Ang mga cyber spy ng North Korea ay hindi na lang basta mga remote na banta

Ang $285 milyon na exploit nitong buwan sa Drift, isang decentralized exchange (DEX), ay ang pinakamalaking crypto hack sa higit isang taon, mula noong mawalan ang Bybit ng $1.4 bilyon. Ang mga hacker na suportado ng estado ng North Korea ay itinuring na pangunahing suspek sa parehong pag-atake.

Noong nagdaang taglagas, nagsanib-puwersa ang mga umaatake bilang isang quantitative trading firm at nilapitan ang Drift protocol team nang personal sa isang malaking crypto conference, ayon sa Drift sa isang post sa X nitong Linggo.

"Ngayon ay nauunawaan na ito ay isang target na paraan, kung saan ang mga indibidwal sa grupong ito ay patuloy na sinadya na hinanap at tinangkaang makipag-ugnayan sa mga partikular na kontribyutor ng Drift, nang personal, sa maraming pangunahing industry conference sa iba't ibang bansa sa sumunod na anim na buwan," pahayag ng DEX.

Hanggang ngayon, ang mga North Korean cyber spies ay target ang mga crypto firm online, sa pamamagitan ng virtual calls at remote na trabaho. Ang personal na paglapit sa isang conference ay normal na hindi magpapataas ng hinala, ngunit ang Drift exploit ay dapat sapat na dahilan para suriin ng mga dumalo ang mga bagong koneksyon mula sa mga kamakailang event.

Pinalalawak ng North Korea ang crypto playbook sa labas ng mga hack

Inilarawan ng blockchain forensics firm na TRM Labs ang insidente bilang pinakamalaking DeFi hack ng 2026 (sa ngayon) at pangalawa sa pinakamalaking exploit sa kasaysayan ng Solana, kaunti lang ang layo sa $326 milyon na Wormhole bridge hack noong 2022.

Ang unang koneksyon ay nagsimula mga anim na buwan na ang nakaraan, ngunit ang mismong exploit ay nagsimula noong kalagitnaan ng Marso, ayon sa TRM. Sinimulan ng umaatake sa pamamagitan ng paggalaw ng pondo mula sa Tornado Cash at pagdeploy ng CarbonVote Token (CVT), habang gumamit ng social engineering para kumbinsihin ang multisig signers na aprubahan ang mga transaksyon na nagkaloob ng dagdag na mga permiso.

Pinasikat nila ang CVT sa pamamagitan ng pagmimint ng malaking supply at paghihikayat ng artipisyal na aktibidad na tila may totoong demand. Napansin ito ng Drift oracles at tinrato ang token bilang isang lehitimong asset.

Nang maisagawa na ang mga pre-approved transaction noong April 1, tinanggap ang CVT bilang collateral, itinaas ang limitasyon sa pag-withdraw at nailabas ang mga pondo bilang tunay na asset, kabilang ang USDC.

Kaugnay: North Korean spy napasubo, inamin ang koneksyon sa pekeng job interview

Ayon sa TRM, ang bilis at agresibong paraan ng sumunod na paglalaba ng pondo ay lumampas sa nakita sa Bybit hack.

Malawak na pinaniniwalaan na ginagamit ng North Korea ang malawakang crypto theft tulad ng Drift at Bybit attacks kasabay ng mga pangmatagalang taktika, kabilang ang paglalagay ng mga operatiba sa remote roles sa mga tech at crypto firm para mapanatiling may steady na kita. Sinabi ng United Nations Security Council na ginagamit ang ganitong pondo para suportahan ang weapons program ng bansa.

Sabi ng security researcher na si Taylor Monahan, ang pag-infiltrate sa mga DeFi protocol ay nagsimula pa noong “DeFi summer,” dagdag niya na mga 40 protocol na ang nagkaroon ng kontak sa mga pinaghihinalaang DPRK operatives.

Iniulat ng North Korean state media noong Huwebes na ang bansa ay nag-test ng electromagnetic weapon at isang short-range ballistic missile, na kilala bilang Hwasong-11, na nilagyan ng cluster munition warheads.

Ang infiltration network ay nagdadala ng tuloy-tuloy na crypto revenue

Isang hiwalay na imbestigasyon ang nagpakita kung paano nakakalikha ng milyon-milyon ang isang network ng mga North Korea-linked IT worker sa mahabang panahon ng infiltration.

Ipinakita ng datos mula sa isang anonymous source na ibinahagi ni ZachXBT ang network na nagpapanggap bilang developers at sumasabay sa mga crypto at tech firm, kumikita ng humigit-kumulang $1 milyon kada buwan at higit sa $3.5 milyon simula Nobyembre.

Nagkakatrabaho ang grupo gamit ang mga pekeng pagkakakilanlan, idinadaan ang mga bayad sa isang shared system, tapos kinokonvert ang mga pondo sa fiat at ipinapadala sa banko sa China sa pamamagitan ng mga platform tulad ng Payoneer.

Kaugnay: Isa ka bang freelancer? Maaaring ginagamit ka ng North Korean spies

Umaasa ang operasyon sa simpleng imprastraktura, kabilang ang iisang website na may shared password at internal leaderboards para sa kita. 

Nag-aaplay ang mga agent sa mga posisyon nang lantaran gamit ang VPNs at mga pekeng dokumento, patunay sa pangmatagalang estratehiya ng pag-embed ng mga operatiba upang makakuha ng tuloy-tuloy na kita.

Nagbabago ang depensa habang kumakalat ang infiltration tactics

Nakatagpo ang Cointelegraph ng kaparehong scheme sa isang imbestigasyon noong 2025 sa pangunguna ni Heiner García, na ilang buwan nakipag-ugnayan sa isang pinaghihinalaang operatiba.

Sumali ang Cointelegraph sa dummy interview ni García kasama ang suspect na nagpakilalang “Motoki,” na nagsasabi umanong Hapones siya. Biglaan siyang nag-disconnect nang mabigong magpakilala sa sinasabi niyang sariling wika.

Nalaman sa imbestigasyon na naiwasan ng mga operatiba ang geographic restrictions sa pamamagitan ng remote access sa mga device na pisikal na matatagpuan sa mga bansang tulad ng US. Imbis na VPN, mismong ang mga makinang iyon ang kanilang ginagamit para magmukhang local ang kanilang aktibidad.

Sa ngayon, napansin na ng mga tech headhunters na maaaring North Korean cyber spy ang kausap nila sa virtual job interview. Isang viral defense strategy ang magpahiling sa mga suspect na insultuhin si Kim Jong Un. Sa ngayon, epektibo pa ang estratehiya.

Gayunpaman, habang inapproach si Drift nang personal at ipinakita ng natuklasan ni García na nakakahanap ng malikhaing paraan ang mga operatiba upang lampasan ang geographic restrictions, patuloy na umaangkop ang mga North Korean actor sa labanang ito.

Ang pag-request sa mga interviewee na tawagin ang leader ng North Korea na “matabang baboy” ay epektibo pa sa ngayon, pero nagbabala ang mga security researcher na hindi ito palaging magtatagal.

Magasin: Phantom Bitcoin check, China sinusubaybayan ang buwis sa blockchain: Asia Express