Il contro-hacker espone l'unità della DPRK che guadagnava 1 milione di dollari al mese lavorando in lavori IT

Un gruppo di lavoratori IT nordcoreani ha guadagnato oltre 3,5 milioni di dollari in pochi mesi fingendo la propria identità per lavorare come sviluppatori, tentando allo stesso tempo di violare progetti crypto, secondo documenti ottenuti da un hacker che è riuscito a compromettere uno dei loro dispositivi.

I dati trapelati ottenuti dall’hacker anonimo sono stati condivisi dall’analista blockchain ZachXBT in un post su X mercoledì. È emerso che uno dei lavoratori IT, “Jerry”, insieme a un team di 140 membri, riusciva a guadagnare circa 1 milione di dollari al mese, per un totale di 3,5 milioni di dollari in crypto dall’inizio di novembre.

I lavoratori IT nordcoreani coordinavano i pagamenti su un sito chiamato “luckyguys.site” utilizzando una password condivisa, “123456,” ha affermato ZachXBT, aggiungendo che alcuni degli utenti su quella piattaforma sembravano lavorare per Sobaeksu, Saenal e Songkwang, che sono soggette a sanzioni dell’Ufficio di Controllo dei Beni Esteri degli Stati Uniti.

Questi pagamenti crypto venivano convertiti in valuta fiat e inviati su conti bancari cinesi tramite piattaforme di pagamento online come Payoneer. La tracciabilità di questi indirizzi wallet ha inoltre rivelato collegamenti con altri wallet nordcoreani già inseriti nella blacklist di Tether a dicembre, secondo quanto affermato da ZachXBT.

Gli attori malevoli provenienti dalla Corea del Nord e da altri paesi continuano a minacciare l’industria crypto con tattiche sempre più sofisticate per portare a termine hack e scam. 

I lavoratori sponsorizzati dallo Stato nordcoreano hanno rubato oltre 7 miliardi di dollari dal 2009, una gran parte dei quali provenienti da progetti crypto. L’hack da 1,4 miliardi di dollari dell’exchange crypto Bybit e quello da 625 milioni della Ronin bridge sono tra gli attacchi più noti.

Gli hacker nordcoreani sono stati inoltre accusati dell’hack da 280 milioni di dollari della Drift Protocol avvenuto il 1° aprile. 

I lavoratori IT nordcoreani avevano una classifica

I lavoratori IT nordcoreani la cui attività è stata esposta disponevano di una classifica che mostrava quanta crypto ciascun lavoratore aveva fatto entrare nell’organizzazione dall’8 dicembre, con collegamenti alle pagine dei blockchain explorer che mostravano i dettagli delle transazioni.

Tabelle che mostrano quanta crypto ogni lavoratore IT ha apportato per la Corea del Nord dall’8 dicembre. Fonte: ZachXBT

Un altro screenshot condiviso da ZachXBT mostrava che Jerry utilizzava una rete virtuale privata Astrill per accedere a Gmail, dove aveva inviato diverse candidature per ruoli di full-stack developer e software engineer su Indeed.

I documenti d’identità erano anch’essi falsificati, con uno dei lavoratori IT, “Rascal”, che condivideva immagini di una bolletta intestata a un nome e indirizzo fittizi a Hong Kong. 

Rascal ha anche condiviso una foto di un passaporto irlandese, anche se non è chiaro se sia stato utilizzato.

ZachXBT ha comunque affermato che questi lavoratori IT erano meno sofisticati rispetto ad altri gruppi nordcoreani come AppleJeus e TraderTraitor, che “operano in modo molto più efficiente e rappresentano i maggiori rischi per il settore.”