Исследователь раскрыл глобальную сеть атак КНДР на криптокомпании после анализа 5 ТБ данных.
Почти за два года хакеры взломали 1640 компаний в 57 странах.
Coinbase и Uniswap Labs оказались среди целей кампании злоумышленников.

Исследователь кибербезопасности и CTO компании Kumio Вангелис Стикас сообщил на конференции Black Hat в Лас-Вегасе результаты почти двухлетнего исследования инфраструктуры северокорейских хакеров. По его словам, за 22 месяца наблюдения он выявил, что группировки, связанные с КНДР, скомпрометировали 1640 компаний в 57 странах, а около 700-800 организаций подверглись критическим проникновениям, пишет WIRED.

Особое внимание хакеры уделяли криптовалютным компаниям, пытаясь получить доступ к приватным ключам, блокчейн-инфраструктуре и криптокошелькам. Новые данные свидетельствуют о значительно более широком масштабе кампании, чем считалось ранее.

Исследователь почти два года следил за инфраструктурой хакеров КНДР

По информации WIRED, Стикас получил доступ к нескольким серверам управления (command-and-control), которые использовали северокорейские операторы. Он отметил, что в отдельных случаях сами злоумышленники случайно заразили собственные рабочие станции вредоносным ПО, что позволило ему получить доступ к их системам.

«У меня есть доступ к их Slack, у меня есть доступ к их Discord, у меня есть доступ ко многим другим вещам», — заявил исследователь.

По его словам, он проанализировал около 5 ТБ данных, включая исходный код, ключи разработчиков и другие материалы, что позволило установить потенциальных жертв атак и уведомить их о компрометации.

Среди компаний, которые исследователь публично назвал после завершения расследования, — Coinbase, Uniswap Labs, Boston Children’s Hospital, Oppo, AEON Smart Technology, Высший судебный совет Италии, дочерняя структура банка Al Rajhi Bank и правительственная организация Digitaal Vlaanderen в Бельгии.

В Coinbase заявили, что проверили информацию после сообщения исследователя и не нашли подтверждений связи подрядчика с правительством КНДР.

«Наши механизмы безопасности выявили потенциальные риски в его технической инфраструктуре, которые указывали на возможную передачу работы третьей стороне, поэтому мы прекратили сотрудничество менее чем через 30 дней после найма, еще до получения уведомления от Вангелиса Стикаса. Никакая конфиденциальная информация или данные клиентов не были скомпрометированы», — отметили в компании.

Фейковые собеседования стали главным оружием против криптокомпаний

По словам Стикаса, почти все проникновения происходили по уже известной схеме Contagious Interview, которую Microsoft задокументировала еще в 2022 году.

Хакеры связывались с разработчиками от имени известных компаний, предлагали высокооплачиваемую работу и просили выполнить тестовое задание. Для этого кандидат должен был загрузить специальную программу, которая незаметно устанавливала вредоносное программное обеспечение.

Особенно опасными, по словам исследователя, стали внешние подрядчики, которые часто имели доступ сразу к нескольким корпоративным средам.

«Я видел подрядчиков, которые имели доступ сразу к 30 компаниям», — отметил он.

Хотя некоторые из пострадавших организаций владели большими массивами конфиденциальных персональных данных, северокорейские операторы, по словам исследователя, почти всегда концентрировались именно на краже криптовалют.

«Речь идет о доступе к компаниям, root-доступе к серверам, root-доступе к AWS. Для криптокомпаний — это ключи, это доступ к блокчейну. Это просто невероятный уровень доступа», — подчеркнул Стикас.

Кампания подтверждает масштаб угрозы для криптоиндустрии

Эксперты отмечают, что результаты расследования хорошо согласуются с уже известной активностью северокорейских группировок.

Исследователь киберугроз компании Expel Маркус Гатчинс заявил, что его не удивила информация о более чем тысяче скомпрометированных организаций.

«Похоже, что эти команды сосредотачиваются именно на краже криптовалютных кошельков. Но если они сохраняют постоянный доступ к корпоративной сети, другие группы, занимающиеся шпионажем, могут воспользоваться этим доступом», — пояснил он.

Сам Стикас подчеркнул, что наибольшее беспокойство вызывают не те компании, которые уже известны, а сотни организаций, которые так и не отреагировали на его уведомление о компрометации.

«Они здесь. Они постоянно нас атакуют. В конце концов, взламывают всех. Хорошую компанию от плохой отличает лишь то, как она реагирует после взлома. И мы увидели немало плохих компаний», — подытожил исследователь.

Новые данные дополняют предыдущие оценки масштабов деятельности КНДР в криптоиндустрии. Ранее TRM Labs сообщала, что после атак на KelpDAO и Drift Protocol северокорейские группировки обеспечили около 76% всех потерь крипторынка в 2026 году, похитив примерно $577 млн.

Также стало известно, что Consensys случайно наняла связанного с КНДР разработчика в команду MetaMask, а соосновательница MyEtherWallet Тейлор Монахан заявила, что разработчики из Северной Кореи годами участвовали в создании известных DeFi-протоколов.

Сообщение Северокорейские хакеры проникли в 1640 компаний в 57 странах и охотились за криптоключами появились сначала на INCRYPTED.

Читать материал на Incrypted