Деньги северокорейских IT-работников в блокчейне: кошелёк меняют раз в две недели, эфир лежал в стейкинге, а 96 ETH никто не может заморозить

12 марта 2026 года OFAC, управление по санкциям Минфина США, внесло в список шесть человек и две организации за участие в северокорейских схемах с IT-работниками, которые, по данным Минфина, в 2024 году принесли почти $800 млн на оружейные программы страны. В записях указаны адреса в сетях Ethereum, Tron и Bitcoin. По данным OFAC, они принадлежат Сим Хён Сопу — представителю северокорейского банка, который находится в списке с апреля 2023 года и чья запись была дополнена; компании Amnokgang Technology Development Company, которая управляет группами IT-работников за рубежом; и двум посредникам, Юн Сон Гуку и Хоанг Минь Куангу.

Кому принадлежат адреса — утверждение OFAC, не наше. Ниже — то, что они делали в блокчейне, прочитано 8 октября 2026 года. В Ethereum мы считаем только настоящие USDT и USDC, проверяя контракт токена.

Шестью адресами Tron, добавленными в запись Сим Хён Сопа, не пользовались одновременно. Первый работал с 22 июня по 21 июля 2025 года. Второй — с 23 по 30 июля. Третий — с 29 августа по 15 сентября. Четвёртый — с 16 по 29 сентября. Пятый — с 28 сентября по 2 октября. Шестой — со 2 по 16 октября. Каждый опустошали до перехода на следующий или в момент перехода.

Вместе они получили 987 350 USDT. Около пятой части пришло с межсетевого моста и сервиса мгновенного обмена, часть — с биржевых кошельков вывода. Всё ушло дальше на кошельки без подписи.

Последний из шести затих 16 октября 2025 года. В список их внесли, а Tether заблокировала, 12 марта 2026 года — пять месяцев спустя. Все они были пусты.

Старый адрес Сима в Ethereum, 0x4f47bc496083c727c5fbe3ce9cdf2b0f6496270c, впервые попал в список в апреле 2023 года. Его история закончена, и она самая крупная в этом деле: 24,07 млн в USDT и USDC с августа 2021-го по март 2023-го.

17,70 млн из них — 74% — пришли напрямую с кошельков вывода Binance. Иначе говоря, бо́льшую часть денег ему отправили с аккаунтов одной биржи. На выходе 12,66 млн ушли на один адрес без подписи 78 переводами с февраля по октябрь 2022 года и около 2,4 млн — на депозитные адреса Binance.

С тех пор там ничего не двигалось. Мы включили его, потому что он показывает, что заменила ротация в Tron: один адрес на девятнадцать месяцев, затем список, затем шесть адресов по несколько недель каждый.

Четыре адреса Amnokgang в Tron получили 4,91 млн USDT от 119 отправителей с марта 2023-го по январь 2026 года. Около 1,27 млн пришло с кошелька вывода MEXC и 0,47 млн — с кошелька Binance. На выходе часть ушла на биржевые кошельки — 444 000 на KuCoin, 230 000 на MEXC, — а бо́льшая часть на адреса без подписи.

Крупнейший из четырёх, TNrX2FwrHKoo4XACGkmSzqeK4pdnKYn6Z7, Tether внесла в чёрный список 4 декабря 2025 года — за три месяца до публикации OFAC. С 4 по 15 декабря с кошелька вывода MEXC пришли ещё пять платежей, 28 849 USDT, и оказались заморожены в момент поступления: кто-то продолжал выводить деньги с биржи на уже мёртвый адрес. Сегодня на кошельке 86 958 USDT; вместе с 316 USDT на втором адресе это всё, что заморожено в этом деле.

Остальные три заблокированы вместе со всеми 12 марта 2026 года в 17:55–17:56 UTC.

Главный адрес Amnokgang в Ethereum, 0x9Be599d7867f5E1a2D7Ec6dB9710dF2b98A15573, делал то, чего мы раньше на подсанкционных адресах не видели: открыто зарабатывал доход. В конце 2023 года он обменял стейблкоины на эфир на Uniswap, а 2 октября 2024 года отправил 106 ETH в стейкинг через массовый сервис ликвидного стейкинга. В ноябре забрал 36 ETH, в марте 2025-го снова застейкал 36, а 23 июля 2025 года вывел всё — 108,09 ETH. В мае и июне 2025 года он также положил около 140 000 USDT в доходное хранилище (vault).

Ничто не говорит о том, что сервис стейкинга знал, чей это адрес; тогда его не было ни в одном списке. В этом и суть. Почти два года деньги лежали в обычных продуктах DeFi и ничем не отличались от денег любого другого клиента.

После вывода адрес отправил 13 ETH на другой адрес из той же записи OFAC. 96,06 ETH лежат там и сегодня, через семь месяцев после внесения в список. USDT Tether заморозить может; эфир не может заморозить никто. Адрес под санкциями, а монеты не заблокированы.

Три вещи. Осторожный оператор теперь меняет кошельки быстрее, чем за ним успевает список: к моменту публикации шести адресов их владелец ушёл от них на пять месяцев вперёд. Биржи стоят с обеих сторон: бо́льшая часть денег на адресе 2023 года вышла с одной биржи, а с другой деньги продолжали выходить на уже замороженный кошелёк. И нативный эфир находится вне досягаемости заморозки, которая работает для стейблкоинов.

В нашей базе все адреса из списка несут санкционную метку OFAC, а у адреса, который торговал с ними, эта связь показана как причина риска. Проверить любой адрес можно на странице проверки адреса. Другие санкционные дела, прочитанные тем же способом: иранские обменники, Tren de Aragua, кошельки ИГИЛ-Хорасан и сети ХАМАС.

Она не говорит, кому принадлежит какой-либо адрес, кроме повторения атрибуции OFAC. Она не говорит, что биржи, сервис стейкинга или кто-либо из отправителей и получателей знали, с кем имеют дело, или нарушили какое-либо правило. Она охватывает USDT и USDC в сетях Tron и Ethereum и нативный эфир на одном адресе; адрес Bitcoin (0,58 BTC за всё время) и записи для Arbitrum и BNB Chain — за её пределами. Названия бирж и сервисов означают кошельки, подписанные в нашей базе как принадлежащие им.