เปิดโปงกลุ่มสตาร์ทอัพคริปโตปลอมที่ใช้ทีมไอทีเกาหลีเหนือร่วมงานหลายสัปดาห์

การสร้างบริษัทคริปโตปลอมเพื่อดึงดูดทีมไอทีเกาหลีเหนือ

นักวิจัยความปลอดภัยไซเบอร์ Mauro Eldritch และ Heiner García ร่วมวางแผนปฏิบัติการล่อจับที่ดำเนินมานานถึงห้าสัปดาห์ ด้วยการตั้งบริษัทสตาร์ทอัพคริปโตปลอมชื่อ "Ballena Azul" และใช้ Zoom ติดต่อสื่อสารกับวิศวกรไอทีที่สงสัยว่าเป็นชาวเกาหลีเหนือ ผู้เข้าร่วมคิดว่ากำลังหารือเรื่องการระดมทุนสำหรับธุรกิจ แต่กลับถูกเฝ้าสังเกตอย่างลับๆ ทีมงานใช้ข้อมูลการจดทะเบียนบริษัทชื่อเดียวกันในสหราชอาณาจักรเพื่อเพิ่มความน่าเชื่อถือ โดย Eldritch แสดงตนเป็นผู้ร่วมก่อตั้งชื่อ Leonardo Nelson และ García รับบทหัวหน้าทีม Andy Jones

เผยข้อมูลโครงสร้างพื้นฐานและเทคโนโลยีที่เกี่ยวข้อง

การสืบสวนพบเซิร์ฟเวอร์หลักที่ทำหน้าที่เป็นจุดเชื่อมต่อระหว่างผู้ปฏิบัติการกับเดสก์ท็อปเสมือนที่บริษัทควบคุมไว้ เซิร์ฟเวอร์บางส่วนมีความเกี่ยวข้องกับกิจกรรมมัลแวร์ของเกาหลีเหนือ เช่น InvisibleFerret และ BeaverTail/OtterCookie นอกจากนี้ยังพบเซิร์ฟเวอร์ใหม่ๆ ที่ไม่อยู่ในรายชื่อภัยคุกคาม ทำให้เห็นว่าทีมไอทีเกาหลีเหนือยังคงพัฒนาโครงสร้างพื้นฐานใหม่ๆ

เซิร์ฟเวอร์เหล่านี้ไม่เพียงใช้เป็นจุดกระจายมัลแวร์ แต่ยังทำหน้าที่ควบคุมคำสั่งและส่งข้อมูลต่อไปยังเป้าหมายอย่างหลากหลาย นักวิเคราะห์ระบุว่าวิศวกรไอทีเหล่านี้สามารถเข้าถึงระบบภายในและโค้ดหลักของบริษัทต่างๆ โดยไม่ต้องปล่อยมัลแวร์ด้วยตนเอง ซึ่งเปิดทางให้พวกเขาทำงานใต้ดินรับค่าจ้างในระยะยาวและช่วยระดมทุนให้กับรัฐบาลเกาหลีเหนือ

การใช้ปัญญาประดิษฐ์ช่วยในงานโค้ดดิ้งและการปลอมแปลง

ทีมไอทีเกาหลีเหนือที่สงสัยได้ใช้ ChatGPT อย่างกว้างขวางในการเขียนโค้ดและตอบคำถามทางเทคนิค ส่วน Google Gemini ถูกใช้เพื่อแก้ไขภาพและปลอมเอกสาร การนำ AI มาใช้ช่วยชดเชยช่องว่างทักษะทางเทคนิคได้อย่างมีประสิทธิภาพ นอกจากนี้ ยังมีการใช้ซอฟต์แวร์เดสก์ท็อประยะไกล กระเป๋าเงินดิจิทัลที่เข้ารหัส และบริการแชร์รหัสยืนยันแบบหลายปัจจัยในการทำงาน

เบื้องหลังการสรรหาและควบคุมทีมงาน

García เริ่มต้นติดต่อกับนักพัฒนาที่เชื่อมโยงกับกลุ่มคุกคาม "Famous Chollima" ผ่าน GitHub และดึงผู้พัฒนาระยะไกลอย่าง Jack Anderson, Angelo Espree และ Lucas Theo เข้าร่วม โดยงานถูกมอบหมายผ่านเดสก์ท็อปเสมือนที่ควบคุมอย่างเข้มงวด ทีมงานยังใช้วิธีจำลองปัญหาเครือข่ายเพื่อติดตามพฤติกรรมการตอบสนองของผู้ร่วมงาน พร้อมเก็บหลักฐานการสนทนา VPN และบันทึกวิดีโอสดเพื่อตรวจสอบ

กรณีของทีมไอทีเกาหลีเหนือแบบเดียวกับ Ballena Azul ถูกเปิดเผยเพิ่มขึ้นเรื่อยๆ ในวงการ หน่วยงานอเมริกันในปี 2025 เคยตั้งข้อหากลุ่มชาวเกาหลีเหนือสี่คนที่ใช้ตัวตนปลอมขโมยทรัพย์สินคริปโตกว่า 900,000 ดอลลาร์ฯ และชี้ว่ารายได้ส่วนหนึ่งถูกนำไปสนับสนุนโครงการนิวเคลียร์และอาวุธทำลายล้างสูงของเกาหลีเหนือ

ใกล้เปิดโปงตัวตนและบทสรุปของปฏิบัติการ

ในช่วงท้ายของปฏิบัติการ ตัวละครปลอม Benito Camella ที่แฝงตัวเป็นผู้ร่วมก่อตั้งกลับสอบถามถึงตัวตนและเอกสารของนักพัฒนา 3 คน โดย Espree ถอนตัวออกจากการประชุมวิดีโอเป็นคนแรก ตามด้วย Anderson ที่เริ่มสงสัยถึงความไม่ชอบมาพากลและยุติการร่วมมือ ช่อง Telegram ของบริษัทปลอมเกิดการขัดแย้งระหว่าง "CEO" กับ Andy Jones จนมีคำสั่งปลดทีมและเลิกทำงานร่วมกัน บริษัทจึงล่มสลายจากปัญหาการสรรหาที่ผิดพลาด

หลังปฏิบัติการ มีผู้ต้องสงสัยอย่างน้อยหนึ่งรายแอบส่งข้อความขอโทษต่อ García แต่คนอื่นไม่ได้ติดต่อกลับ นักวิจัยระบุว่าผู้ร่วมงานเหล่านี้ยังไม่รู้ตัวว่าตนเองเป็นเป้าหมายของการสืบสวน

ความสำคัญของข้อมูลที่เปิดเผยต่อวงการคริปโต

งานวิจัยนี้เป็นครั้งแรกที่เผยแพร่วิธีการทำงานจริง โครงสร้างโครงข่ายและเครื่องมือทางเทคนิคของทีมไอทีเกาหลีเหนือที่ทำงานระยะไกล แม้ว่าผู้ปฏิบัติงานจะไม่ได้มีบทบาทโจมตีโดยตรง แต่การที่พวกเขารักษาสิทธิ์เข้าถึงระบบภายในของแพลตฟอร์มบล็อกเชนและการซื้อขายคริปโต อาจถือเป็นจุดอ่อนสำคัญต่อความปลอดภัยของตลาดกลุ่มนี้ หน่วยงานกำกับดูแลและผู้ประกอบการจึงควรจับตาพัฒนาการและความเสี่ยงที่อาจเกิดจากกลุ่มงานลักษณะนี้อย่างต่อเนื่อง