Це повідомлення також згадує про обшуки 29 підозрілих "ноутбук-ферм" у 16 штатах, вилучення 29 фінансових рахунків та 21 шахрайського веб-сайту.

Ноутбук-ферма є фізичною базою, де третя особа зберігає обладнання, надіслане роботодавцем, і допомагає іноземним працівникам підключатися віддалено. Міністерство юстиції повідомило, що деякі IT-спеціалісти з Північної Кореї працевлаштувалися в компанії з розробки блокчейну та вкрали віртуальні активи на суму понад 900 тисяч доларів (приблизно 13 мільйонів гривень).

Chainalysis у звіті 2025 року повідомила, що північнокорейські хакери вкрали 2,02 мільярда доларів (приблизно 28,31 трильйона гривень) у 2025 році, а загальна сума крадіжок досягла 6,75 мільярда доларів (приблизно 95,44 трильйона гривень). Chainalysis пояснила, що пов'язані з Північною Кореєю сили проникають у крипто-сервіси, щоб отримати доступ до прав, або маскуються під рекрутерів у веб3 та AI-компаніях, щоб отримати доступ до сертифікацій та вихідного коду під час технічних співбесід.

Компанія Kudelski Security у дослідженні від 30 червня 2026 року повідомила, що кампанія "контейнерних співбесід", пов'язана з Північною Кореєю, залучає розробників через LinkedIn, WhatsApp та Discord. Було проаналізовано структуру, в якій під час фальшивих технічних співбесід змушують запускати репозиторії з шкідливим кодом, витягуючи чутливу інформацію, таку як змінні середовища виконання та токени.

Компанія KnowBe4, що займається навчанням з безпеки, у публікації від 24 лютого 2025 року поділилася досвідом проведення співбесід з фальшивими кандидатами з Північної Кореї. Кандидат повторював запитання, затягуючи час, і, здавалося, використовував пошук або відповіді AI. KnowBe4 пояснила, що такі кандидати постійно надходять до компаній, що наймають віддалених розробників.

Криптоіндустрія стикається з подібними проблемами. Віддалені організації, співпраця розробників через кордони, швидкий найм та культура псевдонімів можуть призвести до послаблення перевірки особистості. Якщо аудит смарт-контрактів та моніторинг гаманців є близькими до виявлення після факту, то перевірка співбесід та адаптації є контрольним механізмом до того, як з'явиться внутрішній доступ.

Ті ж проблеми виникають і в південнокорейських крипто-компаніях. Раніше ми повідомляли, що випадки співбесід з віддаленими розробниками, підозрюваними у зв'язках з Північною Кореєю, виявили проблеми перевірки найму в індустрії віртуальних активів. Тоді також не вдалося незалежно підтвердити псевдоніми, національність та місце проживання особи, згаданої в статті, а ключовим було не конкретна особа, а метод.

Дослідники безпеки також виявили випадок, коли фальшива DeFi компанія була створена для відстеження маскувальних IT-спеціалістів, пов'язаних з північнокорейською групою Lazarus. Ми також повідомляли про ознаки використання підроблених посвідчень особи, вкрадених номерів соціального страхування та агентських рахунків у процесі найму.

Ця справа націлена не на конкретну особу, а на структуру найму в криптоіндустрії. Процеси співбесід, доставка обладнання, надання віддаленого доступу та надання прав доступу повинні управлятися в рамках однієї системи безпеки, щоб зменшити проникнення, спрямоване на внутрішній доступ.

Цей контент надано лише для загальних інформаційних цілей і не є фінансовою, інвестиційною, юридичною чи податковою консультацією. Події, нагороди, онлайн-акцій або пов’язану інформацію, згадана тут, не слід розглядати як рекомендацію, прохання чи запрошення до купівлі, продажу, торгівлі чи інших операцій з криптоактивами. Криптоактиви є дуже волатильними та можуть призвести до збитків. Доступність послуг, продуктів WEEX та пов’язаних із ними подій може відрізнятися залежно від регіону. Ви несете відповідальність за забезпечення відповідності вашої участі чинному місцевому законодавству та нормативним актам.