Pohjois-Korean uhka kryptoteollisuudelle
Joka päivä Binance saa valtavan määrän väärennettyjä ansioluetteloita, joiden epäillään olevan Pohjois-Korean hyökkääjien laatimia, kertoi kryptovaihdon pääsuojausjohtaja Jimmy Su Decryptille. Hänen mukaansa valtiolliset toimijat Pohjois-Koreasta ovat suurin uhka, jonka kryptoteollisuus kohtaa tänään.
”Suurin uhka tällä hetkellä kryptoteollisuudelle on valtiolliset toimijat, erityisesti DPRK, [kanssa] Lazarus,” Su kertoi Decryptille.
Su selitti, että Pohjois-Korean hakkerit ovat olleet ongelma koko vaihdon kahdeksan vuoden olemassaolon ajan, mutta viime aikoina he ovat parantaneet taitojaan kryptovaluuttojen osalta. Hän mainitsi, että ”lähes kaikki suuret DPRK-hyökkäykset” ovat sisältäneet väärennetyn työntekijän, joka on auttanut hyökkäyksen toteuttamisessa.
DPRK:n hakkerit ja heidän taktiikkansa
Demokraattinen Kansantasavalta Korea, jota kutsutaan myös DPRK:ksi tai Pohjois-Koreaksi, on Lazarus-ryhmän koti, joka on yksi maailman tuotteliaimmista hakkeriklaaneista. Ryhmän uskotaan olevan vastuussa kuuluisasta Bybitin 1,4 miljardin dollarin hakkeroinnista maaliskuussa – suurimmasta hakkeroinnista kryptohistorian mukaan, FBI:n mukaan.
Su kertoi, että Binance on pääasiassa huomannut Pohjois-Korean hyökkääjien yrittävän saada töitä yrityksessä. Keskitetty vaihto väittää hävittävänsä ansioluetteloita päivittäin niiden taipumuksen vuoksi käyttää tiettyjä ansioluettelomalleja.
”Seurannassamme oli aiemmin [näkyvissä], että toimija, operatiivinen, tulee olemaan ansioluettelo, ja heillä on pääasiassa joko japanilainen tai kiinalainen sukunimi,” Su selitti.
Su lisäsi, että tekoälyn nousun myötä hakkerit pystyvät teeskentelemään olevansa minkä tahansa tyyppisiä kehittäjiä. Viime aikoina he ovat olleet ehdokkaita Euroopasta ja Lähi-idästä, käyttäen äänenmuunninta haastatteluissaan, ja video oli deepfake.
Työntekijöiden valvonta ja tunnistusmenetelmät
On muitakin tapoja, joilla Binance voi havaita Pohjoiskorealaisen hakijan – kuten pyytämällä heitä laittamaan kätensä kasvojen eteen, mikä yleensä rikkoo deepfaken. Muut työnantajat ovat tunnetusti pyytäneet ehdokkaita sanomaan jotain negatiivista Pohjois-Korean korkeimmasta johtajasta Kim Jong Unista, mikä uskotaan olevan laitonta maassa.
”Ainoa oikeasti hyvä tunnistus on, että heillä on lähes aina hidas internetyhteys,” hän lisäsi.
Binance seuraa myös nykyisiä työntekijöitään epäilyttävän käyttäytymisen varalta. Ironista kyllä, Su:n tutkimuksen mukaan DPRK:n työntekijät ovat yleensä yrityksen parhaita suorittajia kyseisessä roolissa.
Hyökkäystavat ja koodin myrkyttäminen
Su kertoi, että Pohjoiskorealaisilla valtiollisilla toimijoilla on kaksi muuta yleistä hyökkäystapaa. Yksi sisältää julkisten NPM-kirjastojen myrkyttämisen haitallisella koodilla, kun taas toinen näkee kapinallisen valtion tekevän vääriä työtarjouksia kryptotyöntekijöille.
Haitalliset hyökkääjät voivat kopioida nämä paketit ja lisätä pienen koodirivin, joka voi aiheuttaa vakavia seurauksia. Estääkseen tämän muodostuvan ongelmaksi, Binance joutuu käymään koodin läpi huolellisesti.
”DPRK-ryhmä yrittää myös aikatauluttaa puheluja ulospäin suuntautuvien työntekijöiden kanssa,” Su kertoi Decryptille.
Väärennetyn haastattelun aikana DPRK:n hakkerit väittävät, että puhelussa on ”jotain videota tai ääntä koskevia ongelmia”, ennen kuin he lähettävät uhrille linkin Zoomin päivittämiseksi, mikä johtaa haittaohjelman tarttumiseen.
Yhteenveto ja tulevaisuuden näkymät
Pohjoiskorealaiset hakkerit varastivat 1,34 miljardia dollaria 47 kryptoon liittyvässä tapauksessa viime vuonna. Siitä lähtien DPRK:n hyökkäykset ovat jatkuneet, ja arvioidaan, että 1,6 miljardia dollaria kryptoa on varastettu tähän mennessä tänä vuonna väärennettyjen IT-työtarjousten kautta.
”Lazarus-ryhmä on aina ollut ongelma,” Su kertoi Decryptille. ”Mutta viimeisten kahden, kolmen vuoden aikana he ovat siirtäneet keskittymistään, enemmän resurssejaan kryptoon. Pelkästään teollisuuden [suuren] dollarimäärän vuoksi.”
