Утечка данных с внутреннего сервера IT-специалистов Северной Кореи раскрыла схему мошенничества на сумму 10 миллионов долларов в месяц = ZachXBT

Основные моменты статьи:

• 390 аккаунтов и более 3,5 миллионов долларов в криптовалютных транзакциях.
• Причастность компаний, находящихся под санкциями.

Анализ 390 аккаунтов и журналов чатов

Блокчейн-следователь ZachXBT 8 числа опубликовал в X результаты анализа данных, полученных из утечки внутреннего сервера Северной Кореи, предоставленных анонимным источником.

Данные включают 390 аккаунтов, журналы чатов и записи криптовалютных транзакций, что раскрывает детали схемы мошенничества, включающей поддельные документы, криптовалюты и конвертацию в фиатные деньги, объемом около 10 миллионов долларов в месяц (примерно 1,58 миллиарда иен, при курсе 1 доллар = 158 иен).

Данные были получены с устройств IT-специалистов Северной Кореи, скомпрометированных программным обеспечением для сбора информации (инфостилером). Включены журналы внутренней системы обмена сообщениями IPMsg, поддельные личные данные и история браузера. На основе этой информации была обнаружена внутренняя платежная платформа "luckyguys[.]site".

Как минимум 10 пользователей использовали пароль по умолчанию "123456". В списке пользователей были записаны имена, названия городов и идентификаторы групп на корейском языке. Три компании, указанные в данных: "Sobaeksu", "Saenal" и "Songkwang", в настоящее время находятся под санкциями OFAC (Управление по контролю за иностранными активами Министерства финансов США).

С точки зрения движения средств, было установлено, что с конца ноября 2025 года через отслеживаемые криптокошельки было обработано более 3,5 миллионов долларов в криптовалюте. Специалисты осуществляли операции, перечисляя криптовалюту с бирж и различных сервисов, а затем конвертировали ее в фиатные деньги через банковские счета и Payoneer.

Центральный управляющий аккаунт "PC-1234" подтверждал получение средств и распространял информацию об учетных записях различных бирж и финансовых платформ среди специалистов. Адрес Tron был заморожен компанией Tether в декабре 2025 года.

С технической точки зрения, было установлено, что администратор распространял среди группы 43 модуля кибербезопасности Hex-Rays и IDA Pro с ноября 2025 года по февраль 2026 года. Эти материалы охватывают такие темы, как обратная сборка, декомпиляция и отладка, что указывает на развитие возможностей для кибератак, выходящих за рамки простого мошенничества с деньгами.

ZachXBT оценивает, что технический уровень этой группы ниже, чем у более продвинутых групп, таких как Lazarus Group.

В качестве фона, компания Chainalysis сообщает, что в 2025 году северокорейские группы, занимающиеся кражей криптовалюты, похитили общую сумму, превысившую 2,02 миллиарда долларов США, что составляет около 60% от общей суммы украденных криптовалютных активов во всем мире.

Специальный выпуск CoinPost New!

📊Руководство по инвестициям: Начните инвестирование в экономической экосистеме SBI | Комплексное руководство по криптовалютам, акциям и NISA→ 📈Руководство по акциям: Как начать инвестировать в акции | Базовые знания, технический анализ, акции, связанные с криптовалютами→ 🔰Руководство по криптовалютам: Что такое криптовалюта? Как начать, налоги и инвестирование | Полное руководство для начинающих→ ₿Руководство по Bitcoin: Что такое Bitcoin? | Подробное объяснение принципов работы, истории и перспектив→ 📚Руководство по Ethereum: Что такое Ethereum? | Подробное объяснение принципов работы, истории и перспектив→ 📝Руководство по XRP: Что такое XRP? | Подробное объяснение принципов работы, истории и перспектив→ 💰Что такое стейблкоины? | Подробное объяснение принципов работы, типов, рисков и перспектив→ 💊3 лучших добавки для здоровья, на которые обращают внимание инвесторы: для снятия усталости и стресса, улучшения сна и контроля уровня глюкозы→ 💡Вакансии: Крупнейшее в Японии медиа о криптовалютах CoinPost ищет новых сотрудников→