Проект Ethereum Foundation выявил 100 IT-специалистов из КНДР, внедрившихся в криптокомпании
Программа безопасности Ethereum Foundation под названием ETH Rangers, запущенная в конце 2024 года для финансирования работ, приносящих пользу всей криптоэкосистеме, представила первые значимые результаты. Один из грантополучателей программы в рамках шестимесячного стипендиального проекта под названием Ketman Project выявил и задокументировал деятельность 100 IT-специалистов, связанных с Корейской Народно-Демократической Республикой (КНДР), которые внедрились в различные компании Web3, используя поддельные личности. Фонд охарактеризовал эту угрозу как «одну из самых насущных проблем операционной безопасности, с которыми сегодня сталкивается экосистема Ethereum».
Масштабы и методы внедрения
В рамках Ketman Project исследователи не только идентифицировали отдельных лиц, но и систематизировали их методы работы. За шесть месяцев работы проект отследил 100 северокорейских IT-работников, внедренных в организации, связанные с криптоиндустрией и Web3. Были проанализированы поведенческие паттерны, технические привычки и методы создания легенд, которые позволяли этим специалистам выдавать себя за легитимных разработчиков. Около 53 проектов были проинформированы о том, что они, возможно, наняли активных сотрудников, связанных с КНДР. Это позволяет говорить о достаточно широком и глубоком проникновении, которое представляет системный риск для безопасности целых проектов и платформ.
Ошибки, которые выдали оперативников
Анализ, проведенный Ketman Project, показал, что несмотря на тщательную подготовку, внедренные работники допускали ряд ошибок, которые впоследствии стали «красными флажками». Некоторые из этих признаков оказались удивительно базовыми. Например, была зафиксирована практика повторного использования одних и тех же фотографий профиля и метаданных на разных аккаунтах GitHub. Во время сеансов совместного использования экрана случайно становились видны непривязанные email-адреса, не соответствующие заявленной личности. В ряде случаев языковые настройки устройств, установленные на русский язык, противоречили заявленному гражданству разработчика. Эти, казалось бы, мелкие детали в совокупности с другими данными позволили исследователям выстроить целостную картину и идентифицировать подозрительные аккаунты.
Создание инструментов для защиты экосистемы
Важным итогом работы Ketman Project стало не только разовое расследование, но и создание инфраструктуры для постоянного мониторинга угрозы. Исследователи разработали инструмент с открытым исходным кодом (opensource tool), предназначенный для выявления необычной активности на GitHub, связанной с подозрительными аккаунтами. Параллельно, в сотрудничестве с некоммерческой организацией Security Alliance, специализирующейся на безопасности блокчейна, был создан отдельный фреймворк (framework) для идентификации работников, связанных с КНДР. Оба этих ресурса теперь находятся в открытом доступе и могут использоваться другими компаниями и проектами для самостоятельной проверки своих команд и контрагентов, что повышает общую устойчивость экосистемы.
Контекст: многомиллиардная угроза со стороны КНДР
Активность Северной Кореи в криптопространстве не является новостью для индустрии. Государственные хакерские группы, в том числе печально известный Lazarus Group, неоднократно связывались с крупнейшими кражами в истории криптоиндустрии. По различным оценкам, северокорейскими акторами за последние годы были похищены цифровые активы на миллиарды долларов. Традиционно основное внимание уделялось прямым кибератакам на биржи и протоколы. Однако выявление целой сети внедренных IT-специалистов указывает на более сложную и долгосрочную стратегию. Внедрение в команды разработчиков дает доступ не только к средствам, но и к исходному коду, внутренней архитектуре проектов и приватным ключам, что потенциально может привести к еще более масштабным и изощренным атакам в будущем.
Значение программы ETH Rangers
Программа ETH Rangers была создана Ethereum Foundation именно для того, чтобы адресовать подобные пробелы в безопасности путем финансирования отдельных исследователей или небольших групп, работающих в интересах общества. Стипендиальная модель позволяет поддерживать узконаправленные, но критически важные инициативы, которые могут не найти коммерческого финансирования. Ketman Project стал одним из первых публично задокументированных результатов этой программы. Пока не раскрывается, привели ли другие грантополучатели к аналогичным открытиям в иных областях безопасности. Тем не менее, сам факт публикации таких детальных данных подчеркивает приверженность фонда принципам прозрачности и коллективной безопасности в децентрализованной экосистеме.
Заключение
Работа Ketman Project в рамках инициативы ETH Rangers высветила новое, более изощренное измерение угрозы со стороны государственных акторов в лице КНДР. Переход от эпизодических хакерских атак к системному внедрению агентов в команды разработки требует от криптосообщества адекватного ответа. Создание открытых инструментов детекции и фреймворков для идентификации — это важный шаг в направлении повышения осведомленности и укрепления защитных механизмов на уровне отдельных проектов. Данный случай демонстрирует, что безопасность в Web3 — это не только защита смарт-контрактов от эксплойтов, но и комплексная операционная безопасность, включающая тщательную проверку кадров. Успех подобных инициатив зависит от готовности всей индустрии использовать предоставленные инструменты и делиться информацией для противодействия общим угрозам.
