Fundația Ethereum a scos la iveală o rețea de 100 de programatori nord-coreeni ascunși în proiecte Web3

Printre cei care își deschideau laptopurile în fiecare dimineață pentru a contribui la proiecte blockchain răsunătoare se aflau și 100 de specialiști IT ale căror nume erau false. Operatori ai regimului de la Phenian, treceau interviuri tehnice fără probleme, semnau contracte de muncă la distanță și livrau cod funcțional luni la rând, timp în care o parte din salariile încasate în criptomonede ajungea acasă, la Coreea de Nord.

Anunțul public a venit pe 16 aprilie 2026, odată cu raportul Fundației Ethereum despre programul ETH Rangers și componenta sa principală, Ketman Project. Bilanțul celor șase luni de anchetă nu are nimic spectaculos în sensul știrilor obișnuite din industrie. O sută de operativi legați de Phenian au fost identificați și raportați către echipele din 53 de proiecte Web3. În paralel, cercetătorii au documentat peste 785 de vulnerabilități și au reușit să recupereze aproape 5,8 milioane de dolari din fonduri compromise.

Greutatea raportului stă însă altundeva decât în statistici. Amenințarea pe care o descrie nu seamănă cu exploit-urile spectaculoase din rubricile obișnuite de securitate cibernetică. Este vorba despre oameni care se conectau la Zoom în fiecare dimineață, actualizau ticket-uri pe Jira și depuneau pull request-uri în repository-urile oficiale ale unor proiecte mari, în timp ce identitatea lor reală rămânea ascunsă sub un teanc de acreditări fabricate.

Un program de granturi modest care a produs rezultate grele

Fundația Ethereum a lansat programul ETH Rangers la finalul anului 2024, pornind de la o ipoteză rar testată în blockchain. Dacă dai bani unor cercetători independenți, fără contract cu firmele mari de audit, poți obține intervenții de securitate cu impact public serios. Logica a fost aceea a granturilor deschise, oferite unor analiști care urmau să lucreze pe probleme considerate prea nișate sau prea delicate pentru circuitul comercial clasic.

Unul dintre beneficiari a folosit grantul primit pentru a construi Ketman Project, o inițiativă concentrată exclusiv pe identificarea dezvoltatorilor falși din organizațiile Web3. Numele nu este întâmplător. În tradiția șiită, ketman denumește practica disimulării religioase, a ascunderii identității adevărate pentru a supraviețui într-un mediu ostil. Paralela cu fenomenul investigat spune mai multe decât un raport tehnic întreg.

Echipa Ketman a lucrat timp de șase luni aproape exclusiv pe această problemă. Munca a însemnat ore lungi de analiză manuală a profilurilor de pe GitHub, coroborate cu metadate ale conturilor și cu activitatea din diverse repository-uri. Colaborarea cu firme specializate în analiză blockchain a ajutat la identificarea unor rute de plată suspecte, iar concluziile au fost transmise pe cale oficială către cele 53 de proiecte afectate.

Un amănunt schimbă perspectiva asupra întregii anchete. Investigația nu a venit dinspre o agenție guvernamentală și nici de la vreo firmă de securitate cibernetică cu sute de angajați. A pornit dintr-un program de granturi cu buget modest, orientat spre binele public. Faptul că un asemenea model a produs rezultate măsurabile spune ceva important despre unde se află astăzi expertiza care contează. Nu neapărat acolo unde sunt cele mai multe resurse, ci acolo unde atenția este direcționată corect.

Toate amănuntele operațiunii au fost documentate pe larg pe Cryptology.ro, publicația românească dedicată știrilor și analizelor crypto, unde jurnalistul Mihai Popa urmărește de aproape un an felul în care lucrătorii IT legați de regimul nord-coreean pătrund în proiectele Web3. Aceeași redacție a semnat, în ultimele luni, materiale de referință despre piața tokenilor nefungibili, inclusiv analiza care reconstituie tranzacția pentru cel mai scump nft vândut vreodată, iar raportul ETH Rangers primește acum același tratament editorial aplicat.

Ketman Project și anatomia infiltrării

Infiltrarea aceasta este atât de greu de combătut dintr-un motiv incomod. Operativii RPDC chiar știu să programeze. Taylor Monahan, cercetător în securitate și dezvoltator la MetaMask, a declarat în mai multe ocazii publice că lucrători IT nord-coreeni au contribuit la unele dintre protocoalele pe care industria le folosește astăzi pe scară largă. Experiența lor în dezvoltarea blockchain depășește, în unele cazuri, șapte ani. Peste 40 de platforme au beneficiat, în diverse momente, de munca lor, încă din perioada supranumită informal “DeFi Summer”, în vara anului 2020.

Schema urmează un tipar exersat cu răbdare. Operativul aplică pentru poziții de lucru la distanță cu un CV falsificat, dar credibil, destul de bine construit încât să treacă filtrele obișnuite de recrutare ale unui startup crypto. La interviurile tehnice răspunde fluent la întrebări despre Solidity sau Rust și la cele legate de arhitectura contractelor inteligente. Contribuie apoi constant la repository-uri publice, își construiește un istoric coerent de commit-uri și se integrează fără frecare în echipe distribuite pe trei sau patru continente.

Odată acceptat, se comportă exact ca orice alt angajat. Răspunde prompt la mesajele de pe Slack, apare la întâlnirile săptămânale și livrează cod pe care colegii nu au motive să îl suspecteze. Salariile îi intră în portofele obișnuite și sunt apoi convertite în monedă fiat sau în criptomonede stabile. Din momentul în care banii părăsesc compania, o parte ia drumul unor rețele de intermediari care îi canalizează, prin zeci de adrese intermediare, către destinații asociate aparatului de stat nord-coreean.

Profilul dezvoltatorului fals

Investigația Ketman a izolat mai multe semnale de alarmă care revin cu o frecvență surprinzătoare. Unele sunt de ordin vizual. Același avatar apare pe conturi GitHub aparent nelegate între ele, iar profilurile de pe LinkedIn sau Upwork partajează metadate care nu ar trebui să se regăsească pe identități independente. Alte semnale țin de accidente banale. În timpul unor sesiuni de partajare a ecranului, câte un dezvoltator a expus din greșeală o adresă de e-mail fără nicio legătură cu numele declarat, iar alții au uitat sistemul de operare setat pe rusă sau coreeană, deși pretindeau că locuiesc undeva în Columbia sau în Polonia.

Sunt detalii mici, pe care un manager aglomerat nu le observă de obicei. Pentru un cercetător antrenat să le caute, ele formează însă un mozaic coerent. Când se adaugă și analiza orelor la care sunt depuse commit-urile, de obicei în intervale tipice fusului orar asiatic, iar printre liniile de cod apare câte un comentariu în coreeană uitat neșters, semnalele devin suficient de clare încât să justifice o alertă formală.

De ce industria crypto a devenit terenul preferat

Structura descentralizată a ecosistemului crypto, care în mod normal îi conferă reziliență, se întoarce împotriva sa atunci când discuția alunecă spre infiltrare umană. Proiectele blockchain nu prea au departamente de resurse umane serios organizate sau echipe interne de securitate dedicate, așa cum găsești într-o bancă tradițională sau într-o corporație din tehnologia mare. Lucrul la distanță este regula, iar echipele sunt distribuite global, cu membri care nu s-au întâlnit niciodată față în față.

Un dezvoltator care scrie cod bun, care livrează ritmat și răspunde prompt la Slack primește, aproape de fiecare dată, acces direct la infrastructura proiectului. Foarte puțini se întreabă cine este cu adevărat omul din spatele numelui afișat pe ecran. Când un asemenea proiect gestionează zeci sau sute de milioane de dolari prin contracte inteligente, iar angajatul obține acces la cheile private sau la mecanismele multi-sig, problema încetează să mai fie una administrativă. Devine un risc sistemic.

Cel mai recent exemplu de acest gen este Drift Protocol. Un exploit de 285 de milioane de dolari a fost atribuit unei operațiuni de inginerie socială pornite de actori nord-coreeni. Atacatorii nu au forțat nicio barieră tehnică. Au intrat pe ușa din față. Și-au construit identități profesionale credibile, apoi au investit luni în câștigarea încrederii echipei, iar abia după ce au primit acces gradual la zone sensibile au executat breșa. Până în clipa în care banii au dispărut, totul a arătat perfect normal.

În paginile Cryptology.ro, analistul Mihai Popa atrage atenția asupra unui aspect care rareori ajunge pe prima pagină. Aproape niciunul dintre proiectele Web3 afectate nu a descoperit singur problema. Echipele au aflat prin intermediul cercetătorilor independenți de la Ketman Project, după luni de conviețuire, întâlniri și schimburi de cod cu dezvoltatori care, în fundal, trimiteau sistematic o parte din salarii către rețele afiliate Phenianului.

Umbra Lazarus Group și un deceniu de furturi la nivel de stat

Discuția despre operațiunile cibernetice ale Coreei de Nord nu poate ocoli Lazarus Group, colectivul de hackeri care operează sub Biroul General de Recunoaștere (RGB), serviciul de informații militare al Phenianului. Lazarus a intrat în atenția publică internațională în 2014, cu atacul asupra Sony Pictures, iar de acolo a escaladat rapid spre zona financiară. În 2016, grupul a încercat să fure aproape un miliard de dolari de la Banca Centrală a Bangladeshului prin sistemul SWIFT. O greșeală de ortografie într-una dintre instrucțiunile frauduloase a blocat cea mai mare parte a transferului, însă 81 de milioane de dolari au ajuns totuși în Filipine, unde au fost ulterior spălați prin cazinouri.

Din 2017 încoace, Lazarus s-a întors cu toată greutatea spre industria criptomonedelor. Motivul este la îndemână pentru oricine cunoaște terenul. Piața oferă lichiditate masivă, iar sistemele de verificare a identității, fragmentate și inegale de la o jurisdicție la alta, sunt mult mai permisive decât barierele din lumea bancară. Conform datelor Chainalysis, actorii cibernetici legați de RPDC au furat aproximativ 2,02 miliarde de dolari în criptomonede doar în 2025, o creștere de 51% față de anul precedent. Suma reprezenta aproape 60% din totalul furturilor de criptomonede înregistrate la nivel mondial în acel an.

Lista loviturilor majore atribuite grupului spune singură ce greutate a ajuns să aibă. Exploit-ul de pe Ronin Bridge din 2022 a produs pierderi de 625 de milioane de dolari. În 2024, breșa de la WazirX a însemnat alte 235 de milioane sustrași. Iar în februarie 2025 a venit jaful de la Bybit, cel mai mare din istoria industriei crypto, cu aproximativ 1,5 miliarde de dolari în Ethereum pierduți într-o singură operațiune.

Jaful Bybit și lecția unei interfețe manipulate

Jaful de la Bybit spune ceva important despre cât de sofisticate au devenit aceste operațiuni. Hackerii nu au spart blockchain-ul. Nu au exploatat vreun bug într-un contract inteligent. Au compromis, în prima fază, laptopul unui dezvoltator care lucra la Safe{Wallet}, instrumentul folosit de Bybit pentru portofelele multi-sig. Abia apoi au modificat interfața grafică a aplicației. Rezultatul a fost perfid. Ceea ce apărea pe ecranul utilizatorului nu mai corespundea cu tranzacția efectiv semnată în spatele interfeței.

Când CEO-ul Ben Zhou a vrut să aprobe o tranzacție de rutină, totul părea în regulă pe ecran. Suma era cea corectă. Destinatarul părea cel așteptat. Butonul de confirmare avea aspectul obișnuit. Zhou a apăsat “approve”. În spatele interfeței, adresa reală de destinație fusese deja înlocuită cu una controlată de atacatori, iar 401.000 de ETH au dispărut într-o clipă. Conform datelor TRM Labs, în mai puțin de 48 de ore, peste 160 de milioane de dolari din suma furată trecuseră deja prin canalele de spălare.

Unde ajung banii, de la GitHub la programul balistic

Banii obținuți de Lazarus și de rețelele sale nu merg în conturi private. Rapoartele ONU, ale Departamentului de Stat american, dar și ale mai multor agenții de aplicare a legii converg spre aceeași concluzie. Furturile de criptomonede finanțează programele nucleare și balistice ale Coreei de Nord. Pentru un regim supus unor sancțiuni internaționale drastice, criptomonedele au devenit una dintre puținele căi eficiente de a aduce valută din exterior, fără dependență de un sistem bancar din care este practic exclus.

Un raport al Națiunilor Unite din 2023 estima că RPDC trimisese între 3.000 și 10.000 de lucrători IT în străinătate, cu scopul explicit de a genera venituri prin muncă legitimă în industrii de tehnologie. Conform datelor mai recente asociate Departamentului de Stat, aproximativ 1.500 dintre aceștia se aflau în China, iar planurile vizau extinderea plasamentelor în Rusia, Laos sau Cambodgia.

Mulți dintre acești lucrători nu sunt hackeri în sensul clasic al cuvântului. Sunt programatori capabili care obțin contracte legitime și câștigă salarii autentice, doar că o parte consistentă a veniturilor pleacă apoi spre Phenian, prin intermediari care convertesc banii în crypto și îi redirecționează pas cu pas. Modelul funcționează din două motive care se susțin reciproc. Regimul selectează personal cu formare tehnică solidă. Iar infrastructura de intermediere a banilor s-a maturizat destul încât să absoarbă sume mari fără să declanșeze alarmele obișnuite ale conformității financiare.

Dosarul judiciar anunțat pe 16 aprilie 2026 de Departamentul de Justiție al SUA completează acest tablou. Doi cetățeni americani au fost condamnați la cel puțin șapte ani de închisoare fiecare, după ce s-au declarat vinovați de conspirație la fraudă electronică și spălare de bani. Rolul lor fusese să ajute lucrători IT nord-coreeni să se prezinte drept americani și să obțină acces la aproximativ 100 de companii. Pentru serviciile prestate, cei doi primiseră circa 700.000 de dolari. Autoritățile au precizat că alți opt inculpați din aceeași schemă sunt încă în libertate.

Moștenirea Ketman și instrumentele rămase în urmă

Ketman nu s-a oprit la lista cu 100 de operativi. Echipa a dezvoltat și un instrument open-source menit să scoată la lumină activitate suspectă pe GitHub, urmărind tipare comportamentale pe care un recrutor obișnuit sau un manager de proiect nu le observă niciodată. Instrumentul analizează, printre altele, coerența metadatelor de profil pe mai multe platforme și consistența identității digitale menținută pe durate lungi.

Tot în cadrul acestui proiect, Ketman a colaborat cu Security Alliance (SEAL), o organizație non-profit axată pe securitatea blockchain, pentru a redacta un cadru standard de identificare a lucrătorilor IT cu posibile conexiuni RPDC. Documentul rezultat oferă organizațiilor Web3 un set de criterii și proceduri aplicabile intern, gândite să reducă riscul angajării, fără știrea echipei, a unor persoane implicate în operațiuni nord-coreene.

Site-ul Ketman Project găzduiește astăzi o colecție largă de materiale care documentează metodic tacticile și tiparele de comportament ale acestor actori. Abordarea este una de “threat intelligence” concentrată pe profilul uman, nu pe semnătura tehnică. E o distincție importantă, pentru că un audit de cod nu va descoperi niciodată că dezvoltatorul care l-a scris trimite o parte din salariu la Phenian. Doar o analiză comportamentală sistematică poate ajunge la concluzia respectivă.

Editorialistul Mihai Popa, de la Cryptology.ro, punctează un aspect pe care industria îl discută încă prea puțin. Dincolo de cifre, adevărata miză a raportului Fundației Ethereum este modelul instituțional pe care îl validează. Granturile modeste, îndreptate către cercetători independenți, ajung să producă rezultate mai consistente decât auditurile comandate marilor firme de securitate.

Bilanțul complet al programului ETH Rangers

Ketman a fost cea mai vizibilă componentă a programului ETH Rangers, dar inițiativa a lucrat pe mai multe fronturi simultan. Per ansamblu, Fundația Ethereum a documentat peste 785 de vulnerabilități de securitate în ecosistem. Tot în această perioadă, cercetătorii finanțați prin program au coordonat zeci de răspunsuri la incidente și au recuperat, cumulat, aproape 5,8 milioane de dolari din fonduri compromise.

Cercetătorul Nick Bax, un alt beneficiar al programului, a identificat și a alertat peste 30 de echipe că aveau lucrători nord-coreeni pe statul de plată. Intervenția sa a contribuit la înghețarea a sute de mii de dolari din fonduri deja încasate de operatorii malițioși, înainte ca aceștia să reușească să le spele prin canalele lor obișnuite.

Ce rămâne din ETH Rangers este, până la urmă, o lecție despre filozofia instituțională. Nu a fost un audit comandat vreunei firme de consultanță. Nici o operațiune coordonată de o agenție guvernamentală. A fost un program de finanțare orientat spre binele public, care a oferit resurse cercetătorilor independenți și i-a lăsat să lucreze exact pe problemele pe care le considerau cele mai urgente. Faptul că un model atât de simplu a produs rezultate cuantificabile sugerează că ar putea fi replicat, cu bugete mai mari și la o scară mai amplă, ori de câte ori o comunitate tehnologică are curajul să investească în oameni, nu în contracte.

Regândirea securității în era infiltrării umane

Descoperirile programului ETH Rangers obligă industria crypto să-și regândească, de la temelie, modul în care înțelege securitatea. Până nu demult, conversația se purta aproape exclusiv pe teren tehnic. Se discuta despre audituri de contracte inteligente și despre rezistența protocoalelor la atacuri de tip flash loan. Se discuta despre managementul cheilor private. Toate preocupările acestea rămân legitime, doar că, privite singure, nu mai acoperă realitatea din teren.

Infiltrarea umană funcționează pe un registru complet diferit. Nu lasă urme pe blockchain până când paguba nu este deja făcută, iar niciun scanner automat nu o poate detecta. Atacatorul exploatează încrederea, nu o vulnerabilitate software. Un om care apare la ședințe, rezolvă bug-uri și livrează cod ca toți ceilalți nu ridică semne de întrebare. Tocmai acolo stă, de fapt, strategia. A fi un coleg bun suficient de mult încât nimeni să nu se mai întrebe cine ești cu adevărat.

Cercetătorii implicați în program recomandă proiectelor Web3 să adopte verificări mai stricte de identitate pentru oamenii cu acces la infrastructura critică. Monitorizarea activității pe GitHub este un punct de plecare, iar colaborarea cu firme specializate în analiză blockchain, pentru depistarea rutelor de plată suspecte, poate fi făcută fără costuri prohibitive. Securitatea nu mai poate rămâne doar despre cod. Trebuie să fie și despre oamenii care îl scriu.

Un tipar care nu dă semne de încetinire

Raportul Fundației Ethereum pică într-un moment tensionat pentru industria crypto. Presiunile de reglementare cresc peste tot în lume. Atacurile cibernetice devin mai sofisticate cu fiecare trimestru, iar încrederea publicului în capacitatea ecosistemului de a se proteja singur se erodează după fiecare incident major. Descoperirea celor 100 de operativi nord-coreeni activi în 53 de proiecte arată că amenințarea nu este nici ipotetică, nici izolată. Este un tipar coordonat la nivel de stat, cu rădăcini vechi și cu o traiectorie în plină expansiune.

Coreea de Nord a demonstrat, în ultimul deceniu, că poate folosi ecosistemul crypto drept sursă constantă de finanțare pentru programele sale de armament. Atacurile directe, precum cel de la Bybit, coexistă cu infiltrarea pe termen lung a lucrătorilor IT în companii legitime, iar cele două tipuri de operațiuni se susțin reciproc. Informațiile obținute din interior deschid ușile pentru atacurile majore, iar fondurile furate alimentează un aparat militar care preocupă comunitatea internațională. Cercul se închide prin rețele de spălare care folosesc însăși infrastructura descentralizată drept paravan.

Programul ETH Rangers a demonstrat că industria are resursele și expertiza necesare pentru a răspunde acestor amenințări. Întrebarea reală este dacă lecțiile acestei investigații vor fi preluate și aplicate la scară largă sau dacă fiecare proiect va continua să creadă că problema nu îl privește, până în ziua în care va descoperi, prea târziu, că îl privea de la bun început. În cele șase luni cât a durat ancheta, echipa Ketman a livrat o lecție simplă. Răspunsul la acest tip de amenințare nu ține de tehnologie miraculoasă. Ține de atenție sistematică și de cooperare între cercetători independenți. Iar în ultimă instanță, ține de voința instituțională de a trata securitatea drept responsabilitate comună a ecosistemului.

Morala este greu de evitat pentru toată lumea care se învârte astăzi în jurul Web3, fie că vorbim de echipe de dezvoltatori, de investitori sau de utilizatorul obișnuit dintr-un portofel personal. Auditul tehnic nu mai este suficient. Oamenii din spatele codului contează la fel de mult ca liniile pe care le scriu. Atunci când o parte dintre acești oameni lucrează pentru un regim care folosește banii furați pentru a construi rachete, industria nu mai are luxul de a privi în altă parte.

Intrebări frecvente cu răspunsuri scurte

Î: Ce este programul ETH Rangers?

R: ETH Rangers este un program de granturi lansat de Fundația Ethereum la finalul anului 2024, care finanțează cercetători independenți pentru investigarea amenințărilor de securitate din ecosistemul Ethereum. În șase luni, programul a identificat peste 100 de operativi nord-coreeni, a recuperat 5,8 milioane de dolari și a raportat peste 785 de vulnerabilități.

Î: Ce este Ketman Project și ce a descoperit?

R: Ketman Project este o inițiativă finanțată prin ETH Rangers, concentrată pe depistarea dezvoltatorilor falși din organizațiile Web3. Proiectul a identificat 100 de lucrători IT cu legături cu Coreea de Nord și a alertat 53 de proiecte crypto că aveau, sau avuseseră, astfel de persoane în echipele lor.

Î: Cum reușesc lucrătorii IT nord-coreeni să se infiltreze în companii crypto?

R: Operativii aplică pentru poziții de lucru la distanță cu CV-uri și acreditări falsificate, trec interviuri tehnice și se integrează în echipe de dezvoltare. Mulți au competențe tehnice reale și contribuie activ la proiecte, ceea ce face detectarea foarte dificilă. Semnale de alarmă includ reutilizarea avatarelor pe conturi GitHub diferite, expunerea accidentală a unor e-mailuri nelegate de identitatea declarată și setările de limbă ale sistemului de operare care contrazic naționalitatea pretinsă.

Î: Cât au furat hackerii nord-coreeni din industria crypto?

R: Potrivit Chainalysis, actorii cibernetici legați de Coreea de Nord au furat aproximativ 2,02 miliarde de dolari în criptomonede doar în 2025. Cel mai mare atac individual a fost jaful de la Bybit din februarie 2025, cu aproximativ 1,5 miliarde de dolari în Ethereum sustrași dintr-o singură operațiune.

Î: Ce este Lazarus Group?

R: Lazarus Group este un colectiv de hackeri sponsorizat de statul nord-coreean, care operează sub Biroul General de Recunoaștere (RGB), serviciul de informații militare al Phenianului. Grupul este responsabil pentru unele dintre cele mai mari furturi de criptomonede din istorie, între care exploit-ul Ronin Bridge (625 milioane dolari), breșa WazirX (235 milioane dolari) și atacul Bybit (1,5 miliarde dolari).

Î: Ce poate face un proiect Web3 ca să se protejeze de astfel de infiltrări?

R: Recomandările cercetătorilor Ketman includ verificări mai stricte de identitate pentru angajații cu acces la infrastructura critică, monitorizarea activității pe GitHub și colaborarea cu firme specializate în analiză blockchain. De asemenea, utilizarea cadrului standard dezvoltat de Ketman împreună cu Security Alliance (SEAL) ajută la identificarea sistematică a semnalelor de alarmă.