Tôi đã phỏng vấn một hacker mã hóa người Triều Tiên: thích "Frozen", không nói được một lời xấu về Kim Jong-un

Tác giả gốc: Unchained Crypto

Biên dịch: TechFlow

Tóm tắt từ TechFlow: Một phóng viên người Mỹ gốc Hàn đã cải trang thành nhà tuyển dụng và phỏng vấn qua video một nghi phạm hacker cấp quốc gia Triều Tiên. Người này có kỹ thuật vững vàng, có thể đọc tài liệu dành cho nhà phát triển theo thời gian thực và trả lời ngay lập tức, tự xưng đến từ Singapore nhưng mang giọng Hàn Quốc, bộ phim Disney yêu thích nhất là "Frozen". Khi buổi phỏng vấn đến câu hỏi cuối cùng, "Hãy nói một câu xấu về Kim Jong-un." Anh ta im lặng một lúc, rồi rời khỏi Zoom.

Là một người Mỹ gốc Hàn, tổ tiên của tôi năm xưa đã phải chạy trốn khỏi Bình Nhưỡng. Với tôi, Triều Tiên luôn là một nơi có sức hút phức tạp.

Vì vậy, khi chuyên gia an ninh Triều Tiên Taylor Monahan cùng Nick Bax của SEAL Alliance và Ump Labs hỏi tôi có muốn tự mình phỏng vấn một nhà phát triển tiền mã hóa Triều Tiên đang ứng tuyển vào Ump Labs hay không, tôi đã đồng ý không chút do dự.

Các hacker hàng đầu của Triều Tiên trong nhiều năm qua đã liên tục đánh cắp tiền mã hóa cho chế độ độc tài, theo ước tính của TRM Labs, tổng số tiền đã vượt quá 6 tỷ USD. Ngay cả các công ty lâu đời như Consensys cũng từng vô tình thuê những "công nhân IT" mà FBI và Bộ Tư pháp Mỹ gọi là người Triều Tiên.

Năm 2024, CoinDesk là hãng truyền thông đầu tiên đưa tin về mức độ phổ biến của vấn đề này trong ngành — các dự án nổi tiếng như Cosmos Hub, Fantom, Sushi, Yearn Finance đều từng thuê hacker cấp quốc gia Triều Tiên mà không hề hay biết.

Như Monahan đã nói trong tập gần đây của podcast Uneasy Money: "Mọi công ty tiền mã hóa có quy mô nhất định, ít nhất là từ năm 2020, đều đã có sự thâm nhập của công nhân IT Triều Tiên. Nhiều công ty thậm chí có tới mười người cùng lúc."

Khi nhận nhiệm vụ này, mục tiêu hàng đầu trong đầu tôi là: khiến nhà phát triển kia phải nói điều gì đó khó nghe về nhà độc tài Triều Tiên Kim Jong-un. Đây được công nhận là "kryptonite" đối với người Triều Tiên, phần lớn các nhà phát triển Triều Tiên sẽ lập tức dừng buổi phỏng vấn khi bị yêu cầu làm điều này.

Đối với một người Mỹ có thể công khai chửi Tổng thống Trump "cút đi" trên Twitter, việc người Triều Tiên không thể đáp ứng một yêu cầu đơn giản như vậy gần như khiến người ta cảm thấy vô lý. Nhưng chế độ độc tài duy trì quyền lực chính bằng cách đó — kiểm soát tư tưởng người dân qua tẩy não, cô lập họ khỏi mọi thông tin bên ngoài, rồi dùng hình phạt thể xác tàn khốc để thi hành kỷ luật. Theo tổ chức phi chính phủ quốc tế Liberty in North Korea, "ngay cả sự chỉ trích nhẹ nhất đối với Kim Jong-un cũng có thể khiến cả gia đình phải sống quãng đời còn lại trong trại tập trung dành cho tù chính trị."

Mặc dù tôi đã biết những điều này hơn mười năm nay, tôi vẫn muốn tận mắt chứng kiến điều đó xảy ra thực sự.

Bối cảnh trước đó

Monahan và Bax đưa cho tôi xem một tài liệu, liệt kê tài khoản Github của công nhân IT này, các tài khoản trực tuyến liên kết với email của anh ta, kinh nghiệm làm việc tại nhiều dự án tiền mã hóa như GameSwap, MetaPlay và Cook Protocol, cũng như mối liên hệ trên chuỗi giữa giao dịch ví tiền mã hóa của anh ta với các giao dịch khác của Triều Tiên. Tài liệu còn kèm một ảnh chụp màn hình — thông báo của một đội ngũ bị cáo buộc là do anh ta hack, với ảnh đại diện của anh ta trong đó.

Mặc dù những điều này mang tính buộc tội, nhưng các manh mối liên kết với nhau rất chặt chẽ. Sau đó tôi lên cuộc gọi video và xác nhận anh ta chính là người trong bức ảnh của thông báo hack đó, bức ảnh lại liên kết với những địa chỉ email, hồ sơ cá nhân và địa chỉ ví tiền mã hóa kia.

Những thông tin nhận dạng này có vẻ chính xác và có thể xác minh (tất nhiên cũng cần lưu ý rằng công nhân IT Triều Tiên đôi khi vận hành các tài khoản Github cụ thể theo nhóm), nhưng có hai phần không khớp. Thứ nhất, anh ta khai sống ở Long Beach, California, Mỹ; thứ hai, tên tiếng Anh của anh ta là Justin Lim. (Anh ta còn dùng một bí danh khác là Jikun Liao, xét đến việc họ này là họ Trung Quốc, rất có thể là bịa đặt hoặc đánh cắp.) Nơi cư trú anh ta khai báo là một manh mối tôi có thể kéo theo để cố khiến anh ta lộ tẩy.

Vừa đặc quyền lại vừa không tự do

Việc anh ta có bất kỳ sự hiện diện trực tuyến nào đã khiến anh ta hoàn toàn khác biệt với đại đa số đồng bào Triều Tiên — những người không chỉ bị cấm sử dụng internet, mà phần lớn còn không được phép truy cập cả mạng nội bộ quốc gia. Ngay cả điện thoại thông minh do nhà nước Triều Tiên cấp phát cũng không có chức năng tự do duyệt web nội bộ. Trong "vương quốc ẩn dật" này, người Triều Tiên bình thường tiếp xúc với bất kỳ phương tiện truyền thông nước ngoài nào đều có thể đối mặt với án tử hình, lao động cải tạo hoặc bị chỉ trích công khai.

Điều khiến anh ta trở nên khác biệt là: một số hồ sơ trực tuyến của anh ta cho thấy, anh ta rất có thể thường trú tại Vladivostok, Nga. Trong khi đồng bào của anh ta không chỉ bị cấm sống ở nước ngoài, mà ngay cả việc đi lại trong nước cũng cần giấy phép.

Nhưng nghĩ kỹ lại, việc anh ta có những đặc quyền này là điều dễ hiểu — anh ta là hacker cấp quốc gia Triều Tiên, đây là "vinh dự" chỉ dành cho tầng lớp tinh hoa.

Hai người Hàn Quốc giả làm người Trung Quốc

Bax và Monahan còn tiết lộ một chi tiết: người này bị cáo buộc đã đánh cắp khoảng 2,7 triệu USD từ MetaPlay vào năm 2022. Vậy nên anh ta thực sự có tài. Tôi hơi lo anh ta sẽ nhận ra tôi không phải nhà tuyển dụng thực thụ mà là phóng viên, thậm chí có thể hack ngược lại hệ thống của tôi để tìm ra tôi là ai.

Bax đã giúp tôi soạn câu hỏi phỏng vấn, cho tôi biết phạm vi câu trả lời phù hợp là gì, để tôi có thể đưa ra phản ứng và truy vấn hợp lý. Chúng tôi cũng bàn bạc xem nền tảng hội nghị video nào có thể đảm bảo an toàn cho tôi mà không cần dùng VPN, và đặt cho vai nhà tuyển dụng của tôi một cái tên: Sophie Wang.

Nghĩ cũng thú vị — tôi và anh ta, hai người Hàn Quốc, mỗi người dùng họ Trung Quốc giả để ngụy trang thân phận.

Tôi vừa phấn khích vừa căng thẳng, sắp được đối mặt (ít nhất là qua màn hình) với "hacker của tôi". Nick đã cấp cho tôi một email công việc của Ump Labs và đặt cuộc họp Zoom vào lúc 2 giờ chiều thứ Sáu (giờ miền Đông), tức 4 giờ sáng thứ Bảy đối với anh ta (giờ Vladivostok). Thời điểm này rất kỳ lạ, nhưng xét đến bản chất công việc của anh ta là một dạng lao động cưỡng bức, điều đó có vẻ hợp lý. Sau khi diễn tập với Bax một lượt, tôi đã sẵn sàng.

Tội phạm máu lạnh hay người lao động vô cảm?

Khoảnh khắc đó đã đến. Cuối cùng tôi cũng đối mặt ảo với một kẻ lừa đảo, trộm cắp tàn nhẫn trong tưởng tượng của tôi — một "công nhân IT" Triều Tiên.

Tuy nhiên, ấn tượng đầu tiên của tôi là: một chàng trai trẻ trầm lặng, khuôn mặt baby, hướng nội, đeo tai nghe có micro, mic kêu ù ù, làm việc dưới ánh đèn huỳnh quang, trông chẳng khác gì nhân viên tổng đài chăm sóc khách hàng. Trông anh ta khoảng 22 tuổi.

Tôi bắt đầu bằng những câu hỏi tán gẫu thăm dò mà Bax và tôi đã chuẩn bị từ trước, muốn tìm sơ hở trong địa chỉ Long Beach mà anh ta khai. Nhưng tôi thấy khó gây áp lực ở những câu hỏi này, vì chúng về bản chất chỉ là chuyện phiếm, tôi không muốn ra vẻ thẩm vấn ngay từ đầu, như vậy sẽ lộ thân phận.

Ví dụ, tôi hỏi thời tiết ở Long Beach thế nào, Los Angeles gần đây có chuyện gì không, anh có từng đến Disney không. Rồi tôi giả vờ không chắc công viên Disney ở California là tên Disney Land hay Disney World, xem anh ta có thể giúp tôi bổ sung không. Suốt quá trình anh ta chỉ trả lời từng từ một, còn tên Disney thì anh ta hoàn toàn không đáp lại.

Tôi hỏi anh ta thường thích làm gì, anh ta trả lời: "Đi dạo mua sắm" (window shopping), dù câu trả lời hơi kỳ lạ, nhưng cũng không phải là sơ hở có thể vạch trần ngay lúc đó.

Anh ta giống một kẻ mọt sách công nghệ thờ ơ, thậm chí không cảm xúc hơn. Có lúc tôi còn nghi ngờ anh ta đang đọc theo văn bản chuẩn bị sẵn. Thông tin duy nhất có chút màu sắc cá nhân là anh ta nói thích chơi Dota 2. Nhưng nói đi cũng phải nói lại, liệu đó có phải là lời thoại bịa ra để trông giống một lập trình viên bình thường không? Dù sao đi nữa, cảm giác tổng thể của tôi là: anh ta chỉ đang cố gắng tồn tại, thậm chí có thể nói là chỉ đang hoàn thành "công việc" của mình — được tuyển dụng, rồi chuyển tiền về cho chế độ độc tài Triều Tiên.

Bax và Monahan rất mong tôi hỏi anh ta bộ phim Disney yêu thích nhất là gì, và đã báo trước cho tôi rằng, "Frozen" dường như là câu trả lời mà các nhà phát triển Triều Tiên hay nói nhất. Quả nhiên, Lim xác nhận bộ phim Disney yêu thích nhất của anh ta là "Frozen".

Anh ta nói với tôi rằng mình đến từ Singapore. Điều này khá buồn cười, vì giọng nói khi anh ta nói "window shopping" nghe rõ là giọng Hàn Quốc, nhưng tôi tạm thời không định vạch trần. Tôi vẫn đang chờ, vẫn đang chờ cao trào đến.

Chẳng trách những nhà phát triển Triều Tiên này được tuyển dụng

Tiếp theo, tôi hoàn thành quy trình tuyển dụng giả cho Ump Labs. Kết luận của tôi là: anh ta có thể thực sự là một kỹ sư blockchain khá có năng lực. Anh ta trông có vẻ tự hào khi kể về cách mình giải quyết một vấn đề — The Graph trên mạng Velas có tốc độ lập chỉ mục không theo kịp tốc