Резюме
- OFAC ввело санкции против граждан России и КНДР, которые нацеливались на американские компании с помощью мошеннических ИТ-работников, генерируя доходы в криптовалюте для финансирования северокорейского режима и его оружейных программ.
- Граждане России Илья Александрович Бойков и Витольд Викторович Обертас конвертировали миллионы долларов в криптовалюте от имени ИТ-агентств, которые способствовали трудоустройству ИТ-работников из КНДР в целевые компании под ложными предлогами, позволяя им получать доход.
- Граждане КНДР Ким Ки Хёк и Ким Хё Дон управляли группами ИТ-работников, базирующимися в России, контролируя их работу в компаниях-жертвах и собирая генерируемый ими доход в криптовалюте.
28 октября 2026 года Управление по контролю за иностранными активами (OFAC) Министерства финансов США ввело санкции против 10 физических и одного юридического лица за их роль в управляемых правительством Северной Кореи схемах ИТ-работников, которые приносят сотни миллионов доходов для оружейных программ КНДР.
Эта акция является очередным ударом по разветвленной сети поддерживаемых государством северокорейских агентов, которые тайно ищут работу в легальных компаниях, зарабатывают деньги и передают их дальше для финансирования режима Северной Кореи. Масштабы этой сети растут на протяжении многих лет, создавая повышенный риск для корпораций, обманом нанявших агентов, а также обеспечивая Пхеньян стабильным притоком денежных средств. В данном случае работники КНДР и их пособники использовали граждан России для конвертации криптовалюты в наличные.
Операции с участием ИТ-работников из КНДР охватывают теперь десятки стран и приносят режиму КНДР ориентировочно от $250 до $600 млн годового дохода, согласно данным группы экспертов ООН. Эта угроза вызвала скоординированную реакцию властей США: в мае 2022 года ФБР, Госдепартамент и Минфин выпустили совместное предупреждение с подробным описанием того, как ИТ-работники КНДР используют VPN, украденные личные данные и прокси-инфраструктуру, чтобы выдавать себя за фрилансеров или соискателей не из Северной Кореи.
С тех пор Министерство юстиции США предъявило обвинения лицам, находящимся в США и управлявшим «фермами ноутбуков», которые пересылали оборудование, помогавшее ИТ-работникам из КНДР имитировать присутствие в стране во время работы в американских компаниях. Сегодняшняя акция OFAC направлена против финансовой стороны этого же канала — физических и юридических лиц, которые конвертируют криптовалютные доходы работников в пригодные для использования Пхеняном средства.
Последняя акция направлена против нескольких лиц, которые помогали этой сети конвертировать криптовалюту в наличные. Россияне Витольд Викторович Обертас и Илья Александрович Бойков конвертировали миллионы долларов для подставных компаний, обеспечивавших прикрытие для ИТ-работников КНДР, включая Alis и Amnokang, в отношении обеих из которых ранее были введены санкции. Наше исследование этих россиян показывает, что их связи с данными незаконными сетями уходят корнями в прошлое на годы назад.
Санкции также направлены против двух граждан КНДР — Ким Ки Хёка и Ким Хё Дона, которые напрямую управляли ИТ-работниками КНДР, базирующимися в России. Оба они подчиняются зонтичной компании Chinyong Information Technology Cooperation Company, которую OFAC внесло в санкционные списки в 2023 году за ее роль в схемах с ИТ-работниками КНДР. Наше прошлое исследование рассматривает то, как такие группы, как Chinyong, отмывают криптовалюту для режима.
Санкционированные субъекты содействовали криптовалютным транзакциям для Chinyong, северокорейской государственной подставной компании в сфере ИТ
По данным OFAC, с начала 2025 года Обертас конвертировал криптовалюту на сумму $2 млн для официальных лиц КНДР. Однако наше исследование его ончейн-активности показывает, что эти отношения берут начало в начале 2023 года.
Приведенный ниже график Reactor демонстрирует поток средств, которые напрямую связывают криптовалюту, сгенерированную ИТ-работниками КНДР, с Обертасом. С левой стороны находится работник КНДР, который, согласно нашему исследованию, создавал код для блокчейнов и протоколов DeFi. История входящих транзакций кошелька напоминает историю штатного сотрудника: он получал двухнедельные переводы стейблкоинов в течение нескольких месяцев с конца 2022 по начало 2023 года.
Кошелек ИТ-работника конвертировал свои стейблкоины в ETH и перенаправлял их на адреса консолидации, которые мы отслеживаем как подсанкционные объекты. Оттуда средства поступают к Бойкову, который переправил криптовалюту на Garantex — ныне попавшую под санкции российскую биржу — для обналичивания. Эта ончейн-связь иллюстрирует один из примеров цепочки финансового мошенничества, исчисляющейся миллионами долларов.
Гражданин России Витольд Викторович Обертас (Обертас) также попал под санкции за выполнение роли посредника в незаконных финансовых транзакциях КНДР, включая те, которые связаны с компанией Amnokgang Technology Development Company (Amnokgang), сама попавшей под ограничения в марте за управление делегациями ИТ-работников КНДР.
Как показывает приведенная ниже диаграмма Reactor, кошелек Обертаса получал средства от Amnokgang. Он также делал депозиты на счета как на основных, так и на подсанкционных биржах. Согласно OFAC, Обертас предположительно конвертировал почти $2 млн в криптовалюте в фиатные деньги для официальных лиц КНДР.
OFAC также внесло в санкционный список FFTDC — контролируемую КНДР структуру, действующую в России и задействующую зарубежных ИТ-работников
Еще одной контролируемой КНДР структурой, связанной с сегодняшними санкциями, является базирующийся в России Первый финансово-технический центр (FFTDC), который привлек ИТ-работников, приносящих миллионы долларов Северной Корее. Сегодня против FFTDC были введены санкции.
Эти работники используют инструменты искусственного интеллекта и изощренные методы отмывания денег, включая сложные криптовалютные переводы, для содействия генерации доходов. С 2025 года шесть базирующихся в России ИТ-работников КНДР — Ким Кен Джу, Ри Тхе Чол, Со Хен Джин, Хан Ю Сон, Ким Сон Гван и Хен Се Иль — в совокупности сгенерировали более $750 000 для FFTDC. Все шесть работников попали под санкции.
Использование ИИ знаменует собой значительную эволюцию угрозы, исходящей от ИТ-работников. Было замечено, что северокорейские агенты используют генеративный ИИ для создания резюме под конкретные вакансии, составления убедительных сопроводительных писем, а также подготовки и прохождения технических собеседований. В некоторых случаях работники использовали созданные с помощью ИИ фотографии профиля и дипфейк-видео во время собеседований при найме, чтобы скрыть свою личность. Эти инструменты снижают планку для менее квалифицированных оперативников при прохождении корпоративных проверок, расширяя круг работников, которых режим может задействовать, и усложняя обнаружение для работодателей, полагающихся на интервью и проверку документов в качестве основных средств защиты.
Схема использования криптовалюты КНДР
Сегодняшняя акция является частью последовательных усилий Минфина по противодействию злоупотреблениям Северной Кореей криптовалютой и цифровыми активами в целях обхода санкций. КНДР все чаще прибегает к схемам, связанным с криптовалютой, для генерации доходов, включая мошенничество с ИТ-работниками, спонсируемые государством киберкражи и атаки программ-вымогателей, требующих выплаты в криптовалюте. Исследования Chainalysis задокументировали растущую искушенность КНДР в краже и отмывании криптовалюты: северокорейские хакеры несут ответственность за одни из крупнейших криптовалютных краж в истории.
Мы пометили указанные криптовалютные адреса в нашей линейке продуктов и обновили наши решения для проверки, включив в них всех лиц и организации, попавшие под сегодняшние санкции. Отправка средств на эти адреса или их получение будет вызывать оповещения о санкциях для клиентов KYT в соответствии с настроенными ими правилами оповещений.
Если вы хотите узнать больше о том, как продукты Chainalysis могут помочь защитить вашу организацию от санкционных рисков и выявить активность, связанную с КНДР, запросите демонстрацию.
Часто задаваемые вопросы
Что объявил OFAC 28 октября 2026 года?
OFAC ввел санкции против 10 физических и одного юридического лица за поддержку схем с привлечением IT-работников под руководством северокорейского правительства, которые занимаются мошенничеством в отношении американских компаний и генерируют доходы для незаконных оружейных программ КНДР.
Как работают схемы с участием северокорейских IT-работников?
IT-работники КНДР используют поддельные документы, украденные личные данные и вымышленные личности для получения работы в легитимных компаниях. Режим присваивает большую часть их заработка, в то время как работники также могут использовать доступ к корпоративным сетям для кражи конфиденциальных данных, развертывания вредоносного ПО и взлома бизнес-систем.
Какова роль криптовалюты и финансовых посредников?
Сети, связанные с КНДР, используют криптовалютные транзакции, конвертации и методы отмывания денег для перемещения незаконных доходов. OFAC внес в санкционные списки финансовых посредников, в том числе гражданина России Витольда Викторовича Обертаса, который с января 2025 года провел криптовалютные конвертации почти на 2 миллиона долларов и транзакции с другими валютами на сумму не менее 1,25 миллиона долларов в интересах официальных лиц КНДР.
какую роль сыграли Бойков, Ким Ки Хек и Ким Хьо Дон?
Гражданин России Илья Александрович Бойков оказывал поддержку Alis посредством криптовалютных транзакций, мониторинга и логистической помощи. Гражданин КНДР Ким Ки Хек возглавлял делегацию IT-работников Alis и перевел для группы почти 500 000 долларов в криптовалюте. Ким Хьо Дон возглавлял отдельную делегацию, подчиненную Chinyong, оказывал логистическую помощь, участвовал в обходе санкций и способствовал обороту финансовых активов на сумму более 100 000 долларов.
Что такое FFTDC и почему против него были введены санкции?
Первый финансово-технический центр развития (FFTDC) — это подконтрольная КНДР организация, расположенная в России, которая привлекает северокорейских IT-работников для генерации доходов в пользу режима. OFAC ввел санкции против FFTDC и шести IT-работников из КНДР, которые в совокупности с 2025 года принесли организации доход в размере более 750 000 долларов.
Как предприятия могут выявить санкционные риски, связанные с КНДР?
Предприятия могут проверять попавших под санкции физических, юридических лиц и криптовалютные адреса; отслеживать риски по транзакциям; а также расследовать подозрительную активность, связанную с зарубежными IT-работниками, криптовалютными переводами и возможным обходом санкций. Клиенты Chainalysis могут использовать обновленные средства проверки и оповещения KYT для выявления рисков, связанных с адресами, попавшими под эти санкции.
Этот веб-сайт содержит ссылки на сторонние сайты, которые не контролируются Chainalysis, Inc. или ее аффилированными лицами (совместно именуемыми «Chainalysis»). Доступ к такой информации не означает связи с Chainalysis, ее одобрения, утверждения или рекомендации в отношении сайта или его операторов, и Chainalysis не несет ответственности за продукты, услуги или другой контент, размещенный на них.
Этот материал предоставляется исключительно в информационных целях и не предназначен для предоставления юридических, налоговых, финансовых или инвестиционных консультаций. Получатели должны проконсультироваться со своими собственными советниками, прежде чем принимать решения такого рода. Chainalysis не несет никакой ответственности за любые решения, а также за любые другие действия или бездействие в связи с использованием Получателем данного материала.
Chainalysis не гарантирует и не ручается за точность, полноту, своевременность, применимость или действительность информации в этом отчете и не несет ответственности за любые претензии, связанные с ошибками, упущениями или другими неточностями в любой части такого материала.
