Biuro Kontroli Aktivów Zagranicznych (OFAC) amerykańskiego Departamentu Skarbu umieściło na czarnej liście 10 osób i jedną firmę w związku ze schematem umieszczania fałszywych północnokoreańskich pracowników IT w amerykańskich firmach. Dla amerykańskich pracodawców przypadek ten pokazuje, jak pozornie zwyczajne zatrudnienie zdalne może wiązać się z ryzykiem sankcyjnym, gdyż tożsamość kandydata jest sfabrykowana.

Działanie z 28 października wymierzone było w pośredników działających z Rosji, odpowiedzialnych za przekazywanie kryptowalutowych wynagrodzeń północnokoreańskich pracowników IT w gotówkę dla Pjongjangu. Sankcje zamrażają wszelkie aktywa figurujących osób i firmy na terenie Stanów Zjednoczonych oraz zakazują Amerykanom prowadzenia z nimi interesów — zakaz ten przewiduje kary cywilne lub karne dla osób amerykańskich, które go naruszą.

Rosyjscy pośrednicy w centrum operacji

Dwóch obywateli Rosji, Ilja Aleksandrowicz Bojkow i Witold Wiktorowicz Obertas, stali w centrum operacji, w którą OFAC wymierzyła sankcje za wymienianie kryptowalut na zbywalne środki dla północnokoreańskich spółek-wydmuszek. Według doniesień samemu Obertasowi przypisuje się konwersje kryptowalut na blisko 2 mln dolarów, a także kolejne 1,25 mln dolarów w innych transakcjach walutowych przeprowadzonych dla urzędników KRLD od stycznia 2025 roku.

Bojkow z kolei został uwikłany w pranie około 3,5 mln dolarów od 2024 roku, a powiązano go także z firmami Alis i Amnokgang — obiema objętymi sankcjami przedsiębiorstwami Korei Północnej.

Działanie OFAC wymieniło również dwóch północnokoreańskich kierowników, Kim Ki Hyoka i Kim Hyo Donga, którzy podlegają firmie Chinyong Information Technology Cooperation Company, przedsiębiorstwu, które same otrzymało status sankcyjny od Skarbu w 2023 roku. Powtarzające się statusy pokazują, że Skarb wywiera presję na tę samą sieć przez kolejne lata, zamiast traktować ją jako działanie jednorazowe. Ki Hyok kieruje delegacją pracowników IT w Rosji i od 2024 roku przekazał co najmniej 500 tys. dolarów z powrotem do Korei Północnej, natomiast Hyo Dong, stojący na czele innej grupy, pomagał w obchodzeniu sankcji przy transferach na ponad 100 tys. dolarów.

Jak przepływała kryptowaluta

Według firmy analityki blockchainowej Chainalysis jeden ze śledzonych przez nią przypadków na łańcuchu dotyczył północnokoreańskiego programisty, który pisał kod dla protokołów blockchain i DeFi oraz otrzymywał wynagrodzenia w stablecoinach co dwa tygodnie. Stablecoiny trzymane w portfelach były następnie wymieniane na Ether (ETH) i kierowane przez adresy konsolidacyjne, zanim ostatecznie trafiały do Bojkowa. Rosyjski opiekun przenosił następnie środki do Garantex — objętej amerykańskimi sankcjami rosyjskiej giełdy — w ostatnim etapie przed wypłatą gotówki. Taki ślad — stablecoiny z wypłat wymienione na ETH, skonsolidowane w portfelach opiekuna i wyprowadzone przez sankcjonowaną giełdę — to rodzaj wzorca na łańcuchu, za pomocą którego analitycy wiążą poszczególnych pracowników z jednym aparatem prania pieniędzy.

Chociaż raport OFAC wskazuje, że Obertas zaczął obsługiwać kryptowaluty dla urzędników KRLD w 2025 roku, blog Chainalysis szacuje, że opiekun jest aktywny co najmniej od 2023 roku.

OFAC objęła sankcjami także First Financial and Technical Development Center — kontrolowane przez Koreę Północną przedsięwzięcie z siedzibą w Rosji. Firma zarobiła miliony, wykorzystując AI do pomocy przeszkolonym pracownikom IT w zdobyciu pracy w USA i elsewhere, prowadząc jednocześnie w tle transfery kryptowalut. Wraz z nią wymieniono sześciu jej działaczy: Kim Kyong Ju, Ri Thae Chol, So Hyon Jin, Han Yu Song, Kim Sung Gwan i Hyon Se Il. Według Skarbu zarobili oni dla firmy co najmniej 750 tys. dolarów od 2025 roku.

Sekretarz Skarbu Scott Bessent stwierdził, że rząd Korei Północnej „nadal wymierza działania w amerykańskie firmy i je eksploatuje poprzez oszukańcze działania prowadzone przez swoich zagranicznych pracowników IT, którzy bronią się wrażliwymi danymi i wymuszają na firmach znaczne płatności”.

Zacieśniająca się obława

Sankcje nastąpiły po operacji Departamentu Sprawiedliwości z początku tego miesiąca, która zlikwidowała dziesiątki „farm laptopów” w Teksasie i doprowadziła do dwóch aresztowań. Farmy laptopów przechowują firmowe komputery tak, aby pracownicy za granicą wyglądali jak logujący się z terytorium USA.

Według Chainalysis zespół ekspertów ONZ szacuje, że program pracowników IT przynosi Korei Północnej od 250 mln do 600 mln dolarów rocznie, a pieniądze te płyną do programów zbrojeniowych i rakietowych. Przychody w takiej skali są jednym z powodów, dla których odpowiedź przekształciła się w działanie wielojurysdykcyjne, a nie jednostronne.

Północnokoreańska operacja jest również pod presją ze strony Australii i Unii Europejskiej, które obie zwróciły się przeciwko tej sieci w tym miesiącu.

Tymczasem prezydent Donald Trump naciska na wznowienie rozmów nuklearnych z Pjongjangiem, który wykazuje wobec nich niewielkie zainteresowanie — co sprawia, że egzekwowanie sankcji i dyplomacja biegną równoległymi torami.

Źródło: Cryptopolitan