美国财政部制裁10人及一实体,涉朝鲜IT员工加密货币套现

十名个人与一家实体被点名

美国财政部通过外国资产控制办公室(OFAC)宣布制裁10名个人和1家实体,理由是他们协助朝鲜IT员工以虚假身份进入正规企业任职,并将这些人的加密货币工资兑换成现金输送给平壤当局。本轮制裁点名俄罗斯公民Ilya Aleksandrovich Boykov和Vitold Viktorovich Obertas,两人据称为涉案的空壳公司套现了数百万美元的加密货币。按照财政部的描述,这些收入最终流入了朝鲜的武器项目。

规模并不小。联合国专家小组估计,这一隐蔽就业网络每年为平壤带来2.5亿至6亿美元收入,美方评估则认为年入最高可达6亿美元。这套手法多年来几乎没有变化:用伪造身份和窃取的凭证通过招聘审核,工资大部分汇往境外,员工本人只留下足以维持正常形象的份额。被制裁名单还包括在俄罗斯境内管理朝鲜IT员工的Kim Ki-hyok和Kim Hyo-dong,以及与该项目关联、位于俄罗斯的一家机构。自2025年起,与该中心有关的6名IT员工已向其输送超过75万美元的收入。

在政府出手之前,私营研究者已经摸清了部分脉络。4月,链上调查员ZachXBT公布记录,显示一个隐匿的朝鲜开发者小组通过加密货币获得超过350万美元收入。安全研究员Taylor Monahan则指出,与平壤相关的开发者曾向SushiSwap、THORChain等协议提交代码。OFAC将此次行动定位为对金融中介环节的打击,也就是把伪装工资变成可用硬通货的那一层。每项制裁都会冻结目标在美国境内的关联资产,并禁止美国人与其交易。

从双周稳定币工资到Garantex

这套兑换链条如今已有完整的记录。一份Chainalysis报告追踪了一名曾向区块链和去中心化金融项目提交代码的开发者的资金路径。从2022年底到2023年初,该员工的钱包以每两周一次的节奏收取稳定币入账,与正常发薪周期完全吻合。资金随后被兑换成以太坊(ETH),经由与被制裁实体关联的归集钱包地址汇总,再转到Boykov手中,由其转送至俄罗斯加密交易所Garantex,该交易所后来被美方列入黑名单。

固定日期发放的稳定币工资之所以成为这类隐匿就业的默认资金方式,在于它即时结算、无需银行即可跨境流转。换成以太坊这一步,则在工资与法币出口之间又加了一层隔离,让价值脱离最初的稳定币路径。Obertas在记录中以朝鲜官员金融中介的身份出现。他的钱包收到过Amnokgang Technology Development Company(一家管理海外IT员工派驻团组的被制裁机构)的资金。OFAC称,他已替这些官员将价值近200万美元的加密货币兑换为法币。这些网络真正触碰受监管基础设施的环节不是发薪,而是出金出口,其原理与任何一篇关于如何将加密货币变现的指南所描述的并无不同。

与此同时,就业端越来越难监管。据Chainalysis报告,与朝鲜相关联的求职者如今提交AI生成的简历和头像照片,甚至在面试中使用深度伪造视频,隐匿开发者在入职前更难被识别。Garantex本身是在转账完成之后才被列入黑名单的,这种事后暴露的模式如今悬在所有服务类似资金流的交易所头上。归集钱包将众多员工的收益先汇集到少数地址再行兑换,恰恰为调查者提供了最清晰的资金流向图。Chainalysis将报告与财政部的制裁行动同步发布,为每个被制裁名字背后附上了可查证的交易记录。

这些制裁瞄准的是该网络最难隐藏的一环:兑换。就业端依赖的身份,如今用生成式工具即可低成本伪造;但把加密货币变成现金需要交易对手,无论是交易所还是加密混币器,每一处出金口都会留下记录。制裁中介方抬高了触及朝鲜资金的成本,无需逐个找出那些员工本身。Garantex的事后列入黑名单说明,这种风险会随后追至服务商。只要这条工资链条持续产生收入,针对经纪人和归集服务的进一步制裁大概率还会出现。