Проект Ketman при поддержке Ethereum Foundation выявил 100 северокорейских агентов в криптокомпаниях

Исследовательский проект Ketman, получивший финансирование в рамках стипендиальной программы ETH Rangers от Ethereum Foundation, за шесть месяцев работы выявил более 100 северокорейских IT-специалистов, тайно работавших в криптоиндустрии под поддельными личностями. Результаты расследования опубликованы в итоговом отчёте фонда.

Программа ETH Rangers и масштаб результатов

Ethereum Foundation представила итоги программы ETH Rangers — инициативы, стартовавшей в конце 2024 года с целью финансовой поддержки независимых специалистов по безопасности экосистемы. Всего в рамках программы гранты получили 17 стипендиатов, чья деятельность охватывала широкий спектр задач: от выявления уязвимостей и разработки защитных инструментов до анализа угроз и реагирования на инциденты.

«The ETH Rangers Program has wrapped up and the results speak for themselves: $5.8M+ recovered, 785+ vulnerabilities reported, 100+ DPRK operatives identified, and so much more. A decentralized defence for a decentralized network.» — EF Ecosystem Support Program (@EF_ESP), оригинальный пост

Совокупные результаты программы впечатляют: более $5,8 млн возвращённых средств, свыше 785 зафиксированных уязвимостей и более 100 идентифицированных оперативников из КНДР.

Как Ketman вычислял агентов Пхеньяна

Один из стипендиатов направил полученное финансирование на создание проекта Ketman, специализирующегося на выявлении «фиктивных разработчиков» в криптоиндустрии. Основной фокус команды — операции, координируемые Северной Кореей. IT-специалисты из КНДР на протяжении нескольких лет устраиваются в Web3-компании по подложным документам, получают зарплату, а параллельно обеспечивают разведывательную деятельность и потенциальный доступ к инфраструктуре проектов. За наиболее масштабными операциями такого рода стоит группировка Lazarus Group.

За полгода команда Ketman задокументировала 100 оперативников КНДР, действовавших внутри Web3-организаций, и предупредила 53 проекта о вероятном присутствии агентов в их штате.

Согласно материалам, опубликованным на сайте Ketman, исследователи опирались на характерные «тактики, поведение и оперативные модели» северокорейских IT-работников. Среди выявленных признаков:

• Использование одних и тех же аватаров и метаданных профиля на нескольких GitHub-аккаунтах, зарегистрированных под разными именами;
• Случайное раскрытие посторонних email-адресов при демонстрации экрана во время видеозвонков;
• Настройки системного языка (русский или другой), не соответствующие заявленному гражданству;
• Нетипичные паттерны общения и рабочие часы, не совпадающие с указанным часовым поясом.

Полную методологию обнаружения агентов ни Ketman, ни Ethereum Foundation публично не раскрыли.

Почему это важно

Внедрение северокорейских оперативников в криптокомпании — одна из наиболее серьёзных угроз операционной безопасности для всей блокчейн-индустрии. В отчёте Ethereum Foundation по программе ETH Rangers прямо указано, что эта работа «напрямую устраняет одну из наиболее острых угроз операционной безопасности, с которыми сталкивается экосистема Ethereum сегодня».

Масштаб проблемы подтверждается недавними событиями: 1 апреля DeFi-платформа Drift Protocol на базе Solana подверглась взлому на $280 млн, и, по заключению команды проекта и экспертов по кибербезопасности, за атакой стояли хакеры из КНДР.

Инструменты для борьбы с угрозой

Помимо непосредственного расследования, команда Ketman создала инструмент с открытым исходным кодом для автоматического обнаружения подозрительной активности на GitHub. Кроме того, совместно с некоммерческой организацией Security Alliance был разработан отраслевой фреймворк верификации — стандарт идентификации IT-работников из КНДР на этапе найма.

Эти инструменты призваны дать Web3-компаниям практические средства защиты от инфильтрации — проблемы, которая до недавнего времени решалась преимущественно вручную и бессистемно.