Як північнокорейські ІТ-працівники отримують доступ до криптокомпаній

Північнокорейські ІТ-працівники можуть проходити співбесіди, виконувати технічні завдання й поступово отримувати доступ до систем криптокомпаній під чужими іменами. Розслідування у США описують як мережу посередників для такого працевлаштування, так і ймовірні крадіжки активів після найму.

У попередженні від 13 жовтня ФБР повідомило, що посередники надають особисті дані, беруть участь у співбесідах і тримають у себе пристрої роботодавців. Людина, яка працює з ноутбуком дистанційно, при цьому може перебувати в іншому місці. Саме місце доставки пристрою не доводить, хто ним користується.

Корисна робота може одночасно приносити зарплату й зміцнювати довіру команди. Згодом працівнику можуть надати доступ до репозиторіїв, хмарних облікових даних, розгортання програм або платежів.

Найм, довіра та ймовірна крадіжка

У червні 2025 року американські прокурори оголосили обвинувальний акт щодо розробників, яких найняли компанія з дослідження блокчейну в Атланті та сербська токен-компанія. За версією обвинувачення, роботодавці не знали справжніх особистостей працівників, найнятих у 2020 і 2021 роках.

Прокурори стверджують, що після отримання проєктів із доступом до криптоактивів розробники у 2022 році викрали понад 900 тисяч доларів за тодішньою вартістю. Одна з крадіжок нібито включала зміни вихідного коду двох смартконтрактів, інша — використання довіреного роботодавцем доступу. Це обвинувачення, які мають бути розглянуті судом.

В акті йдеться про неправдиві та викрадені персональні дані. Також стверджується, що за рекомендацією одного працівника сербська компанія найняла ще одну людину, яка використовувала псевдонім. Отже, зв’язок усередині команди міг відкрити шлях іншому кандидату.

Читання коду, погодження змін, розгортання контракту та переміщення активів є різними повноваженнями. Зміна логіки контракту може вплинути на рух коштів і без резервної копії гаманця; конкретний ризик залежить від перевірки та розгортання коду в проєкті.

Що показали інші випадки

Криптобіржа Кракен (Kraken) описала спробу найму кандидата, якого пов’язала з північнокорейською операцією. Галузеві партнери вже попередили біржу про підозрілих претендентів. Виявивши невідповідності під час відбору, компанія провела розслідування до того, як кандидат отримав роботу та доступ до робочих систем.

Спільні ідентифікатори можуть допомогти пов’язати заявку з попереднім розслідуванням. Водночас ім’я чи адреса електронної пошти, скопійовані у жертви, здатні спричинити хибний збіг. ФБР застерігає від висновків за однією ознакою: надто жорсткі фільтри можуть відсіяти кваліфікованих кандидатів.

Група загроз Гугл (Google Threat Intelligence Group) у квітні 2025 року повідомила про поширення схеми на Європу та збільшення випадків вимагання з використанням конфіденційних даних колишніх роботодавців. Робота охоплювала різні технічні проєкти, зокрема розробку блокчейну.

Окремий звіт Гугл про хмарні загрози за перше півріччя 2026 року описує пов’язане з Північною Кореєю проникнення до криптоорганізації через скомпрометований кінцевий пристрій із подальшим доступом до корпоративних і хмарних систем та фінансової логіки. Це інший шлях атаки, але він демонструє, скільки повноважень може мати середовище розробника.

Зарплата, крадіжка та рух коштів

Метою схеми може бути й сама зарплата: працівник отримує її під чужим ім’ям, а кошти проходять через інші рахунки. Навіть без викрадення активів це створює для роботодавця ризики, пов’язані із санкціями та шахрайством.

У червні 2025 року Мін’юст США подав позов про конфіскацію понад 7,74 мільйона доларів, нібито відмитих через такі схеми. За даними уряду, доходи від працевлаштування конвертували та переміщували через криптовалюту. Зарплату, перенаправлені платежі та кошти від окремої крадіжки важливо розрізняти.

В іншому повідомленні про конфіскацію стейблкоїнів ішлося приблизно про 212 700 доларів — окрему суму від більшої справи на понад 7,74 мільйона. Позов про конфіскацію, судове рішення, фактично вилучені активи та гроші, повернуті конкретному роботодавцю, є різними етапами. Транзакції можуть допомогти простежити кошти, але для встановлення контролю над адресами потрібні додаткові докази.

Також повідомлялося про жовтневу справу щодо ймовірних американських посередників. Усунення одного працівника не обов’язково припиняє роботу всієї мережі чи її платіжних маршрутів.

Як приховують оператора пристрою

За даними ФБР, доступ до ноутбука роботодавця можуть забезпечувати програми віддаленого керування або зовнішнє обладнання. Самі ці інструменти, як і віртуальні машини та спільні тестові середовища, мають законні застосування. Важливо з’ясувати, чи відповідає налаштування погодженій роботі та хто має до нього доступ.

Посередників, за інформацією бюро, залучають і через начебто прості оплачувані завдання: отримати обладнання або приєднатися до дзвінка. Така людина може бути як учасником схеми, так і жертвою обману. Заміна адреси чи посередника змінює видиму інфраструктуру, але не обов’язково тих, хто виконує роботу.

ФБР також попереджає, що записи роботи можуть залишатися на обладнанні за кількома віддаленими з’єднаннями. Тому контрольований роботодавцем пристрій не обов’язково відображає всю активність.

Доступ до коду, грошей і даних

Репозиторій може містити конфігурації, історію розгортання та неналежно збережені облікові дані. Системи складання й випуску програм мають власні ключі, а внутрішній облік біржі чи платіжної компанії може визначати, які запити на виведення потраплять до гаманця. Навіть захищений апаратний підпис залежить від того, яку платіжну операцію йому передала програма.

Невелика зміна адреси, перевірки дозволів або умови виведення може вплинути на рух коштів. Перевірка запуску програми не обов’язково виявить зміну отримувача, а тест звичайного платежу — проблему в іншій ролі чи винятковому випадку.

Під час термінового виправлення розробнику можуть тимчасово розширити доступ. Записи про погодження та розгортання допомагають згодом відрізнити зловмисну зміну від помилки або дій іншого скомпрометованого облікового запису.

Працівник також може скопіювати код і бізнес-дані до звільнення. Закриття облікового запису не повертає копії та не робить недійсними побачені секрети: залежно від повноважень і активності може знадобитися заміна облікових даних та перевірка систем.

Перевірка не закінчується співбесідою

Відділ кадрів бачить документи, фінансисти — рахунки й платіжні реквізити, ІТ-фахівці — пристрої та з’єднання, а керівник — результати роботи й запити на повноваження. ФБР радить оцінювати такі спостереження разом, а не робити висновки з окремої риси. Національність чи акцент не доводять зловживання; людина, чиї дані використали, може бути жертвою.

Підроблений кандидат і підроблений рекрутер — різні загрози. Перший прагне отримати роботу, другий може переконати справжнього працівника відкрити файл або виконати тест, що скомпрометує пристрій. Журнали показують дії облікового запису, а перевірка особи та пристрою допомагає встановити, хто ним керував.

Ризик стосується і підрядників: один фахівець може працювати для кількох клієнтів, а спільні облікові записи ускладнюють встановлення автора змін. Компрометація пристрою з ключами кількох замовників здатна зачепити кілька проєктів. Перевірка на початку контракту не встановлює особи всіх, кого додадуть пізніше.

Після звільнення потрібно перевірити токени хостингу коду, хмарні ключі, облікові записи постачальників і розгорнуті сервіси. Закриття пошти не скасовує автоматично контракт чи дозволи іншого акаунта; для деяких ончейн-змін потрібна окрема транзакція або процедура управління.

Запрошення на співбесіду, запит на зміну платежу чи звернення до підтримки можуть допомогти відновити хронологію. Слід розрізняти відхилену заявку, доступ лише до тестового середовища та підтверджене проникнення. У разі вимагання компанії також необхідно зберегти докази, з’ясувати, які дані вийшли назовні, та визначити юридичні й операційні зобов’язання перед постраждалими.

Позиція Північної Кореї

3 листопада 2026 року повідомлялося, що Кім Йо Чжон, сестра лідера Кім Чен Ина, назвала звинувачення у причетності КНДР до зламу Бінанс (Binance) на 6,3 мільярда доларів «абсурдною риторикою» та звинуватила США у спробі зашкодити іміджу країни. ФБР і аналітики з кібербезпеки приписували атаку Північній Кореї.

4 листопада повідомлялося, що КНДР виключає переговори з Вашингтоном. Кім Йо Чжон назвала звинувачення ФБР щодо зламу Бінанс свідченням, за її словами, «ворожої політики» США щодо Пхеньяна.

Матеріал має інформаційний та освітній характер і не є фінансовою, інвестиційною, юридичною чи безпековою порадою або рекомендацією купувати, продавати чи утримувати активи. Кримінальні та цивільні обвинувачення наведені з посиланням на відповідні органи й підлягають судовому розгляду. З юридичних питань і питань безпеки варто звертатися до кваліфікованих фахівців. Інформація актуальна станом на 12 листопада 2026 року.