كيف سرق عملاء كوريا الشمالية ملايين الدولارات من خلال وظائف العملات المشفرة عن بُعد

استخدم ستة عملاء من جمهورية كوريا الديمقراطية الشعبية 31 هوية مزورة للحصول على وظائف عالمية في مجال تقنية البلوك تشين والعملات المشفرة.
استخدم المتسللون LinkedIn وUpWork وشبكات VPN وAnyDesk وأدوات جوجل للتنسيق والتمويه.

كشفت عملية اختراق مضادة عن شبكة معقدة لموظفي تكنولوجيا المعلومات في كوريا الشمالية، تستخدم في الواقع واحدًا وثلاثين شخصًا لاختراق شركات العملات المشفرة. استخدم الفريق المكون من ستة أفراد، والذي ارتبط اسمه بعملية اختراق بقيمة 680 دولارًا، أدوات متوفرة تجاريًا مثل جوجل درايف وبرامج الوصول عن بُعد وأجهزة الكمبيوتر لتحقيق ذلك.

داخل حملة الخداع الرقمي في جمهورية كوريا الديمقراطية الشعبية

كشفت عملية اختراق عكسي عن الديناميكيات الداخلية لشبكة كورية شمالية من عمال تكنولوجيا المعلومات سرقوا مئات الملايين من الدولارات من شركات العملات المشفرة. ووفقًا لمحقق العملات المشفرة ZachXBT، فقد اكتُشف أن ستة عملاء استخدموا واحدًا وثلاثين هوية مزيفة للحصول على وظائف حقيقية في تطوير تقنية بلوكتشين في شركات مختلفة حول العالم.

ابتكر هؤلاء المنتحلون الرقميون هويات مزيفة بالكامل، حيث اشتروا أوراق هوية حكومية وأرقام هواتف وحسابات تواصل مهني على مواقع مثل LinkedIn وUpWork. كانوا منظمين جيدًا، وكانوا يكتبون إجابات لأسئلة المقابلات ليبدو وكأنهم عملوا في شركات كبرى مثل OpenSea وChainlink، مما يزيد من مصداقيتهم.

تمكن العملاء من تأمين وظائف مطوري بلوكتشين ومهندسي العقود الذكية بمساعدة مواقع العمل الحر. واستخدموا برامج الوصول عن بُعد مثل AnyDesk للعمل وإخفاء مواقعهم الفعلية بمساعدة الشبكات الخاصة الافتراضية وخدمات الوكيل.

أكدت الوثائق الداخلية أن أدوات التكنولوجيا السائدة وفرت جميع أشكال التنسيق التشغيلي. واعتمدت تقارير تتبع النفقات على جداول بيانات جوجل درايف، والتي أظهرت أن إجمالي النفقات بلغ ما يقارب 1500 دولار أمريكي في شهر مايو، بينما رصدت ملفات تعريف متصفح كروم هويات مزيفة متعددة في الوقت نفسه. وكان العمال يتواصلون في الغالب باللغة الإنجليزية، مستفيدين من خدمات جوجل للترجمة من الكورية إلى الإنجليزية.

أوضحت البيانات المالية كيف انتقلت المجموعة من تحويل العملات الورقية إلى العملات المشفرة عبر أنظمة دفع بايونير. وأعادت كل محفظة مشفرة عرض خصائص معاملاتها المالية، بينما شمل جزء من نشاطهم عنوان محفظة مرتبطًا باستغلال سوق Favrr بقيمة 680 ألف دولار، مما يشير إلى أن المجموعة انتقلت من التسلل الأولي إلى عمليات سرقة مباشرة.

كشفت المعلومات المسربة عما كانت المجموعة تبحث عنه في مجالات ذات اهتمام، مثل كيفية نشر رموز الإيثريوم على شبكات سولانا وتحديد مواقع شركات تطوير الذكاء الاصطناعي الأوروبية، مما يشير إلى أن أساليبهم كانت توسع نطاق عملياتهم ليشمل التقنيات الناشئة بما يتجاوز أهداف العملات المشفرة التقليدية.

أشار خبراء الأمن إلى أن محاولات الاختراق هذه عادةً ما تنجح بسبب ضعف آلية التحقق من التوظيف، وليس بسبب التلاعب التقني المتقدم. فغالبًا ما يفوق عدد طلبات العمل عن بُعد إجراءات الفحص، مما يُسهّل على الجهات الخبيثة التسلل والوصول إلى المعلومات الحساسة.

أظهرت أنشطة كوريا الشمالية السابقة طموحًا متزايدًا، وأبرزها سرقة منصة تداول Bitbit الضخمة لأكثر من مليار دولار. تُظهر هذه الأحداث الحاجة المُلحة لإجراءات العناية الواجبة في قطاعي العملات المشفرة والتكنولوجيا لمنع عمليات الاختراق من هذا النوع.