Крипто-расследователь раскрывает секретную схему Северной Кореи с доходом в $1 миллион в месяц

bitcoinistОпубликовано 2026-04-09Обновлено 2026-04-09

Введение

Крипто-детектив ZachXBT раскрыл секретную схему оплаты Северной Кореи, приносящую около $1 млн в месяц. В результате утечки данных с зараженного вредоносным ПО устройства северокорейского IT-работника были обнаружены внутренние серверы, чаты и транзакции. Данные показали, что сеть хакеров, связанных с КНДР, использовала платформу luckyguys[.]site для обработки платежей в криптовалюте и их конвертации в фиат через китайские банки. С ноября 2025 года через кошельки прошло более $3,5 млн. ZachXBT также реконструировал иерархию сети, связанную с уже известными санкционными кластерами. После публикации расследования сайт был отключен, но все данные были заранее сохранены.

Крипто-детектив ZachXBT обнаружил внутренний платежный сервер Северной Кореи, связанный с 390+ аккаунтами, журналами чатов и историями транзакций.

Сага о крипто-инфильтрации КНДР, часть III (Только за эту неделю)

Сага о секретных крипто-агентах Северной Кореи продолжается. Скрытая сеть хакеров, связанных с КНДР, медленно раскрывается в социальной сети X за последние дни, после того как атака на Drift Protocol 1 апреля на $285 миллионов была приписана UNC4736, северокорейской государственной хакерской группе.

В воскресенье исследователь безопасности Тейлор Монахан заявила, что северокорейские IT-специалисты тихо работали над более чем 40 DeFi-проектами в течение примерно семи лет. Также в воскресенье и понедельник несколько участников криптоиндустрии поделились видео и историями о том, как северокорейские IT-специалисты провалили «Тест Ким Чен Ына».

Теперь пришла очередь ZachXBT опубликовать свои находки, что он и сделал вчера в треде в социальной сети X. Извлеченные данные, которые ранее не публиковались, были переданы ему анонимным источником.

Извлечение данных стало возможным потому, что устройство одного из этих IT-работников из Корейской Народно-Демократической Республики (КНДР) было заражено инфостилером (вредоносным ПО, предназначенным для кражи конфиденциальной информации). Вредоносное ПО раскрыло журналы чатов IPMsg, сфабрикованные личности и подробную активность в браузере.

2/ У IT-работника КНДР было скомпрометировано устройство через инфостилер. Извлеченные данные включали журналы чатов IPMsg, поддельные личности и историю браузера.

Изучение журналов IPMsg выявило обсуждаемый сайт:
luckyguys[.]site

Внутренняя платформа платежных переводов,... pic.twitter.com/0rA1CxSmZx

— ZachXBT (@zachxbt) 8 апреля 2026 г.

Тред шаг за шагом показывает, как агенты IT-специалисты КНДР, часто выдающие себя за фрилансеров за границей, якобы получают оплату в криптовалюте и направляют ее обратно в каналы, связанные с режимом.

Разбор находок

Веб-сайт, который всплыл в результате извлечения данных, назывался luckyguys.site. По словам крипто-детектива, он, по-видимому, функционировал как внутренний хаб для платежных переводов: платформа для обмена сообщениями, похожая на Discord, где оперативники IT-специалистов КНДР отчитывались и сверяли свои криптоплатежи с начальством.

Хотите верьте, хотите нет, но пароль для входа по умолчанию на сайте был установлен на «123456». На момент извлечения данных десять аккаунтов все еще использовали его без изменений.

Пароль 123456. Источник. ZachXBT в X.

Список аккаунтов показывал роли, корейские имена, местоположения и внутренние групповые коды, которые соответствуют известным структурам IT-работников Северной Кореи. ZachXBT отметил, что три компании, упомянутые в данных, Sobaeksu, Saenal и Songkwang, уже подпадают под санкции OFAC.

Крипто-исследователь поделился видео, показывающим прямые сообщения от одного аккаунта WebMsg, «Rascal», с PC-1234 (учетной записью администратора сервера), в которых подробно описываются переводы платежей и использование поддельных личностей с декабря 2025 по апрель 2026 года. Каждый платеж в этих чатах маршрутизируется и завершается через PC-1234. В журналах также упоминаются адреса в Гонконге для выставления счетов и доставки товаров, хотя подлинность этих деталей еще предстоит подтвердить.

4/ Вот один из пользователей WebMsg ‘Rascal’ и их личные сообщения с PC-1234 с детализацией переводов платежей и использования мошеннических личностей с декабря 2025 по апрель 2026.

Все платежи обрабатываются и подтверждаются через учетную запись администратора сервера: PC-1234.

Адреса в Гон... pic.twitter.com/akyjmTbL5J

— ZachXBT (@zachxbt) 8 апреля 2026 г.

Находки становятся только интереснее по мере продвижения по треду. С конца ноября 2025 года на платежные кошельки поступило более $3,5 миллионов. Одна и та же схема переводов появляется снова и снова: пользователи либо отправляют криптовалюту напрямую с биржи или сервиса, либо выводят в фиат через китайские банковские счета с использованием таких платформ, как Payoneer.

После этого PC-1234 подтверждает получение средств и передает учетные данные для входа, которые могут быть для разных криптобирж или финтех-платежных приложений, в зависимости от конкретного пользователя.

5/ С конца ноября 2025 года на адреса платежных кошельков было получено более $3,5 млн.

Схема переводов была consistent across users:

Пользователи переводят криптовалюту, происходящую с биржи или сервиса, или конвертируют в фиат через китайские банковские счета с помощью платформ вроде Payoneer.... pic.twitter.com/IhbqW3eKKI

— ZachXBT (@zachxbt) 8 апреля 2026 г.

Реконструкция иерархии сети

Крипто-детектив реконструировал всю организационную иерархию сети, используя полный набор данных, и создал интерактивную версию этой организационной диаграммы.

IT-работники КНДР - Организационная структура. Источник: ZachXBT в X.

Когда исследователь проследил за внутренними платежными кошельками в ончейне, он обнаружил связи с несколькими уже атрибутированными кластерами IT-работников КНДР. Кошелек на основе Tron был заморожен Tether в декабре 2025 года.

Другие интересные находки показывают, что скомпрометированное устройство, которое принадлежало кому-то по имени «Джерри», все еще использовало Astrill VPN, а также несколько сфабрикованных личностей для подачи заявок на работу. Внутри внутреннего рабочего пространства Slack пользователь по имени «Нами» поделился постом в блоге о соискателе работы с дипфейком, связанном с IT-работниками КНДР. Один коллега спросил, не о них ли эта история, а другой напомнил группе, что им не разрешено публиковать внешние ссылки.

8/ На скомпрометированном устройстве Джерри показано использование Astrill VPN и различных поддельных личностей, подающих заявки на работу.

Во внутреннем Slack ‘Нами’ поделилась постом в блоге о соискателе работы с дипфейком от IT-работника КНДР. Второй пользователь спросил, не они ли это, а третий отметил, что им не разрешено... pic.twitter.com/7ZdGbX91WT

— ZachXBT (@zachxbt) 8 апреля 2026 г.

Джерри обменивался сообщениями с другим северокорейским IT-работником о планах украсть у проекта, используя нигерийский прокси для атаки на Arcano, игру на GalaChain. Была ли эта атака осуществлена или нет, неясно.

9/ Джерри активно обсуждал кражу у проекта с другим IT-работником КНДР через нигерийский прокси, нацеливаясь на Arcano, игру на GalaChain.

Однако остается неясным, материализовалась ли атака впоследствии. pic.twitter.com/p9QQLHbB91

— ZachXBT (@zachxbt) 8 апреля 2026 г.

Администратор также распределил 43 учебных материала по Hex-Rays/IDA Pro среди группы между ноябрем 2025 и февралем 2026 года. Эти сессии были сосредоточены на дизассемблировании, декомпиляции, как локальной, так и удаленной отладке, и ряде кибербезопасностных техник. Одна ссылка, shared 20 ноября, была прямо озаглавлена: «using-ida-debugger-to-unpack-an-hostile-pe-executable».

Заключительные мысли

Завершающее изображение ZachXBT для треда. Источник: ZachXBT в X.

ZachXBT пришел к выводу, что этот кластер IT-работников КНДР кажется относительно неискушенным по сравнению с такими группами, как AppleJeus и TraderTraitor, которые ведут гораздо более строгие операции и представляют гораздо большую системную угрозу для криптоиндустрии. Его earlier оценка, что северокорейские IT-работники collectively получают несколько миллионов долларов в месяц, подтверждается этим набором данных.

Сегодня исследователь опубликовал обновление, объясняя, что внутренний платежный портал КНДР был отключен после публикации его находок. Все данные были предварительно полностью захвачены и архивированы.

Update: Внутренний сайт платежей КНДР с тех пор был снят с эксплуатации после моего поста.

Однако все данные были заранее заархивированы. pic.twitter.com/9cRdopal5g

— ZachXBT (@zachxbt) 9 апреля 2026 г.

Криптовалюта теперь глубоко внедрена в геополитические теневые экономики. Ончейн-прозрачность работает в обе стороны для пользователей и противников.

Не будет удивительным, если рынки начнут закладывать более высокие затраты на compliance для CEX и OTC-площадок, или если возникнет больше трения для потоков стейблкоинов в санкционных регионах. Северокорейская сага, несомненно, повышает шансы на более агрессивное enforcement против трансграничных потоков, инструментов приватности и high-risk площадок.

Вчера Bitcoin отскочил и вернулся к отметке в $72k. На момент написания, BTC торгуется around $71k на дневном графике. Источник: BTCUSDT на Tradingview.

Обложка от Perplexity. График BTCUSDT от Tradingview.

Трендовые криптовалюты

CitreaCTR

wrapped stUSDTWSTUSDT

Velodrome FinanceVELODROME

BrevisBREV

ZRX（0X）ZRX

PancakeSwapCAKE

Связанные с этим вопросы

QЧто обнаружил крипто-детектив ZachXBT в отношении северокорейских IT-работников?

AZachXBT обнаружил внутренний платежный сервер Северной Кореи, связанный с более чем 390 аккаунтами, чат-логами и историями транзакций. Данные были получены через инфостилер, который скомпрометировал устройство одного из IT-работников КНДР.

QКакой веб-сайт был выявлен в ходе расследования и какова его функция?

AБыл выявлен сайт luckyguys.site, который функционировал как внутренний хауб для ремиттных платежей. Это платформа для обмена сообщениями, где оперативники КНДР отчитывались о криптоплатежах и сверяли их с начальством.

QКакая сумма была получена через платежные кошельки с конца ноября 2025 года?

AС конца ноября 2025 года через платежные кошельки было получено более 3,5 миллионов долларов.

QКакие инструменты и методы использовали северокорейские IT-работники согласно данным?

AОни использовали фиктивные идентичности, Astrill VPN, обсуждали кражи проектов через нигерийский прокси, а также получали тренировочные материалы по Hex-Rays/IDA Pro для дизассемблирования и отладки.

QКакие последствия имело разоблачение ZachXBT для внутреннего платежного портала КНДР?

AПосле публикации расследования внутренний платежный портал КНДР был отключен, но все данные были заранее полностью зафиксированы и архивированы.

Похожее

Треугольник невозможного — это вообще псевдопроблема

Автор Билли Гао утверждает, что основное ограничение для массового внедрения блокчейн-технологий не в классической «трилемме» (масштабируемость, децентрализация, безопасность), а в двух фундаментальных недостатках: отсутствии легитимности и конфиденциальности. Несмотря на создание мощнейшей криптографической системы, все транзакции и балансы по умолчанию прозрачны для всех, что аналогично постоянному налогу из-за MEV (максимально извлекаемой стоимости) и препятствует входу институционального капитала. Блокчейн — это медленный, дорогой, но беспристрастный компьютер общего пользования, идеально подходящий для учета активов, которыми и является сам этот учет (например, деньги). Однако его реальное использование ограничивается узкой прослойкой пользователей, тогда как крупные фонды и обычные люди не могут его применять из-за юридических рисков и полной публичности финансовой деятельности. Первый недостаток — легитимность — начинает решаться через регулирование (например, закон GENIUS). Второй и главный — «прозрачность как налог» — требует внедрения конфиденциальности по умолчанию с помощью современных криптографических инструментов, таких как доказательства с нулевым разглашением. Это позволит доказывать соответствие правилам (например, платежеспособность или KYC), не раскрывая самих данных. Таким образом, добавление проверяемой конфиденциальности к децентрализованному консенсусу — это чистое улучшение, которое откроет блокчейн для триллионов долларов институциональных и частных капиталов, для которых он изначально и был предназначен.

marsbit10 ч. назад

Треугольник невозможного — это вообще псевдопроблема

marsbit10 ч. назад

Трилемма невозможности — это искусственная проблема

**Резюме: "Невозможный треугольник" — это псевдопроблема** Криптоиндустрия построила мощнейшую криптографическую систему, но она не обеспечивает приватности финансовых операций по умолчанию. Все транзакции и балансы публичны. Основная причина, по которой триллионы долларов не переходят на блокчейн — не в масштабируемости (старая "трилемма" решена), а в двух других, более фундаментальных недостатках: **легитимности и конфиденциальности**. **Легитимность**: Безграничный доступ (permissionless) создаёт правовую неопределённость для крупного капитала. Однако с появлением регуляторных рамок (например, закона GENIUS) этот барьер начинает снижаться. **Конфиденциальность (Приватность)**: Прозрачность блокчейна — это не преимущество, а **налог**. Публичность каждой позиции и транзакции приводит к потерям от MEV, фронтраннинга и слежки, что неприемлемо для институциональных инвесторов, фондов и обычных пользователей. Парадокс в том, что система, построенная на криптографии, не шифрует основную деятельность пользователей — их финансы. Однако современные криптографические примитивы (например, доказательства с нулевым разглашением — zk-SNARKs) позволяют решить эту проблему, не жертвуя проверяемостью (аудитом) или соблюдением норм (compliance). Можно доказать платёжеспособность, пройденный KYC или соответствие лимитам, не раскрывая самих данных. **Вывод**: Добавление **доказуемой приватности с возможностью контролируемого раскрытия информации** — это чистое улучшение текущей модели. Оно закрывает главные барьеры для институционального капитала, превращая блокчейн из "публичной таблицы" в конфиденциальный и легитимный расчётный слой, для которого он, по сути, и был предназначен. Только тогда наступит переход к массовому использованию.

链捕手10 ч. назад

Трилемма невозможности — это искусственная проблема

链捕手10 ч. назад

Оптические чипы: коллективное расширение производства

Рост спроса на оптические чипы для ИИ-инфраструктуры стимулирует глобальную волну расширения производственных мощностей. В США Coherent получает государственное финансирование для расширения завода по производству 6-дюймовых InP-пластин, а также заключает стратегические сделки с NVIDIA. Nokia наращивает мощности по тестированию и упаковке фотонных чипов. В Японии JX Advanced Metals инвестирует в увеличение производства InP-подложек в 7–10 раз. Европейские компании, такие как Tower Semiconductor и ST, активно расширяют производство кремниевой фотоники, заключая долгосрочные соглашения. Китай демонстрирует агрессивный рост: Soarse расширяет производство чипов и модулей, Sanan Photonics наращивает выпуск InP-чипов, а Yunnan Germanium увеличивает мощности по производству пластин. Основной движущей силой является растущая потребность ИИ-центров обработки данных в пропускной способности, что требует большего количества оптических компонентов независимо от того, будут ли использоваться традиционные съемные модули или перспективные технологии, такие как CPO, NPO или гибридные архитектуры. Гонка за лидерство в эпоху фотоники набирает обороты, поскольку США, Япония, Европа и Китай стремятся укрепить свои позиции в цепочке поставок.

marsbit12 ч. назад

Оптические чипы: коллективное расширение производства

marsbit12 ч. назад

1996 или 1999? Первым испытанием Уолша стало «Как смотреть на ИИ»

Назначенный председателем ФРС Вош столкнулся с ключевой дилеммой: как оценить текущий бум искусственного интеллекта? Экономисты разделились на два лагеря. Одни считают, что рост производительности благодаря ИИ скоро подавит инфляцию, позволяя ФРС бездействовать. Другие предупреждают, что спрос опережает предложение, и промедление с повышением ставок приведёт к необходимости более резких мер в будущем. Вош, судя по заявлениям, склоняется к подходу 1996 года, когда Алан Гринспен не стал повышать ставки во время бума производительности, что оказалось верным решением. Однако нынешняя ситуация отличается: растущие тарифы, большой дефицит бюджета и снижение выгод глобализации создают дополнительное инфляционное давление. Критики, такие как глава Чикагского ФРС Гулсби, утверждают, что ожидаемый всеми рост производительности от ИИ уже сейчас вызывает перегрев экономики, так как люди и компании увеличивают расходы в ожидании будущих выгод. Это требует более жёсткой денежно-кредитной политики. Оппоненты отмечают, что многие домохозяйства не могут брать кредиты под будущий рост доходов, что ослабляет этот эффект. Вош также сталкивается с парадоксом: он хочет отказаться от практики «прогнозирующего руководства» (forward guidance), установленной как раз в 1999 году для предупреждения рынков о ужесточении политики. Если экономика пойдёт по сценарию 1999 года, ему придётся либо использовать эту практику, либо рисковать вызвать рыночные потрясения молчанием. Таким образом, первый серьёзный вызов для Воша — определить, повторяет ли экономика оптимистичный сценарий 1996 года или ведёт к необходимости жёстких мер по образцу 1999 года. От этого выбора зависит не только ближайшая политика ФРС, но и его историческая репутация.

marsbit14 ч. назад

1996 или 1999? Первым испытанием Уолша стало «Как смотреть на ИИ»

marsbit14 ч. назад

Отчет по Ethereum за первый квартал 2026 года: снижение комиссий, рекордное количество пользователей и транзакций

В первом квартале 2026 года сеть Ethereum продемонстрировала парадоксальную динамику: количество активных пользователей, транзакций и пропускная способность достигли исторических максимумов, в то время как комиссии за транзакции, общая заблокированная стоимость (TVL), объем торгов и рыночная капитализация ETH снизились. Этот феномен объясняется стратегическим переходом к этапу «низких комиссий для роста масштаба» после обновления Fusaka, которое удешевило блок-пространство. Парадокс Джевонса проявляется в том, что снижение стоимости использования высвобождает новый спрос. Ключевой тренд — смещение нарратива от DeFi-платформы к глобальному расчетному слою для институциональных финансов. Ethereum сохраняет доминирующую позицию в сегментах стейблкоинов (61,8% среди топ-5 сетей), токенизированных фондов (73%) и товаров (84%), привлекающих таких гигантов, как BlackRock и JPMorgan. Инвестиции в масштабирование и снижение комиссий нацелены на укрепление сетевых эффектов и долгосрочную ценность ETH как базового актива для расчетов в цифровой экономике.

marsbit16 ч. назад

Отчет по Ethereum за первый квартал 2026 года: снижение комиссий, рекордное количество пользователей и транзакций

marsbit16 ч. назад

Торговля

Спот

Фьючерсы

Обсуждения

Добро пожаловать в Сообщество HTX. Здесь вы сможете быть в курсе последних новостей о развитии платформы и получить доступ к профессиональной аналитической информации о рынке. Мнения пользователей о цене на S (S) представлены ниже.