北韓國家駭客組織為繞過各國政府的反制，開始在 LinkedIn 招募伊朗、黎巴嫩等第三國 IT 工作者，以每月 500 美元加密貨幣酬勞擔任「面試代理人」，應徵成功後由北韓特工接手職位，持續竊取加密貨幣與企業機密。
（前情提要：北韓駭客 2025 年盜竊創紀錄：竊取 20.2 億美元加密貨幣，洗錢週期約 45 天）
（背景補充：Cloudflare 推出 Mesh 取代 VPN：讓 AI 代理安全存取你的內網、免費提供 50 節點）
北韓國家駭客組織的入侵手法又升級了。NBC 週五報導指出，北韓（DPRK）現在會招募伊朗、黎巴嫩等第三國 IT 工作者，讓他們以個人名義應徵美國公司的遠端職位，面試透過後再把職位轉交給北韓特工接手。目的很明確：滲透企業系統、竊取加密貨幣與機密資料，資金最終迴流資助北韓的武器計畫。
IC3 警報：北韓 IT 工作者是「內部威脅」
美國 FBI 網路犯罪中心（IC3）今年 7 月聯合多個外國機構發布警報檔案，明確指出北韓 IT 工作者的威脅模式：
- 尋求合約的「最終目的」是將薪水匯回北韓的母機關
- 對僱用他們的公司構成「內部威脅」（insider threat）
- 涉及三大類犯罪：資料外洩、加密貨幣竊取、機密資訊竊取
這份警報的關鍵在於「內部威脅」的定義，這些人不是外部駭客，而是合法受僱的員工。他們擁有系統存取許可權、熟悉內部流程，防範難度遠高於傳統的外部攻擊。
「面試代理人」模式：用外人過關，自己接手
隨著美國與各國政府加強對北韓 IT 工作者的背景調查與反制，北韓的對策是「借殼」：找第三國 IT 工作者當「面試代理人」（interview associates）。
NBC 報導詳細描述了操作流程：
- 北韓招募者上 LinkedIn 主動聯絡伊朗、黎巴嫩等國的 IT 工程師
- 提供每月 500 美元加密貨幣酬勞，要求對方擔任兼職「面試代理人」
- 代理人以個人名義應徵遠端工作，透過技術面試與背景調查
- 拿到工作合約後，職位由北韓特工接手（可能透過遠端接管、帳號共用或代理人逐步退出）
這個模式的核心優勢是：代理人來自第三國，避開了對北韓籍應徵者的直接篩檢。而 500 美元的酬勞對這些國家的 IT 工作者而言，是一筆相當誘人的額外收入。
歷史案例：Consensys 曾被北韓「外包」
這不是理論上的風險。加密產業已有實際案例。
Cointelegraph 今年 5 月報導，區塊鏈基礎設施公司 Consensys 曾經無意間將開發工作外包給一名北韓駭客。該駭客透過中介公司偽裝成合法開發者，最終被資安團隊發現。這起事件暴露了加密產業在遠端聘僱流程上的盲點，當工作完全透過線上平台進行、身分驗證不夠嚴格時，北韓駭客可以相對輕鬆地偽裝。
資料背後：20 億美元加密貨幣，年增 51%
北韓的加密貨幣竊取活動規模已經達到國家級收入來源的程度。
根據資安公司 CrowdStrike 報告，2025 年北韓國家駭客與相關威脅行為者造成的加密貨幣損失超過 20 億美元，年增率達 51%。這些資金透過複雜的洗錢鏈路（包括混合器、跨鏈橋、多個交易所）轉化為法幣，最終流入北韓的武器開發計畫。
韓國銀行（Bank of Korea）的資料進一步印證了加密貨幣對北韓經濟的重要性：儘管面臨全球制裁，北韓 2025 年 GDP 仍增長 3.5%。在傳統外匯管道被切斷的情況下，加密貨幣竊取幾乎是北韓維持武器計畫的關鍵收入來源。
為什麼是加密貨幣？
北韓選擇加密貨幣作為竊取目標與洗錢工具，原因很直接：
- 跨國界：不受傳統銀行制裁影響，資金可以在全球範圍內快速轉移
- 匿名性：鏈上追蹤技術雖存在，但對缺乏資源或技術的機構而言，追蹤成本高於收益
- 加密產業的遠端文化：Web3 公司普遍採用遠端聘僱、全球招募，背景調查標準不統一
後續觀察
這次 NBC 與 IC3 揭露的「面試代理人」模式，代表北韓的入侵策略已經進入「人力資源戰」階段。他們不再只靠技術突破，而是利用全球遠端工作的漏洞，以低成本（每人每月 500 美元）獲取合法的企業內部存取權。
對僱用遠端開發者的公司而言，單純依賴 LinkedIn 履歷與技術面試已經不夠。背景調查需要涵蓋：應徵者的實際地理位置與公司登記所在地是否一致、是否有異常的通訊模式、以及更深入的技術面試流程（例如要求即時編碼並解釋邏輯，而非只提交程式碼）。
對加密產業來說，這更是一記警鐘。Web3 的「去中心化聘僱」文化若缺乏適當的驗證機制，可能成為北韓國家駭客組織的後門。
📍相關報導📍
北韓駭客 2025 年盜竊創紀錄：竊取 20.2 億美元加密貨幣，洗錢週期約 45 天
境外交易所倒閉也要報！韓國國稅廳：虛擬資產海外帳戶破產後仍須申報
GWDC 2026 KOREA · Hackathon 全球招募開啟：$100K 現金與生態資源護航，全球 Builder 齊聚首爾共建 AI × Web3
