威胁情报研究人员建立了一个虚假的去中心化金融（DeFi）初创公司，雇佣了涉嫌的朝鲜IT工作人员作为开发者，并从内部观察他们。
该行动颠覆了通常的渗透剧本。研究人员不是抓捕试图闯入的特工，而是在他们通过面试后观察他们的工作。
虚假初创公司如何揭露朝鲜IT工作人员
这项调查是BCA LTD的Mauro Eldritch、NorthScan的Heiner García和ANY.RUN的联合努力。研究人员注册了Ballena Azul LTD作为一个服务于加密货币鲸鱼的协议。
他们为其提供了一个网站、企业品牌和匹配的英国公司注册，以看起来合法。然后他们假装是创始人和团队负责人。
研究人员使用ANY.RUN沙盒平台作为工作环境。它记录了特工的每一个动作。团队在GitHub上遇到的招聘者Angelo Cruz提供了第一位开发者。
那位雇佣者推荐了第二位，第二位又带来了第三位。所有三人都通过了面试，并获得了访问实际上是受控录音环境的虚拟桌面的权限。
报告中将这些特工描述为涉嫌的著名朝鲜骑士（Famous Chollima）成员，该单位与朝鲜的拉撒路集团（Lazarus Group）有关，专门在西方公司安插虚假的IT工作人员。
在X上关注我们，以获取最新消息。
研究人员发现了什么
开发人员在入职时提交了伪造的美国证件。这包括驾驶执照、被盗的社会安全号码，以及在Lead Bank、Citibank和Wise的账户。
一张许可证的元数据表明，它是通过Google Gemini处理的，并带有嵌入的SynthID水印。这几乎立即暴露了伪造行为。
研究人员写道：“到现在为止，我们已经拥有了假身份、被盗的社会安全号码、洗钱银行账户、可能的中介安全屋，以及带有交易历史的加密货币钱包。”
工作人员在很大程度上依赖人工智能。他们使用ChatGPT编写他们似乎不理解的代码，并完成任务。面试和每日站会期间也使用了实时翻译工具。
该行动还暴露了支持基础设施。研究人员记录了AstrillVPN出口节点、在Vultr和Gorilla Servers上托管的服务器，以及持有交易历史的加密货币钱包。一台操作服务器已经在威胁情报源中被标记，表明它是从早期活动中回收的。
报告中写道：“调查结果表明，朝鲜IT工人计划不仅是招聘风险。一旦进入，操作人员可以合法访问代码、系统、知识产权和可信的商业流程。”
朝鲜黑客对加密行业构成了持续威胁。TRM Labs将2026年4月之前76%的加密黑客损失归因于朝鲜团队。2025年的盗窃金额达到20亿美元。
渗透战术的运作方式不同。北朝鲜工人伪装成工程师以赢得远程工作，然后窃取机密或植入回归的方式。一个以以太坊（ETH）资助的项目之前在53个加密项目中识别出100名涉嫌的北朝鲜IT工人。
订阅我们的 YouTube 频道，观看领导者和记者提供专业见解
来源：BeInCrypto
