2026-11-06 03:16:49 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

美国 OFAC 制裁朝鲜 IT 人员网络相关人员与实体

白帽子

2026年11月5日 09:52
广东

去阅读

以下文章来源于慢雾科技
，作者慢雾 AML 团队

慢雾科技
.

慢雾科技是一家专注区块链生态安全的公司，成立于 2018 年 1 月，主要通过“威胁发现到威胁防御一体化因地制宜的安全解决方案”服务了全球许多头部或知名的项目，已有商业客户上千家，客户分布在十几个主要国家与地区。

**近日，美国财政部海外资产控制办公室(OFAC) 宣布，将 10 名个人和 1 个实体列入制裁名单。美国财政部称，这些对象参与协助朝鲜政府运营的海外 IT 人员网络：相关人员利用虚假身份和文件进入美国等国家的企业工作，并将所得收入转移给朝鲜政府。此次行动针对的对象还包括被指协助资金兑换、加密货币转移和团队运营的人员。

（来源：https://home.treasury.gov/news/press-releases/sb0669）

**

**## 制裁行动****

**##

OFAC 此次制裁的对象包括在朝鲜和俄罗斯活动的 IT 人员、团队负责人、资金中间人及相关实体。

公告披露了几组加密货币相关活动：

俄罗斯籍 Vitold Viktorovich Obertas 被指自 2025 年 1 月以来，为朝鲜官员进行了近 200 万美元的加密货币兑换，以及至少 125 万美元的其他货币交易。
Kim Ki Hyok 被指自 2024 年以来，为一支在俄罗斯活动的 IT 人员团队转移了价值近 50 万美元的加密货币。
Kim Hyo Dong 被指为另一支团队提供后勤支持，并协助转移超过 10 万美元的金融资产。
俄罗斯籍 Ilya Aleksandrovich Boykov 被指自 2024 年以来协助相关实体进行约 350 万美元的加密货币兑换和转移。
First Financial and Technical Development Center（FFTDC）被指在俄罗斯部署朝鲜 IT 人员。公告称，该实体的人员自 2025 年以来合计为朝鲜政府创造超过 75 万美元收入。

制裁地址关联分析**

**##

OFAC 当日更新的 SDN 名单列出 8 个与被制裁对象关联的数字货币地址，分布在 Ethereum 和 TRON 两条链上。根据慢雾旗下反洗钱与链上追踪工具 MistTrack 的分析，这些地址之间存在可观察的联系：部分地址直接互相转账，也有多个地址向同一个被标记为交易所充值地址的钱包转入资金。其中，Ethereum 地址 0x761edd5e4546229a0bd35ae99b4d3d01cf4a3510 同时列在 Boykov 和 Obertas 名下，是名单中一个明确的地址交叉点。

Kim Ki Hyok

OFAC 称，Kim Ki Hyok 自 2024 年以来，为一支在俄罗斯活动的 IT 人员团队转移了价值近 50 万美元的加密货币。名单中与他关联的 Ethereum 地址为：

0xE4C9a7F68B1EbA4508f54f07f7378847318dD1A3

这是整份名单里最“干净”也最单薄的一个地址：它只存在了两天，只做了一件事，就是把 5 万 DAI 转进交易所。

这笔资金先经过中间地址 0x4865773f498186d838fe47227804a158cbed51de。8 月 31 日，四个地址先后向该中间地址转入合计约 10 万 DAI。9 月 9 日 06:46，中间地址向 Kim 名下地址转入 5 万 DAI；约 6 分钟后，又转入 0.001 ETH 用于支付手续费。次日 09:39，Kim 名下地址将这 5 万 DAI 转入 Bybit 充值地址 0x197c6c66d9fc674d496ee232f418bd6f6013a13b。

Ilya Aleksandrovich Boykov

OFAC 称，俄罗斯籍 Boykov 自 2024 年以来协助相关实体进行约 350 万美元的加密货币兑换和转移。名单中与他关联的 Ethereum 地址包括：

0x12Ea80238C7d805D003ce793594e92d84A6f4E8d

0x761edd5e4546229a0bd35ae99b4d3d01cf4a3510

MistTrack 对地址 0x12Ea8 的分析显示，该地址活跃期为 2022-11-10 ～ 2025-8-25，共收入 49.5767 ETH、470 万 USDC、463 万 USDT 和 1,022 万 DAI。

它的代币资金有四个明确出口：

50.54%（约 988 万美元）直接转给 BOYKOV/Obertas 的 Bybit 充值地址 0x761edd5e4546229a0bd35ae99b4d3d01cf4a3510，最大单笔为 2024 年 6 月 12 日的 511,000 USDC；还有 13.67 ETH 也转入了该 Bybit 充值地址。
20.47%（约 400 万美元）存进 Bybit 存款地址 0x197c6c66d9fc674d496ee232f418bd6f6013a13b，共 31 笔。
28.88%（约 565 万美元）存进两个 HTX 存款地址 0xee60121c763143a4fb17735ab86b5f0fc5cb1800 和 0x7f78ddf455f9f8eef56c4c9f76b5d53c75dc54ee。第一笔发生在 2023 年 6 月 22 日，此后两年多从未中断。
0.05%（9,870 美元）存进 Binance 存款地址 0x4941c9481e9bb27b74be4e2b6c6fa349f8be99d5

Boykov 与 Obertas 的共同地址：

0x761edd5e4546229a0bd35ae99b4d3d01cf4a3510

这个地址被 MistTrack 标记为 Bybit 充值地址，官方将其同时归属于 Obertas 和 Boykov。

资金构成上，128 笔来自 Boykov 的 0x12Ea80238C7d805D003ce793594e92d84A6f4E8d，占其总流入的 77%，时间跨度从 2023 年 6 月 22 日一直延续到 2025 年 7 月 25 日，该地址向上溯源也涉及到被 MistTrack 标记为 DPRK 的地址。

Boykov 名下另有两个 TRON 地址：TQKoDq5aCrWAciiNtete5pDYVN38i4qFN1 和 TXmrnVgsqCMJncYHTXchuJ5z111BXSj4g3。

地址 TQKoDq5aCrWAciiNtete5pDYVN38i4qFN1 是 Boykov 在波场上的第一个钱包，规模不大，但方向很明确。2022 年 12 月 2 日至 2025 年 12 月 21 日，共收入 873,675 USDT，其中最大的一笔转出为 257,732 USDT 直接付给了 Obertas 的 Bybit 充值地址 TFksjBcHPYqgAax2USheQuaT1ydRKyZRdg，其余去向较分散。

地址 TXmrnVgsqCMJncYHTXchuJ5z111BXSj4g3 是 Boykov 在波场上更集中、更晚启用的钱包，也是他与 Obertas 之间最直接的连接点：2024 年 3 月 21 日至 2025 年 12 月 6 日，共收入 162 万 USDT，它在三个月内把其中的 140 万 USDT（86.2%）以 7 笔交易全部转给 Obertas 的 Bybit 充值地址 TFksjBcHPYqgAax2USheQuaT1ydRKyZRdg。它的资金来源以中等规模客户为主。

这两条 TRON 地址与 TFksjBcHPYqgAax2USheQuaT1ydRKyZRdg 之间的直接转账，为 Boykov 名下地址与 Obertas 名下地址之间的关联提供了链上依据。

除与 Boykov 共同列名的 Ethereum 地址外，OFAC 还将三个 TRON 地址列在 Obertas 名下：

TCV4qdpTxoMyqkn7sSPeRrXmhH5JFxMvmT

TQCBdU4K92oxLAkzwexZpqVZJhmPbtLYMm

TFksjBcHPYqgAax2USheQuaT1ydRKyZRdg

地址 TCV4qdpTxoMyqkn7sSPeRrXmhH5JFxMvmT 被 MistTrack 标记为 HTX 充值地址，2024 年 9 月 10 日至 2025 年 8 月 28 日的 11 个月里，共收入 916 万 USDT。

地址 TQCBdU4K92oxLAkzwexZpqVZJhmPbtLYMm 则为一个有多笔资金进出的地址。分析显示，它在 2022 年 11 月 7 日至 2026 年 2 月 25 日间收到约 1,109 万 USDT，并向其他地址转出资金。其中，约 258 万 USDT 转入 Obertas 自己的 Bybit 充值地址 TFksjBcHPYqgAax2USheQuaT1ydRKyZRdg，约 108 万 USDT 转入 Obertas 的自己的 HTX 充值地址 TCV4qdpTxoMyqkn7sSPeRrXmhH5JFxMvmT。这两笔转账将 TQCBdU4K92oxLAkzwexZpqVZJhmPbtLYMm 与另外两个被列入制裁名单且在 Obertas 名下的地址联系起来。

资金来源里最大的一笔来自 TEvYL8PU8EiC84kAoN67ZhHyUgPfvgVoD8，金额为 1,242,541 USDT，该地址的交易情况较为复杂。

地址 TFksjBcHPYqgAax2USheQuaT1ydRKyZRdg 被 MistTrack 标记为 Bybit 充值地址，该地址在 2023 年 3 月 7 日至 2026 年 10 月 31 日间累计收到约 3,102 万 USDT。

它的资金第二大来源是 Obertas 自己的钱包地址 TQCBdU4K92oxLAkzwexZpqVZJhmPbtLYMm（258 万 USDT），第六大来源是 Boykov 名下的 TXmrnVgsqCMJncYHTXchuJ5z111BXSj4g3（140 万 USDT）。

综合 Ethereum 和 TRON 两条链的记录，可以确认或观察到几类地址关系：

Ethereum 地址 0x761ed 同时列在 Boykov 和 Obertas 名下；Boykov 名下的 0x12Ea8 曾向其转入约 988 万美元。
Boykov 和 Kim 名下的 Ethereum 地址都曾向 0x197c6 转入资金。该地址不在 OFAC 本次公布的 8 个地址中。
Boykov 名下的两个 TRON 地址都曾向 Obertas 名下的 Bybit 充值地址 TFksj 转入 USDT。
Obertas 名下的 TQCBd 向自己名下的 Bybit充值地址 TFksj 和 HTX 充值地址 TCV4q 转入 USDT。

**

*## 朝鲜 IT 人员网络如何运作*

**##

这类活动往往从一份看起来再普通不过的远程工作开始：企业发布职位、收到简历、完成面试，之后寄出电脑，并按月支付薪酬。风险在于，坐在屏幕另一端的人，可能并不是简历上所写的那个人。

部分朝鲜 IT 人员会使用被盗、借用或伪造的身份资料申请远程职位，也会配套准备邮箱、社交媒体账号和职业履历。有些人借助 VPN、代理网络，或身处目标国家的协助者，掩饰自己的真实所在地。企业寄出的电脑可能先送到当地的个人或“笔记本电脑农场”，再由海外人员远程操作。这样一来，企业看到的地址、身份信息和设备位置，未必能反映实际工作者在哪里。

(来源：https://www.npa.go.jp/bureau/cyber/pdf/20260918\_j.pdf)

这些安排通常需要多人配合。有人提供或出租身份，有人代收和保管设备，有人协助开设支付账户，也有人负责管理团队或转移收入。协助者可能知道自己在帮谁，也可能只以为是在提供普通的代收、网络或外包服务。

收入通常以远程工作的薪酬或项目款形式产生。资金转移可能经过第三方银行账户、支付平台和加密货币地址；本次 OFAC 制裁中被点名的部分人员，正是被指协助加密货币兑换、资金转移或团队运营。对企业来说，问题也不止是“员工身份是否真实”。一旦远程人员获得企业账号和设备，他们可能接触代码库、客户资料、内部工具或其他系统。部分人员在被发现后，曾利用此前取得的访问权限窃取企业资料，并以公开或扣押数据为由索要款项。

因此，对企业来说，更实际的做法是把身份核验、设备交付、承包商管理和系统权限放在一起审视：确认谁在工作，也确认对方能访问什么。