近日，美国财政部海外资产控制办公室(OFAC) 宣布，将 10 名个人和 1 个实体列入制裁名单。美国财政部称，这些对象参与协助朝鲜政府运营的海外 IT 人员网络：相关人员利用虚假身份和文件进入美国等国家的企业工作，并将所得收入转移给朝鲜政府。此次行动针对的对象还包括被指协助资金兑换、加密货币转移和团队运营的人员。

（来源：https://home.treasury.gov/news/press-releases/sb0669）

制裁行动

OFAC 此次制裁的对象包括在朝鲜和俄罗斯活动的 IT 人员、团队负责人、资金中间人及相关实体。

公告披露了几组加密货币相关活动：

  • 俄罗斯籍 Vitold Viktorovich Obertas 被指自 2025 年 1 月以来，为朝鲜官员进行了近 200 万美元的加密货币兑换，以及至少 125 万美元的其他货币交易。

  • Kim Ki Hyok 被指自 2024 年以来，为一支在俄罗斯活动的 IT 人员团队转移了价值近 50 万美元的加密货币。

  • Kim Hyo Dong 被指为另一支团队提供后勤支持，并协助转移超过 10 万美元的金融资产。

  • 俄罗斯籍 Ilya Aleksandrovich Boykov 被指自 2024 年以来协助相关实体进行约 350 万美元的加密货币兑换和转移。

  • First Financial and Technical Development Center（FFTDC）被指在俄罗斯部署朝鲜 IT 人员。公告称，该实体的人员自 2025 年以来合计为朝鲜政府创造超过 75 万美元收入。

制裁地址关联分析

OFAC 当日更新的 SDN 名单列出 8 个与被制裁对象关联的数字货币地址，分布在 Ethereum 和 TRON 两条链上。根据慢雾旗下反洗钱与链上追踪工具 MistTrack 的分析，这些地址之间存在可观察的联系：部分地址直接互相转账，也有多个地址向同一个被标记为交易所充值地址的钱包转入资金。其中，Ethereum 地址 0x761edd5e4546229a0bd35ae99b4d3d01cf4a3510 同时列在 Boykov 和 Obertas 名下，是名单中一个明确的地址交叉点。

Kim Ki Hyok

OFAC 称，Kim Ki Hyok 自 2024 年以来，为一支在俄罗斯活动的 IT 人员团队转移了价值近 50 万美元的加密货币。名单中与他关联的 Ethereum 地址为：

0xE4C9a7F68B1EbA4508f54f07f7378847318dD1A3

这是整份名单里最“干净”也最单薄的一个地址：它只存在了两天，只做了一件事，就是把 5 万 DAI 转进交易所。

这笔资金先经过中间地址 0x4865773f498186d838fe47227804a158cbed51de。8 月 31 日，四个地址先后向该中间地址转入合计约 10 万 DAI。9 月 9 日 06:46，中间地址向 Kim 名下地址转入 5 万 DAI；约 6 分钟后，又转入 0.001 ETH 用于支付手续费。次日 09:39，Kim 名下地址将这 5 万 DAI 转入 Bybit 充值地址 0x197c6c66d9fc674d496ee232f418bd6f6013a13b。

Ilya Aleksandrovich Boykov

OFAC 称，俄罗斯籍 Boykov 自 2024 年以来协助相关实体进行约 350 万美元的加密货币兑换和转移。名单中与他关联的 Ethereum 地址包括：

0x12Ea80238C7d805D003ce793594e92d84A6f4E8d

0x761edd5e4546229a0bd35ae99b4d3d01cf4a3510

MistTrack 对地址 0x12Ea8 的分析显示，该地址活跃期为 2022-11-10 ～ 2025-8-25，共收入 49.5767 ETH、470 万 USDC、463 万 USDT 和 1,022 万 DAI。

它的代币资金有四个明确出口：

  • 50.54%（约 988 万美元）直接转给 BOYKOV/Obertas 的 Bybit 充值地址 0x761edd5e4546229a0bd35ae99b4d3d01cf4a3510，最大单笔为 2024 年 6 月 12 日的 511,000 USDC；还有 13.67 ETH 也转入了该 Bybit 充值地址。

  • 20.47%（约 400 万美元）存进 Bybit 存款地址 0x197c6c66d9fc674d496ee232f418bd6f6013a13b，共 31 笔。

  • 28.88%（约 565 万美元）存进两个 HTX 存款地址 0xee60121c763143a4fb17735ab86b5f0fc5cb1800 和 0x7f78ddf455f9f8eef56c4c9f76b5d53c75dc54ee。第一笔发生在 2023 年 6 月 22 日，此后两年多从未中断。

  • 0.05%（9,870 美元）存进 Binance 存款地址 0x4941c9481e9bb27b74be4e2b6c6fa349f8be99d5

Boykov 与 Obertas 的共同地址：

0x761edd5e4546229a0bd35ae99b4d3d01cf4a3510

这个地址被 MistTrack 标记为 Bybit 充值地址，官方将其同时归属于 Obertas 和 Boykov。

资金构成上，128 笔来自 Boykov 的 0x12Ea80238C7d805D003ce793594e92d84A6f4E8d，占其总流入的 77%，时间跨度从 2023 年 6 月 22 日一直延续到 2025 年 7 月 25 日，该地址向上溯源也涉及到被 MistTrack 标记为 DPRK 的地址。

Boykov 名下另有两个 TRON 地址：TQKoDq5aCrWAciiNtete5pDYVN38i4qFN1 和 TXmrnVgsqCMJncYHTXchuJ5z111BXSj4g3。

地址 TQKoDq5aCrWAciiNtete5pDYVN38i4qFN1 是 Boykov 在波场上的第一个钱包，规模不大，但方向很明确。2022 年 12 月 2 日至 2025 年 12 月 21 日，共收入 873,675 USDT，其中最大的一笔转出为 257,732 USDT 直接付给了 Obertas 的 Bybit 充值地址 TFksjBcHPYqgAax2USheQuaT1ydRKyZRdg，其余去向较分散。

地址 TXmrnVgsqCMJncYHTXchuJ5z111BXSj4g3 是 Boykov 在波场上更集中、更晚启用的钱包，也是他与 Obertas 之间最直接的连接点：2024 年 3 月 21 日至 2025 年 12 月 6 日，共收入 162 万 USDT，它在三个月内把其中的 140 万 USDT（86.2%）以 7 笔交易全部转给 Obertas 的 Bybit 充值地址 TFksjBcHPYqgAax2USheQuaT1ydRKyZRdg。它的资金来源以中等规模客户为主。

这两条 TRON 地址与 TFksjBcHPYqgAax2USheQuaT1ydRKyZRdg 之间的直接转账，为 Boykov 名下地址与 Obertas 名下地址之间的关联提供了链上依据。

除与 Boykov 共同列名的 Ethereum 地址外，OFAC 还将三个 TRON 地址列在 Obertas 名下：

TCV4qdpTxoMyqkn7sSPeRrXmhH5JFxMvmT

TQCBdU4K92oxLAkzwexZpqVZJhmPbtLYMm

TFksjBcHPYqgAax2USheQuaT1ydRKyZRdg

地址 TCV4qdpTxoMyqkn7sSPeRrXmhH5JFxMvmT 被 MistTrack 标记为 HTX 充值地址，2024 年 9 月 10 日至 2025 年 8 月 28 日的 11 个月里，共收入 916 万 USDT。

地址 TQCBdU4K92oxLAkzwexZpqVZJhmPbtLYMm 则为一个有多笔资金进出的地址。分析显示，它在 2022 年 11 月 7 日至 2026 年 2 月 25 日间收到约 1,109 万 USDT，并向其他地址转出资金。其中，约 258 万 USDT 转入 Obertas 自己的 Bybit 充值地址 TFksjBcHPYqgAax2USheQuaT1ydRKyZRdg，约 108 万 USDT 转入 Obertas 的 自己的 HTX 充值地址 TCV4qdpTxoMyqkn7sSPeRrXmhH5JFxMvmT。这两笔转账将 TQCBdU4K92oxLAkzwexZpqVZJhmPbtLYMm 与另外两个被列入制裁名单且在 Obertas 名下的地址联系起来。

资金来源里最大的一笔来自 TEvYL8PU8EiC84kAoN67ZhHyUgPfvgVoD8，金额为 1,242,541 USDT，该地址的交易情况较为复杂。

地址 TFksjBcHPYqgAax2USheQuaT1ydRKyZRdg 被 MistTrack 标记为 Bybit 充值地址，该地址在 2023 年 3 月 7 日至 2026 年 10 月 31 日间累计收到约 3,102 万 USDT。

它的资金第二大来源是 Obertas 自己的钱包地址 TQCBdU4K92oxLAkzwexZpqVZJhmPbtLYMm（258 万 USDT），第六大来源是 Boykov 名下的 TXmrnVgsqCMJncYHTXchuJ5z111BXSj4g3（140 万 USDT）。

综合 Ethereum 和 TRON 两条链的记录，可以确认或观察到几类地址关系：

  • Ethereum 地址 0x761ed 同时列在 Boykov 和 Obertas 名下；Boykov 名下的 0x12Ea8 曾向其转入约 988 万美元。

  • Boykov 和 Kim 名下的 Ethereum 地址都曾向 0x197c6 转入资金。该地址不在 OFAC 本次公布的 8 个地址中。

  • Boykov 名下的两个 TRON 地址都曾向 Obertas 名下的 Bybit 充值地址 TFksj 转入 USDT。

  • Obertas 名下的 TQCBd 向自己名下的 Bybit充值地址 TFksj 和 HTX 充值地址 TCV4q 转入 USDT。

朝鲜 IT 人员网络如何运作

这类活动往往从一份看起来再普通不过的远程工作开始：企业发布职位、收到简历、完成面试，之后寄出电脑，并按月支付薪酬。风险在于，坐在屏幕另一端的人，可能并不是简历上所写的那个人。

部分朝鲜 IT 人员会使用被盗、借用或伪造的身份资料申请远程职位，也会配套准备邮箱、社交媒体账号和职业履历。有些人借助 VPN、代理网络，或身处目标国家的协助者，掩饰自己的真实所在地。企业寄出的电脑可能先送到当地的个人或“笔记本电脑农场”，再由海外人员远程操作。这样一来，企业看到的地址、身份信息和设备位置，未必能反映实际工作者在哪里。

(来源：https://www.npa.go.jp/bureau/cyber/pdf/20260918_j.pdf)

这些安排通常需要多人配合。有人提供或出租身份，有人代收和保管设备，有人协助开设支付账户，也有人负责管理团队或转移收入。协助者可能知道自己在帮谁，也可能只以为是在提供普通的代收、网络或外包服务。

收入通常以远程工作的薪酬或项目款形式产生。资金转移可能经过第三方银行账户、支付平台和加密货币地址；本次 OFAC 制裁中被点名的部分人员，正是被指协助加密货币兑换、资金转移或团队运营。对企业来说，问题也不止是“员工身份是否真实”。一旦远程人员获得企业账号和设备，他们可能接触代码库、客户资料、内部工具或其他系统。部分人员在被发现后，曾利用此前取得的访问权限窃取企业资料，并以公开或扣押数据为由索要款项。

因此，对企业来说，更实际的做法是把身份核验、设备交付、承包商管理和系统权限放在一起审视：确认谁在工作，也确认对方能访问什么。

结语

朝鲜 IT 人员带来的风险可能从招聘环节一路延伸到设备、系统权限。核验候选人时，除了检查身份和履历，也要留意其所在地、设备收件地址与收款账户是否相互吻合；对远程员工、外包人员和第三方服务商，则应持续确认设备由谁实际使用、账号能访问哪些系统，并避免给予超出工作需要的权限。

对于加密货币交易平台、托管方和支付服务商等，OFAC 名单中的个人、实体及钱包地址也应纳入日常筛查。慢雾已标记此次行动涉及的受制裁地址，MistTrack 可用于查询地址标签和追踪资金流向；慢雾 KYT 支持持续交易监测与可配置的风控规则，为机构识别和复核链上风险提供辅助。

声明：本文来自慢雾科技，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。