ABD Hazine Bakanlığı Yabancı Varlıklar Kontrol Ofisi (OFAC), 10 kişi ve bir kuruluşa yönelik yaptırımları duyurdu. ABD Hazine Bakanlığı'na göre bu kişiler ve kuruluş, Kuzey Kore hükümetinin kontrolü altında faaliyet gösteren yurt dışındaki BT çalışanı ağlarının kurulmasına ve sürdürülmesine yardımcı oldu. Bu tür şemalara katılanlar, ABD ve diğer ülkelerdeki şirketlerde işe girmek için sahte belgeler ve başkalarının kimliklerini kullandı, ardından kazandıkları parayı Kuzey Kore hükümetine aktardı. Yaptırımlar ayrıca fon dönüşümünü, kripto transferlerini ve bu ekiplerin koordinasyonunu organize etmekle suçlanan kişileri de hedef aldı.
Yeni yaptırımlar
OFAC tarafından yaptırım uygulanan kişi ve kuruluşların listesi, Kuzey Kore ve Rusya'da faaliyet gösteren BT çalışanlarını, ekip liderlerini, finansal aracıları ve ilgili kuruluşları içeriyor.
Yayınlanan duyuru, birkaç kripto işlemine ilişkin ayrıntılar sunuyor:
- Rus vatandaşı Vitold Viktorovich Obertas, 2025 yılı Ocak ayından bu yana Kuzey Kore temsilcileri için neredeyse $2M değerinde kripto takas işlemleri ile en az $1.25M değerinde diğer döviz işlemlerini gerçekleştirmekle suçlanıyor.
- Kim Ki Hyok, 2024 yılından bu yana Rusya'da çalışan bir BT çalışanı ekibi için neredeyse $500,000 değerinde kripto transfer etmekle suçlanıyor.
- Kim Hyo Dong, başka bir ekibe organizasyonel destek sağlamak ve $100,000'dan fazla değerinde finansal varlığın transferine yardımcı olmakla suçlanıyor.
- Rus vatandaşı Ilya Aleksandrovich Boykov, 2024 yılından bu yana bu faaliyetle bağlantılı bir kuruluşun yaklaşık $3.5M değerinde takas işlemleri ve kripto transferleri gerçekleştirmesine yardımcı olmakla suçlanıyor.
- First Financial and Technical Development Center (FFTDC) adlı kuruluş, Rusya'da Kuzey Koreli BT çalışanlarını barındırmakla suçlanıyor. Yayınlanan verilere göre, 2025 yılından bu yana çalışanları Kuzey Kore hükümeti için toplamda $750,000'dan fazla gelir elde etti.
Yaptırım uygulanan adresler arasındaki bağlantıların analizi
OFAC tarafından tutulan güncellenmiş SDN yaptırım listesine, yaptırım uygulanan kişi ve kuruluşlarla bağlantılı sekiz dijital varlık adresi eklendi. Bu adresler iki blokzincir ağına ait - Ethereum ve TRON.
Fonların hareketinin analizi, bu adresler arasında belirgin bağlantılar olduğunu gösteriyor. Bazıları doğrudan birbirine fon transfer ederken, diğerleri bir kripto borsasındaki hesabı fonlamak için kullanılan aynı cüzdana para gönderdi.
Kim Ki Hyok
OFAC'a göre, 2024 yılından bu yana Kim Ki Hyok, Rusya'da çalışan bir BT çalışanı ekibi için neredeyse $500,000 değerinde kripto transfer etti. Yaptırım listesi onu Ethereum'daki şu adresle ilişkilendiriyor:
Bu, tüm listedeki en basit ve en sınırlı etkinliğe sahip adres: yalnızca iki gün var oldu ve tek bir işlem gerçekleştirdi - bir kripto borsasına 50,000 DAI gönderdi.
Fonlar önce ara adres 0x4865773f498186d838fe47227804a158cbed51de üzerinden geçti. 31 Ağustos'ta dört farklı adres ona toplamda yaklaşık 100,000 DAI gönderdi. 9 Eylül'de saat 06:46'te bu ara cüzdan, Kim Ki Hyok'un isminin yanında listelenen adrese 50,000 DAI gönderdi. Yaklaşık altı dakika sonra, işlem ücretini ödemek için gereken tutar olan 0.001 ETH daha bu adrese ulaştı. Ertesi gün saat 09:39'da, Kim ile bağlantılı adres tüm 50,000 DAI'yi bir Bybit borsası yatırma adresine transfer etti: 0x197c6c66d9fc674d496ee232f418bd6f6013a13b.
Ilya Aleksandrovich Boykov
OFAC'a göre, 2024 yılından bu yana Rus vatandaşı Ilya Boykov, bu faaliyetle bağlantılı bir kuruluşun yaklaşık $3.5M değerinde takas işlemleri ve kripto transferleri gerçekleştirmesine yardımcı oldu. Yaptırım listesi onu Ethereum'daki şu adreslerle ilişkilendiriyor:
0x12Ea8 adresinin analizi, bu adresin 2022 yılının 10 Kasım tarihinden 2025 yılının 25 Ağustos tarihine kadar aktif olduğunu gösteriyor. Bu süre zarfında toplam 49.5767 ETH, 4.7 milyon USDC, 4.63 milyon USDT ve 10.22 milyon DAI aldı.
Bu adresten gelen fonlar daha sonra dört net şekilde tanımlanabilir yöne çekildi:
- Fonların %50.54'i - yaklaşık $9.88M - doğrudan Boykov ve Obertas ile bağlantılı Bybit borsası yatırma adresi 0x761edd5e4546229a0bd35ae99b4d3d01cf4a3510'e transfer edildi. En büyük tekil transfer, 12 Haziran 2024 tarihinde yapılan 511,000 USDC oldu. Buna ek olarak, aynı yatırma adresine 13.67 ETH daha ulaştı.
- Fonların %20.47'i - yaklaşık $4M - başka bir Bybit yatırma adresine gönderildi: 0x197c6c66d9fc674d496ee232f418bd6f6013a13b. Toplamda 31 işlem gerçekleştirildi.
- Fonların %28.88'i - yaklaşık $5.65M - HTX borsasındaki iki yatırma adresine gitti: 0xee60121c763143a4fb17735ab86b5f0fc5cb1800 ve 0x7f78ddf455f9f8eef56c4c9f76b5d53c75dc54ee. İlk transfer 22 Haziran 2023 tarihinde gerçekleşti. Bundan sonra, bu adreslere iki yıldan uzun bir süre boyunca kesintisiz olarak fon gelmeye devam etti.
- Fonların kalan %0.05'i - $9,870 - bir Binance yatırma adresine gönderildi: 0x4941c9481e9bb27b74be4e2b6c6fa349f8be99d5.
Boykov ve Obertas'ın ortak adresi
0x761edd5e4546229a0bd35ae99b4d3d01cf4a3510 - bu adres bir Bybit borsası yatırma cüzdanı olarak etiketlenmiştir. OFAC bu adresi hem Obertas hem de Boykov için yaptırım kayıtlarına resmi olarak dahil etmiştir.
Gelen fonların bileşimine bakıldığında, Boykov'un 0x12Ea80238C7d805D003ce793594e92d84A6f4E8d adresinden gelen 128 işlem, bu cüzdanın aldığı tüm fonların %77'ini oluşturdu. Bu transferler 22 Haziran 2023 tarihinden 25 Temmuz 2025 tarihine kadar gerçekleştirildi. Fonların işlem zinciri boyunca daha ileri düzeyde takip edilmesi, Kuzey Kore'ye ait olarak etiketlenen adreslerle bağlantıları da ortaya çıkardı.
OFAC yaptırım listesi, Boykov'un adının yanında TRON üzerinde iki adres daha içermektedir:
TQKoDq5aCrWAciiNtete5pDYVN38i4qFN1 adresi, Boykov'un TRON üzerindeki ilk cüzdanıdır. İşlem hacmi nispeten küçüktür, ancak fonların hareketi oldukça net bir şekilde takip edilebilir. 2 Aralık 2022 tarihinden 21 Aralık 2025 tarihine kadar toplam 873,675 USDT aldı. En büyük giden transfer 257,732 USDT oldu: para doğrudan Obertas'ın Bybit üzerindeki yatırma adresine gönderildi - TFksjBcHPYqgAax2USheQuaT1ydRKyZRdg. Fonların geri kalanı çeşitli yönlere dağıtıldı.
TXmrnVgsqCMJncYHTXchuJ5z111BXSj4g3 adresi, Boykov'un TRON üzerindeki daha sonraki cüzdanıdır ve fonlar burada çok daha yüksek bir oranda yoğunlaşmıştır. Aynı zamanda Boykov ile Obertas arasındaki en doğrudan temas noktasıdır. 21 Mart 2024 tarihinden 6 Aralık 2025 tarihine kadar toplam 1.62 milyon USDT aldı. Üç ay içinde, bu cüzdandan gelen tüm fonların %86.2'ini oluşturan 1.4 milyon USDT gönderildi. Para yedi işlemde çıktı ve her seferinde alıcı Obertas'ın Bybit üzerindeki yatırma adresi oldu: TFksjBcHPYqgAax2USheQuaT1ydRKyZRdg. Fonların büyük kısmı, orta büyüklükte tutarlar transfer eden müşterilerden cüzdana geldi.
Bu iki TRON adresi ile TFksjBcHPYqgAax2USheQuaT1ydRKyZRdg cüzdanı arasındaki doğrudan transferler, OFAC'ın Boykov'un adının yanında listelediği adresler ile Obertas'a bağlı adresler arasındaki bağlantının izlenmesini mümkün kılmaktadır.
Yaptırım listesinin hem Boykov hem de Obertas'ın yanında yer verdiği ortak Ethereum adresine ek olarak, OFAC Obertas ile bağlantılı üç TRON adresi daha listelemiştir:
TCV4qdpTxoMyqkn7sSPeRrXmhH5JFxMvmT adresi, bir HTX borsası yatırma cüzdanı olarak etiketlenmiştir. 10 Eylül 2024 tarihinden 28 Ağustos 2025 tarihine kadar 11 ay boyunca toplam 9.16 milyon USDT almıştır.
TQCBdU4K92oxLAkzwexZpqVZJhmPbtLYMm adresi, çok sayıda gelen ve giden işlemde yer almıştır. Analiz, 7 Kasım 2022 tarihinden 25 Şubat 2026 tarihine kadar yaklaşık 11.09 milyon USDT aldığını ve ardından bu fonların diğer adreslere transfer edildiğini göstermektedir. Bu tutarın yaklaşık 2.58 milyon USDT'si, Obertas'ın kendi Bybit yatırma adresine gitti - TFksjBcHPYqgAax2USheQuaT1ydRKyZRdg. Yaklaşık 1.08 milyon USDT daha onun HTX üzerindeki yatırma adresine gönderildi - TCV4qdpTxoMyqkn7sSPeRrXmhH5JFxMvmT. Bu iki transfer, TQCBdU4K92oxLAkzwexZpqVZJhmPbtLYMm adresini yaptırım listesindeki diğer iki Obertas cüzdanına bağlamaktadır.
En büyük gelen transfer TEvYL8PU8EiC84kAoN67ZhHyUgPfvgVoD8 adresinden geldi. Tutarı 1,242,541 USDT idi. Bu cüzdanın işlem geçmişi nispeten karmaşıktır.
TFksjBcHPYqgAax2USheQuaT1ydRKyZRdg adresi, bir Bybit borsası yatırma cüzdanı olarak etiketlenmiştir. 7 Mart 2023 tarihinden 31 Ekim 2026 tarihine kadar toplam yaklaşık 31.02 milyon USDT almıştır.
Bu adres için ikinci en büyük fon kaynağı, Obertas'ın kendi cüzdanı TQCBdU4K92oxLAkzwexZpqVZJhmPbtLYMm oldu ve buradan 2.58 milyon USDT transfer edildi. Altıncı en büyük kaynak ise 1.4 milyon USDT gönderen Boykov'un TXmrnVgsqCMJncYHTXchuJ5z111BXSj4g3 adresiydi.
Bir arada değerlendirildiğinde, Ethereum ve TRON üzerindeki işlem verileri, adresler arasında doğrulanabilen veya izlenebilen çeşitli bağlantı türlerinin belirlenmesini mümkün kılmaktadır:
- Ethereum adresi 0x761ed, yaptırım listesinde hem Boykov hem de Obertas'ın yanında yer almaktadır. Daha önce, bu adrese Boykov'un 0x12Ea8 cüzdanından yaklaşık $9.88M gelmişti.
- Boykov ve Kim ile bağlantılı Ethereum adreslerinden 0x197c6 cüzdanına fonlar transfer edildi. Aynı zamanda, bu adresin kendisi OFAC'ın bu yaptırım işlemi kapsamında yayımladığı sekiz cüzdan arasında yer almıyor.
- USDT, Boykov'un her iki TRON adresinden de Obertas ile bağlantılı Bybit yatırma adresi TFksj'ye transfer edildi.
- USDT, Obertas'ın TQCBd adresinden kendi Bybit yatırma adresi TFksj'ye ve HTX yatırma adresi TCV4q'ya transfer edildi.
Kuzey Koreli BT çalışanı ağları nasıl çalışır
Böyle şemalar genellikle uzaktan bir çalışan işe alma sürecinin tamamen sıradan görünen bir aşamasıyla başlar. Bir şirket iş ilanı yayınlar, özgeçmişler alır, mülakatlar yapar, ardından yeni işe alınan kişiye bir bilgisayar gönderir ve aylık maaş öder. Sorun şu ki, ekranın diğer tarafındaki kişi özgeçmişte belirtilen aday hiç olmayabilir.
Bazı Kuzey Koreli BT çalışanları, uzaktan iş bulmak için çalıntı, ödünç alınmış veya sahte kimlik belgeleri kullanır. Ayrıca bunlara uygun e-posta adresleri ve sosyal medya hesapları oluşturur, profesyonel biyografiler ve iş geçmişleri hazırlarlar. Gerçek konumlarını gizlemek için bazıları VPN, proxy ağları veya işe alan şirketlerin faaliyet gösterdiği ülkelerde bulunan aracıların yardımını kullanır. Şirketlerin çalışanlara gönderdiği bilgisayarlar önce yerel sakinlere veya «laptop çiftlikleri» adı verilen yerlere teslim edilebilir ve ancak daha sonra yurt dışındaki uzaktan operatörler tarafından kullanılabilir. Sonuç olarak, şirketin gördüğü adresler, kişisel veriler ve cihaz konumlarının kişinin gerçekte nerede çalıştığıyla hiçbir ilgisi olmayabilir.
Bu tür şemalar genellikle birkaç katılımcı arasında koordinasyon gerektirir. Bazıları başkalarının kimliklerini sağlar veya kiralar, diğerleri bilgisayarları teslim alıp saklar, ödeme hesapları açılmasına yardımcı olur veya ekipleri yönetip kazanılan parayı transfer eder. Aracılar tam olarak kime yardım ettiklerinin farkında olabilir veya ödeme almak, iş bağlantıları kurmak ya da uzaktan çalışmayı organize etmek için sıradan hizmetler sunduklarını düşünebilirler.
Bu tür şemalarda gelir genellikle uzaktan çalışma için maaş veya tamamlanan projeler için ödeme şeklinde gelir. Para, üçüncü taraf banka hesapları, ödeme platformları ve kripto cüzdan adresleri aracılığıyla transfer edilebilir. OFAC yaptırım listesindeki bazı kişiler ayrıca kripto takası yapmaya, fon transferine veya ekip yönetimine yardımcı olmakla suçlanmıştır.
Bu nedenle şirketler için daha pratik bir yaklaşım, çalışanın kimliğinin kapsamlı şekilde doğrulanması, cihaz teslimatının kontrolü, yüklenici yönetimi ve sistem izinlerinin sınırlandırılmasıdır. Sadece işi tam olarak kimin yaptığını değil, bu kişinin hangi verilere ve sistemlere erişebildiğini de kontrol etmek gerekir.
