“坐在我旁边的开发者是朝鲜黑客”：Favrr 遭窃68万美元事件

“坐在我旁边的开发者是朝鲜黑客”

6名人员、31个虚假身份：从 Favrr 窃取68万美元的朝鲜“幽灵开发者”

2025年，加密货币行业发生了令人震惊的事件，尤其是 Bybit 事件。

朝鲜黑客的手段不只是入侵服务器或发送钓鱼邮件。他们伪装成开发者，直接进入公司，以内部人员的身份活动并实施盗窃。

---

准备：6人编造的31个虚假身份

涉事的朝鲜人员只有6人，但他们管理了31个虚假身份。

• 伪造政府身份证件，并购买海外电话号码。
• 购买 LinkedIn、Upwork 账户，充实作品集。
• 伪造曾在 Polygon Labs、OpenSea、Chainlink 等全球企业工作的经历。
• 准备面试用的英语话术、简历和作品集。

他们的运作方式很像一家初创公司：

• Google Drive 和电子表格：管理工作与预算。
• Google 翻译：实时用英语沟通。
• VPN 和 AnyDesk：将所在地伪装成美国或欧洲。
• 租用电脑：营造从海外实际登录的假象。

👉 2025年5月，他们的月度支出为1,489.80美元，VPN 费用、AI 工具订阅费和虚假账户维护费都有详细记录。

---

行动：Favrr 消失的68万美元

他们成功受雇成为开发者，取得内部访问权限后立即展开行动。

1）安装后门：为黑客建立秘密进出的通道。

2）窃取私钥：获取类似密码的加密钱包关键代码。

3）转出68万美元：伪装成正常交易，将资金转往外部。

4）洗钱：将资金拆分后送入混币器，以抹去踪迹。

混币器将多人的交易混合后重新分配，因此追踪难度极高。

👉 链上分析师 ZachXBT 通过追踪钱包，发现这起事件是内部人员所为，而非外部攻击。

---

暴露：一台笔记本电脑揭开秘密

看似周密的行动因一次失误而暴露。一名人员的笔记本电脑遭到反向入侵，隐藏资料因此泄露。

其中包括：

• 按不同身份设置的 Chrome 个人资料。
• 与真实企业交流的截图。
• 工作轮班表和日程表。
• 记录 VPN、AI 工具及虚假账户维护费用的支出表。

👉 这些资料显示，朝鲜人员如同开设了一家虚假公司，有组织地开展行动。

---

更大的图景：Favrr 事件只是开始

这起事件涉及的远不止68万美元的损失。

• 2024年：朝鲜黑客窃取了13.4亿美元，占全球加密货币被盗金额的60%。
• 2025年2月：朝鲜黑客组织 Lazarus Group 从 Bybit 交易所窃取价值15亿美元的 ETH。
• IT 人员规模：朝鲜将约8,400名 IT 人员伪装成海外自由职业者派出。
• 资金用途：90%至95%的收益用于核武器研发和维持政权。

👉 据 Reuters 报道，朝鲜甚至曾伪装成立美国公司，欺骗海外开发者。

---

结论：“我的同事是谁？”

Favrr 事件向整个行业提出了一个令人不安的问题：

“如果我雇用的远程开发者同事实际上是朝鲜人员呢？”

朝鲜的“幽灵开发者”已不再只是电影里的故事。今天，他们可能正在某处寻找下一个 Favrr。

---

📌 参考报道

Cointelegraph: cointelegraph.comhow-31-north-k…

CoinCentral: coincentral.comhow-zachxbt-un…

FX Leaders: www.fxleaders.comnorth-korean-h…

CoinStats: coinstats.app52182d8848d5ff…

The Week: theweek.comhermit-kingdom…

Reuters: www.reuters.comnorth-korean-c…

本资料仅供信息参考，不构成投资建议。投资风险由投资者自行承担。