Крипторазработчик, который проходит собеседование и становится угрозой безопасности

Разработчик может пройти собеседование, выпустить полезный код и завоевать доверие команды, прежде чем использовать доступ, который дает работа, против работодателя. Судебные преследования и расследования в сфере безопасности в США показывают, как северокорейские оперативники используют этот путь для проникновения в криптобизнес. В последнем предупреждении ФБР описывается более крупная вспомогательная сеть, которая может предоставлять личности, подставных лиц для собеседований и локальное устройство, пока человек, выполняющий работу, находится в другом месте.

Обвинительное заключение, объявленное прокуратурой США в июне 2025 года, описывает разработчиков, нанятых блокчейн-исследовательской компанией из Атланты и сербской токен-компанией. Согласно обвинениям, работодатели не знали истинных личностей работников.

Позже работники получили проекты, которые дали им доступ к криптоактивам. Прокуроры утверждают, что одна кража включала изменения в двух смарт-контрактах, а другая использовала доступ, доверенный работодателем. Предполагаемые потери на тот момент превысили 900 000 долларов.

Эти события находятся в центре угрозы, которая может выглядеть как успешный найм. Работник находится внутри обычного проектного процесса, получает задачи и выстраивает отношения. Точка опасности может наступить, когда организация рассматривает историю выполненной работы как основание для предоставления полномочий над кодом, инфраструктурой или деньгами.

Соискатель и оператор могут быть разными людьми

Предупреждение ФБР от 13 октября описывает сеть людей, которые помогают северокорейским IT-работникам выглядеть подходящими для работы. Некоторые посредники предоставляют личности, размещают устройства или участвуют в собеседованиях и встречах.

Это может разделить обычные трудовые отношения между несколькими людьми. Имя в заявке может принадлежать одному человеку. Участник на камерe может быть другим. Человек, выполняющий работу и управляющий ноутбуком работодателя, может находиться в другом месте.

Рекрутер может видеть каждую часть отдельно. Идентификация может выглядеть правдоподобно, собеседование может дать технические ответы, а адрес доставки может быть местным. Вопрос в том, описывают ли эти части одного и того же человека на протяжении всех отношений.

ФБР также описывает удаленный доступ через программное обеспечение и внешнее оборудование. Выданное работодателем устройство может оставаться в местном жилище, пока кто-то управляет им удаленно. Поэтому его присутствие в ожидаемой стране не решает вопрос о том, кто им пользуется.

Эта техника использует практическую особенность удаленной работы. Компаниям нужно, чтобы сотрудники подключались из домов и распределенных офисов. Проверка, которая контролирует только местоположение устройства, может не заметить второе подключение за ним.

Работнику не обязательно проваливать порученную работу, чтобы схема действовала. Полезная работа может приносить зарплату и устанавливать доверие. Работодатель может стать более готовым предоставить доступ именно потому, что разработчик предоставил то, что нужно команде.

Предполагаемая кража последовала за предоставлением доверия

Прокуроры утверждают, что два разработчика в деле в Джорджии были наняты в 2020 и 2021 годах. Предполагаемые кражи последовали в 2022 году. Этот промежуток времени имеет значение, поскольку доступ был получен через трудоустройство и проекты, а не в результате одного кратковременного внешнего вторжения.

В обвинительном заключении описываются ложные и украденные идентификационные данные. В нём также утверждается, что рекомендация одного работника привела к тому, что сербская компания наняла другого человека под псевдонимом. Таким образом, отношения, сформировавшиеся внутри компании, могли стать путём для другого соискателя.

Публикация Crypto.news об обвинительном заключении ввела это дело в обсуждение найма в отрасли. Обвинения остаются лишь утверждениями. Их значимость для работодателей заключается в последовательности, которую прокуроры выстроили между наймом, ответственностью и доступом.

Работодатель может обоснованно дать разработчику больше работы после успешного проекта. Вопрос безопасности заключается в том, какие дополнительные полномочия при этом предоставляются. Чтение исходного кода, слияние изменения, развёртывание контракта и перемещение активов — это отдельные полномочия.

Предполагаемое изменение исходного кода иллюстрирует эту связь. Человеку не обязательно нужна резервная копия кошелька, чтобы влиять на то, куда направляются средства, если он может изменить логику, которую развёртывает организация. Точный объём полномочий зависит от процесса проверки и развёртывания проекта.

Таким образом, это дело выходит за рамки проверки личности. Предположительно, вход был обманным, тогда как последующая возможность зависела от доступа, предоставленного работодателем. Каждый этап можно рассмотреть, не предполагая, что все учётные записи разработчиков обладают одинаковыми полномочиями.

Kraken остановил заявку до того, как она превратилась в трудоустройство

Опубликованный отчёт Kraken о попытке найма описывает кандидата, которого биржа связала с северокорейской операцией. Отраслевые партнёры уже предупреждали компанию о подозрительных соискателях.

Биржа сообщила о несоответствиях в ходе процесса и провела расследование, вместо того чтобы рассматривать собеседование как изолированное событие. Репортаж Crypto.news о попытке проникновения описал сочетание выявленных аномалий в личности и технической сфере.

Этот случай даёт полезный контраст с предполагаемыми кражами. Соискателю не нужно было предоставлять производственные полномочия, чтобы компания обнаружила проблему. Информация, доступная в отрасли, помогла работодателю интерпретировать заявку.

Общий идентификатор может быть более информативным, когда он связан с предыдущим расследованием. Работодателю всё равно необходимо оценивать доказательства в контексте. В противном случае имя или адрес электронной почты, скопированные у жертвы, могут создать ложное совпадение, которое навредит законному человеку.

Последние рекомендации ФБР прямо касаются этого риска. В них предупреждается, что единственный индикатор ненадёжен и что чрезмерно агрессивные фильтры могут исключить квалифицированных соискателей. Вместо этого агентство описывает многоуровневую оценку на протяжении всего жизненного цикла трудоустройства.

Техническое собеседование по-прежнему полезно для определения того, может ли человек выполнять работу. Оно отвечает на более узкий вопрос, чем вопрос о том, кто стоит за подключением или кто будет управлять ноутбуком после найма. Раздельное рассмотрение этих вопросов может предотвратить ситуацию, когда успешное выполнение кодирования закрывает проверку личности.

Зарплата может быть целью ещё до того, как будет затронут какой-либо кошелёк

Схема с северокорейскими IT-работниками также является операцией по получению дохода. Работник может получать заработную плату под ложной личностью и направлять деньги через другие счета. Работодатель может понести санкционный и мошеннический риск, даже если ни один клиентский кошелёк не будет опустошён.

Исковое заявление Министерства юстиции о конфискации от июня 2025 года касалось более 7,74 млн долларов, предположительно отмытых через такие схемы. Правительство описало доход от занятости, который был конвертирован и перемещён через криптовалюту.

Это иной поток, чем украденные активы казначейства. Оба могут быть частью государственной кампании по получению дохода, но в материалах дела необходимо определить, были ли средства заработной платой, перенаправленными платежами или доходами от отдельной кражи.

Это различие важно для реакции работодателя. Проверка казначейства может не обнаружить пропавших монет, в то время как проблема с расчётом заработной платы и идентификацией остаётся. Проверка кода может не обнаружить вредоносных изменений, в то время как учётная запись всё ещё использовалась для получения денег под ложной личностью.

Компании также необходимо знать, рекомендовал ли работник других кандидатов или поставщиков. Такая рекомендация может быть законной в обычной деловой практике. В мошеннической схеме она может распространять доступ или направлять платежи в другую часть той же сети.

Дело становится более понятным, когда деньги прослеживаются по трудовой истории. Контракт, счета и платежные инструкции указывают, за что работодатель заплатил. Записи обмена и кошелька затем могут показать, как перемещались полученные средства.

Ноутбук по местному адресу может быть ретранслятором

Удаленный сотрудник часто получает управляемое устройство, поскольку работодатель хочет контролировать программное обеспечение и доступ. Если посредник держит его подключенным для кого-то другого, компания может управлять оборудованием, не зная фактического оператора.

ФБР описывает как удаленное программное обеспечение, так и внешние устройства, которые могут обеспечивать доступ. Конкретный инструмент также может иметь законное применение. Его наличие становится значимым в сочетании с потребностями работы, записью об идентичности и тем, как ведет себя соединение.

Разработчик может законно использовать удаленные среды, виртуальные машины или общие тестовые системы. Правило, которое помечает любое такое использование как подозрительное, будет мешать обычной работе. Важный вопрос заключается в том, соответствует ли конфигурация утвержденной роли и кто имеет к ней доступ.

Локальный хост также может быть жертвой обмана или активным участником. ФБР сообщает, что посредников вербовали через, казалось бы, простые оплачиваемые задачи, включая получение оборудования или участие в звонке. Человек, соглашающийся на задачу, может видеть лишь одну часть схемы трудоустройства.

Такое разделение помогает операции сохраняться. Замена адреса доставки или посредника может изменить видимую инфраструктуру, не меняя людей, выполняющих работу. Поэтому компания, ищущая только ранее использовавшийся адрес, может пропустить новую версию той же схемы.

Обычный доступ разработчика может достигать финансовых полномочий

Учетная запись разработчика может начаться с репозитория, а затем получить доступ к облаку, права на развертывание или учетные данные для платежного сервиса. Каждое добавление может быть оправдано проектом. Вместе они могут приблизить одну учетную запись к деньгам бизнеса.

Репозиторий исходного кода может содержать больше, чем код. Конфигурация, история развертывания или неправильно хранимые учетные данные могут указывать на другие системы. Человек с доступом на чтение может узнать, как приложение перемещает ценность, еще до того, как сможет его изменить.

Путь развертывания добавляет еще один уровень. Проверенное изменение может проходить через системы сборки и инструменты выпуска, которые имеют собственные учетные данные. Человек, способный изменить этот путь, может повлиять на то, что попадает в производство, даже если основной репозиторий требует проверки.

Внутренний реестр может быть столь же важным. Биржа или платежный бизнес может записывать балансы клиентов в базу данных до подписания вывода средств. Полномочия изменять финансовые записи могут влиять на то, какие запросы достигают системы кошелька.

Отчет Google Cloud Threat Horizons за первое полугодие 2026 года описывает отдельное связанное с Северной Кореей вторжение в криптоорганизацию, которое достигло облачных систем и финансовой логики. Это был другой путь к доступу, но он показывает, почему среда развертывания и учета относится к тому же обсуждению безопасности, что и кошельки.

Соответствующая граница — это полномочия, предоставленные учетной записи. Политика аппаратного подписания может защитить один шаг, в то время как скомпрометированное приложение предоставляет вводящий в заблуждение платежный запрос. Организация должна понимать, как каждая предыдущая система определяет, что подписывающему предлагается одобрить.

Проверка кода должна знать, чем управляет изменение

Вредоносное изменение может быть небольшим по сравнению с остальной частью проекта. Его важность определяется путем, на который оно влияет. Адрес, проверка разрешений или условие вывода средств могут определять, куда направляется ценность, даже если окружающий код обычен.

Рецензентам необходимо связать изменение с этой бизнес-функцией. Тест, показывающий, что приложение успешно запускается, может пропустить изменение получателя средств. Тест, проверяющий ожидаемый путь платежа, всё равно может пропустить другую роль или исключительный случай.

Угроза найма делает это сложнее, потому что автор изменения — коллега. Рецензент может знать этого человека по неделям полезной работы и предполагать намерение, стоящее за изменением. Процесс должен оставаться способным проверять последствия после того, как доверие уже сформировалось.

То же самое относится к срочным исправлениям. Разработчик, понимающий систему, может стать тем человеком, на которого все полагаются во время инцидента. Предоставление временного доступа может быть необходимым, но оно меняет полномочия учётной записи именно в тот момент, когда другие сотрудники находятся под давлением.

Запись о том, кто одобрил и развернул изменение, помогает восстановить этот момент позже. Она также может отличить злонамеренное изменение от ошибки или действия, совершённого другой скомпрометированной учётной записью. Записи об идентичности, проверке и развёртывании становятся частями одной временной шкалы.

Данные могут уйти до того, как работодатель заметит кражу

Работник с доступом может скопировать информацию до её использования или до того, как работодатель прекратит трудовые отношения. Исходный код и бизнес-данные могут сохранять ценность даже после отключения учётной записи. Это создаёт ещё один источник давления на компанию.

В отчёте Google Threat Intelligence Group за апрель 2025 года описывалось расширение в Европу и большее число случаев вымогательства с использованием конфиденциальных данных бывших работодателей. Угроза связывалась с внешне легитимной работой в ряде технических проектов.

Материал Crypto.news о европейской экспансии относил разработку блокчейна к целевым видам работ. Географическое изменение имеет значение, потому что компания за пределами США может столкнуться с той же проблемой идентичности и доступа.

Октябрьское предупреждение ФБР добавляет, что запись работы сама по себе может быть каналом утечки данных. Удалённый оператор может создавать записи на оборудовании, находящемся на несколько соединений дальше от ноутбука работодателя. Таким образом, управляемое устройство может показывать меньше активности, чем ожидает работодатель.

Это делает процедуру увольнения вопросом о том, что учётная запись могла читать, а также что она могла изменять. Удаление доступа останавливает дальнейшее использование этих учётных данных. Оно не возвращает уже сделанную копию и не аннулирует каждый секрет, который видел человек.

Компании может потребоваться сменить скомпрометированные учётные данные и проверить, какие системы они открывали. Объём зависит от фактических разрешений и активности учётной записи. Общее заявление о том, что сотрудник больше не работает там, даёт менее полную картину.

Кадры, найм и безопасность могут каждая хранить часть ответа

Отдел кадров видит документы и трудовую историю. Финансовый отдел видит счета и банковские реквизиты или данные кошельков. ИТ-отдел видит устройства и удалённый доступ. Руководитель видит выполнение задач и запросы на дополнительные полномочия.

Операция, которая распределяет свою видимую активность между этими командами, может выглядеть правдоподобно для каждой из них в отдельности. Изменённый платёжный счёт может выглядеть административным. Другого человека на звонке можно объяснить проблемой со связью. Запрос устройства можно связать с проектом.

Рекомендации ФБР призывают оценивать эти наблюдения вместе. Цель — выявить закономерность, требующую проверки, избегая вывода, основанного на одной черте, присущей легитимным работникам.

Такой подход также защищает людей, чьи личности были украдены. Мошенническое заявление может использовать подлинные записи, принадлежащие кому-то другому. Человек, указанный в документах, может быть жертвой, а не оператором.

Та же осторожность относится к национальности и акценту. Угроза — это ложная личность, скрытый оператор и злоупотребление доступом. Решения, основанные на этнической принадлежности вместо поведения, могут пропустить операцию, нанося вред легитимным сотрудникам.

Практической единицей расследования являются трудовые отношения и системы, которых они касаются. Вопрос в том, контролирует ли один и тот же авторизованный человек работу, устройство, учётные данные и платёжный маршрут, одобренные компанией.

Увольнение не закрывает все маршруты

Уходящий работник может оставить доступ не только в основной учётной записи. Токен хостинга кода, облачные учётные данные, учётная запись поставщика или развёрнутый сервис могут оставаться пригодными для использования, если они были созданы во время работы. Проверка должна следовать за ролями, которые человек фактически занимал.

Работодателю также необходимо знать, что было изменено. Отключение пользователя не отменяет автоматически развернутый контракт и не удаляет разрешение, предоставленное другой учетной записи. Некоторые изменения в блокчейне могут потребовать отдельной транзакции или процесса управления.

Инцидент, связанный с вымогательством, добавляет юридические и операционные решения. Организация должна сохранить доказательства, установить, какие данные были похищены, и определить, какие обязательства применяются к затронутым людям или клиентам. Техническое реагирование и юридическое реагирование опираются на одни и те же факты, но служат разным целям.

Crypto.news сообщал об октябрьском деле, связанном с предполагаемыми американскими пособниками. Подобные судебные преследования показывают роль вспомогательной сети вокруг работника. Удаление одной учетной записи сотрудника может оставить других участников и платежные маршруты для расследования.

Оставшаяся проблема работодателя заключается в том, ввел ли этот человек другой маршрут в компанию. Рекомендации, общие подрядчики и сервисные учетные записи могут пережить отдельные трудовые отношения. Запись о том, кто предоставил доступ и с какой целью, помогает определить рамки этой проверки.

Отслеживание денег — это другой этап, отличный от установления личности работника

Адрес может получать зарплату или украденные активы и отправлять их дальше через несколько сервисов. Трассировка может связать транзакции с делом, тогда как установление личности человека, контролирующего каждый шаг, требует дополнительных доказательств.

Заморозка или изъятие могут обеспечить сохранность баланса, не разрешая все связанные с ним требования. Исковое заявление о конфискации является запросом к суду. Судебный приказ и фактически возвращенные активы — это последующие события.

В репортаже Crypto.news о конфискации стейблкоинов на сумму около 212 700 долларов эта сумма была отделена от более масштабных действий, связанных с суммой более 7,74 миллиона долларов. Эта разница иллюстрирует, почему запрашиваемая сумма и обеспеченная сумма должны иметь собственные даты.

Для компании, потерявшей активы, возврат также требует привязки средств к потерпевшему и процесса их возврата. Тот факт, что адрес был идентифицирован, может помочь в этой работе, оставляя при этом деньги вне непосредственного контроля компании.

Для компании, выплачивавшей зарплату под ложной личностью, проблема может включать санкции и договорные риски, даже если она не понесла потери активов. Одна и та же сеть может создавать различные потери и обязательства для разных работодателей.

Собеседование — это одно решение в более длительной передаче полномочий

Успешная заявка открывает дверь. Проекты и полезная работа могут затем повысить статус работника внутри компании. Каждое новое разрешение создает очередную возможность для работодателя проверить, что полномочия по-прежнему соответствуют человеку и задаче.

Эти случаи показывают, почему угроза относится как к найму, так и к операционной деятельности. Команда может обнаружить ложную заявку до найма, как описала Kraken. Другая может нанять человека и позже предоставить доступ, который, по утверждению прокуроров, был использован для кражи.

Октябрьское предупреждение ФБР помещает эту последовательность в более широкую сеть личностей и пособников. Компания может собеседовать одного человека, а в итоге предоставить доступ другому. Ее самый надежный учет связывает сотрудника, которого она авторизовала, с работой, устройствами, учетными данными и платежами, которые за этим следуют.

Фальшивый соискатель и фальшивый рекрутер — это отдельные маршруты

Компания может столкнуться с ложным соискателем, ищущим законную работу. К разработчику также может обратиться ложный рекрутер, предлагающий работу в другом месте. Второй маршрут направлен на то, чтобы убедить действующего сотрудника запустить тест, открыть файл или использовать сервис, который скомпрометирует его устройство.

Оба могут встретиться в одной и той же деловой среде. Одна операция получает доступ, становясь сотрудником. Другая получает доступ через сотрудника, который уже там работает. В результате учетная запись может выглядеть авторизованной, даже если человек, контролирующий ее, таковым не является.

Это различие важно, когда работодатель расследует активность разработчика. Подозрительное действие может исходить от работника, использующего ложную личность, или от подлинного сотрудника, чье устройство было скомпрометировано. Журналы доступа идентифицируют учетную запись, тогда как расследование личности и конечной точки устанавливает, кто ею управлял.

Облачный отчет Google описывает криптовалютное вторжение, связанное с скомпрометированной конечной точкой и продвижением в корпоративные системы. Этот случай следует рассматривать как отдельный путь атаки. Более широкий урок заключается в том, какой объем доступа может нести среда разработчика, как только злоумышленник получает над ней контроль.

Поэтому компании необходимы как кадровые, так и технические записи. Одни позволяют установить, что лицо было законно принято на работу. Другие могут показать, что учетная запись впоследствии осуществляла деятельность за пределами утвержденной роли или через неожиданный путь управления.

Подрядчик может переносить доступ между несколькими клиентами

Поставщик услуг может назначить одного и того же разработчика на работу для более чем одного клиента. Клиент может одобрить поставщика, не встречаясь со всеми, кто будет выполнять задачу. Проверки персонала и идентификации, проводимые поставщиком, становятся частью рисков клиента.

Доступ также может быть общим через проектную учетную запись или общую среду разработки. Это может затруднить определение того, какое именно лицо внесло изменение. Законная договорная схема все равно требует записи, связывающей работу и полномочия с людьми, которые их используют.

Риск возрастает, если один подрядчик хранит учетные данные для нескольких заказчиков на одном устройстве. Компрометация может выйти за пределы одного проекта, даже если каждый клиент предоставил только доступ, необходимый для его собственной работы. Конечная точка поставщика становится общей зависимостью.

Акцент ФБР на жизненном цикле трудоустройства соответствует такой схеме в той же мере, как и прямому найму. Суть в том, чтобы знать, кто выполняет работу по мере изменения обязанностей и команд. Успешная проверка на дату заключения первоначального договора не идентифицирует каждого человека, позже добавленного к проекту.

Первое сообщение может сохранить путь в компанию

Когда сотрудник замечает несоответствие, наиболее полезной записью могут стать обычные доказательства: приглашение на собеседование, измененный запрос на оплату или заявка в поддержку по устройству. Эти предметы дают следователям даты и взаимосвязи для сопоставления с технической активностью.

Компания, обнаружившая попытку мошенничества до найма, все еще располагает информацией, которая может помочь другому работодателю. Случай Kraken иллюстрирует, как отраслевые предупреждения могут сделать идентификатор более значимым. Обмен через надлежащий канал безопасности может связать случаи, которые выглядят изолированными внутри одной команды по подбору персонала.

Сообщение также должно сохранять различие между попыткой и завершенным вторжением. Не показано, что отклоненный кандидат имел тот же доступ, что и работник, назначенный на производственные проекты. Это различие позволяет увязать последствия с фактической записью.

Угрозу становится легче объяснить, когда история следует за этим доступом шаг за шагом. Заявка создает возможность, трудовые отношения создают разрешения, а последующая деятельность показывает, как эти разрешения были использованы. Предполагаемые кражи в Джорджии дают конкретный пример этого финального перехода.

Записи должны сохраняться после ухода сотрудника

Компании, обнаружившей подозрительную активность после ухода подрядчика, необходим надежный отчет о том, к чему мог получить доступ эта учетная запись. Такая запись включает предоставленные разрешения, проверки кода, выпуски и изменения методов восстановления. Если эти записи исчезают вместе с доступом сотрудника, расследование начинается с пробела, созданного собственными процедурами работодателя.

Уход — это также больше, чем закрытие корпоративного адреса электронной почты. Сотрудник мог использовать отдельные учетные записи для хостинга кода, облачных сервисов и развертывания. Активный токен может продолжать работать после того, как лицо теряет доступ к внутренней системе чата. Relevant question is whether each route into the production environment has been revoked or reviewed.

Та же работа помогает установить, чего не произошло. Фирма может обнаружить, что лицо имело доступ к тестовой среде, но не имело полномочий изменять производственные контракты. Она может обнаружить попытку запроса более широкого доступа, которую отклонил проверяющий. Эти различия влияют на фактический масштаб инцидента и не позволяют рассматривать подозрительную личность как доказательство завершенной кражи.

Для клиентов достоверный отчет объясняет затронутые системы, период доступа и предпринятые действия. Одна лишь национальность не дает ничего из этой информации. Доказательства происходят из кадровой записи и активности, связанной с учетной записью, а затем из любых выводов, которые следователи могут обосновать.

На что обратить внимание

• Кадровые записи: Изменения в личности, платежных данных и в том, кто фигурирует в рабочих взаимодействиях, могут приобрести значение при совместной оценке.
• Расширение полномочий: Права доступа к репозиторию, развертыванию, облаку и платежам показывают, как роль расширилась после найма.
• Общая инфраструктура: Локальное устройство все равно может управляться удаленно, поэтому утвержденный маршрут доступа важен.
• Объем отключения: Учетные данные, развернутые изменения и скопированная информация могут оставаться значимыми после закрытия основного аккаунта.
• Судебные результаты: Обвинения, ходатайства о конфискации, судебные приказы и возвращенные активы описывают разные стадии правоприменительной записи.

Часто задаваемые вопросы