如何31名北韓“開發者”欺騙頂尖加密貨幣公司並竊取68萬美元
2025年Favrr盜竊案
在一場如同網絡驚悚片般的反轉中，一個自稱為區塊鏈開發者的團體在2025年6月成功從粉絲代幣市場Favrr中竊取了68萬美元，卻在其中一名成員的裝置被反向駭客攻擊時暴露了身份。
驚人的事實浮出水面：六名北韓間諜擁有至少31個假身份。他們持有偽造的政府身份證、電話號碼，並且製作了虛假的LinkedIn和Upwork個人資料。有些甚至假冒Polygon Labs、OpenSea和Chainlink的員工，以滲透加密貨幣行業。
數位線索（截圖、Google Drive導出、Chrome個人資料）顯示他們是多麼精心策劃這次滲透。
加密貨幣調查員ZachXBT追蹤了他們的鏈上活動，將一個錢包地址與Favrr的攻擊事件聯繫起來，確認這不僅僅是一個釣魚計劃，而是一場有組織的開發者級別滲透。
你知道嗎？與北韓有關的駭客在2024年竊取了約13.4億美元的加密貨幣，佔全球盜竊的60%。這些攻擊涵蓋了47起事件，是前一年數量的兩倍。
如何發現這次駭客攻擊
Favrr的漏洞是通過一場網絡命運的反轉而曝光的——其中一名涉嫌的北韓操作員被反向駭客攻擊。
一名未具名的來源獲得了他們的一台裝置的訪問權限，揭露了一批內部資料：截圖、Google Drive導出和Chrome個人資料，這些資料描繪了駭客如何協調他們的計劃。
這些文件描繪了一幅驚人的畫面：六名操作員運行著至少31個假身份。
他們的操作手冊詳細揭示了從追蹤開支和截止日期的電子表格，到使用Google翻譯協助他們的英語欺騙，甚至包括租用電腦、VPN和AnyDesk以獲得隱秘訪問。
ZachXBT隨後追蹤了被盜資金的鏈上活動，揭露了一個“與68萬美元Favrr漏洞密切相關”的錢包地址。
這些揭露確認了這是一場由技術嫻熟的演員精心協調的滲透，他們假裝成為合法的開發者，而這一切都因為一台被遺留的脆弱設備而暴露。
假開發者計劃
反向駭客攻擊揭示了一系列的虛假身份，這些身份遠不止於簡單的用戶名。
他們獲得了政府簽發的身份證、電話號碼，甚至購買了LinkedIn和Upwork帳戶，使他們能夠自信地展示自己為經驗豐富的區塊鏈開發者。
有些甚至假冒知名機構的員工，面試成為Polygon Labs的全棧工程師，並吹噓自己在OpenSea和Chainlink的經驗。
這個團體維持著預先編寫的面試腳本，潤飾針對每個假身份的回答。
最終，這種層層的幻象使他們能夠獲得開發者職位，訪問敏感系統和錢包，從內部行動，同時躲在精心製作的虛擬形象後面。
這是一場基於身份的深度滲透。
他們使用的工具和戰術
北韓駭客的巧妙之處在於使用日常工具精心策劃的欺騙。
六名操作員之間的協調通過Google Drive導出、Chrome個人資料和共享電子表格來進行，這些文檔詳細記錄了任務、日程和預算——所有內容都用英語精心記錄，並通過Google翻譯在韓語和英語之間進行平滑過渡。
為了精確執行他們的滲透，團隊依賴AnyDesk遠程訪問和VPN，掩蓋他們的真實位置，同時向毫無戒心的雇主展示自己是合法的開發者。在某些情況下，他們甚至租用電腦以進一步模糊他們的來源。
洩漏的財務文件顯示，他們的操作預算相當充足。2025年5月，該團體在運營開支上花費了1489.80美元，包括VPN訂閱、租用硬件和維持多重身份所需的基礎設施。
在專業合作的假象背後，潛藏著一個精心設計的幻影，一個類似企業的項目管理系統支持著深層的入侵，並由真實的運營開支和技術掩護所支撐。
遠程工作滲透
這個北韓團體在Favrr盜竊案中使用了看似合法的工作申請（而不是垃圾郵件或釣魚，這一點令人驚訝）。
他們通過Upwork、LinkedIn和其他自由職業平台獲得了區塊鏈開發者的角色。憑藉著精心製作的形象，包括量身定制的簡歷和面試準備好的腳本，他們在假裝遠程工作的過程中獲得了客戶系統和錢包的訪問權限。這種滲透如此真實，以至於一些面試官可能從未懷疑過有任何不妥。
這一策略代表著更大的趨勢。調查顯示，北韓的IT操作員經常通過獲得遠程職位來滲透組織。這些滲透者利用深偽工具通過背景和參考檢查，並使用AI增強的簡歷，提供服務的同時為惡意活動鋪平道路。
從本質上講，網絡間諜的威脅並不僅限於惡意軟件。這一事件顯示，這一威脅也嵌入在通過遠程工作基礎設施獲得的信任訪問中。
你知道嗎？到2024年，北韓擁有約8400名網絡操作員在全球範圍內滲透，假裝成為遠程工作者以滲透公司並產生非法收入，特別是將資金引向政權的武器計劃。
更廣泛的背景和國家支持的行動
在2025年2月，北韓的Lazarus集團（以TraderTraitor的名義運作）執行了迄今為止最大的加密貨幣盜竊案，從Bybit交易所盜取了約15億美元的以太幣，這是在一次例行錢包轉移中進行的。
美國聯邦調查局確認了這次駭客攻擊，並警告加密貨幣行業封鎖可疑地址，指出這次攻擊是北韓更廣泛的網絡犯罪戰略的一部分，旨在為其政權提供資金，包括核武器和導彈計劃。
除了大規模的直接盜竊，北韓還利用更隱蔽的手段。網絡安全研究人員，包括Silent Push，發現Lazarus的附屬機構設立了美國空殼公司Blocknovas和Softglide，通過虛假的工作邀請向毫無戒心的加密貨幣開發者分發惡意軟件。
這些活動使目標感染了BeaverTail、InvisibleFerret和OtterCookie等變種，從而獲得了遠程訪問權限並實現了憑證盜竊。
這些技術揭示了雙重威脅：大膽的交易所級攻擊和隱秘的內部滲透。其總體目標始終如一：在制裁的雷達下產生非法收入。
值得記住的是，這類網絡犯罪行動是資助北韓武器計劃和維持政權外匯生命線的核心。
這篇報導揭示了北韓駭客的高超技術和組織能力，讓我們不得不反思現今網絡安全的脆弱性。隨著遠程工作的普及，企業在招聘過程中應更加謹慎，特別是在確認應聘者身份和背景方面。這不僅是對企業資產的保護，更是對整個行業的警醒。
以上文章由特價GPT API KEY所翻譯及撰寫。而圖片則由FLUX根據內容自動生成。
🖼️ AI 圖庫｜抄咒語學玩法
想睇吓人哋點玩 AI 畫圖？圖庫集合大量 Flux / Gemini 作品， 可以一 click 複製咒語，直入生成器再改做自己版本。
Gallery
Gallery
Gallery
