1/ 與Pepe創作者Matt Furie和ChainSaw相關的多個專案以及另一個專案Favrr在過去一周被利用，導致~$1M被盜 我的分析將這兩次攻擊與同一群朝鮮IT工作者聯繫起來，這些人很可能是意外被雇傭為開發人員的。

2/ 2025年6月18日淩晨4：25 UTC 'Replicandy'的所有權從Matt Furie和ChainSaw轉移到新的EOA 0x9Fca。 6月18， 2025 UTC 下午 6：20：0x9Fca 從合同中提取了鑄幣廠收益 6月19， 2025 UTC 時間上午 5：11：0x9Fca 取消暫停鑄幣廠 然後，攻擊者鑄造 NFT 並出售出價，導致底價跌至零。

3/ 2025 年 6 月 23 日，攻擊者將擁有權從 ChainSaw 部署器轉移到 Peplicator、Hedz、Zogz 的 0x9Fca。 同樣，攻擊者鑄造了 NFT 並將其出售以出價形式，導致底價跌至零。 0x9Fca3AC75cd66f3c62bea8231886513b9fe191BD

4/ 我估計他們項目中總共有 $310K+ 被盜，主要在下面的三個地址之間轉移。 0xf6a9349c54d51f7f76bbd2afd755b5dd75e617ee 0x7e580f916a8e93871b72a694407fb7d790de96a6 0x58f4299465b261e79713e5c78a7629cd656aed36

5/ 攻擊者於 6 月 18 日晚上 7：47 UTC 將 2.05 ETH 轉移到交易所 1。 通過執行時間分析，我可以找到接收 5007.91 USDT 並轉移到 MEXC 的目標交易。 0xf87fbc5e8fff065b413d3d48932b6fb5585d93d5

6/ 從 MEXC 存款位址追溯0xf87發現，每個月收到許多其他穩定幣存款，各種專案從 $2K-10K 不等。 由於這些團隊在提供資訊方面提供了幫助，並且朝鮮的ITW已被移除，因此我不會命名該專案。

7/ 該集群中疑似朝鮮 ITW 使用的兩個 GitHub 帳戶如下所示，並列出了他們帳戶上的錢包。 朝鮮ITW 1： devmad119 0x93d5785d759563b5b8eb98eaff9196dddf7179f3 朝鮮 ITW 2：sujitb2114 0x6c88dd91de053fca915baece6868f6c32d20adea

8/內部日誌中透露的其他指標指出，疑似北韓IT工作者的簡歷中存在違規行為。 為什麼聲稱居住在美國的開發人員會擁有韓語設置、Astral VPN 使用方式和亞洲/俄羅斯時區？

9/ 追溯 MEXC 礦床0xf87f導致另一個不同的朝鮮 ITW 合併： 0x477d13ee1e1304292d270bfac1aa496902e6851f

10/ 朝鮮 ITW 合併0x477收到了 Favrr 專案的工資單，該專案於 2025 年 6 月 25 日以 $680K+ 的價格被利用 我懷疑他們的工資單上也有第二個ITW，因為攻擊者位址與ITW 2發送工資單的Gate存款位址0xab7綁定。 法夫爾 ITW 1 0x17087f92d16049e9097413b4964663b754c1e43d 法夫爾 ITW 2 0x641279133f6f560c3f512b8e2d286ae2c53c31ee

12/ 很快，我計劃公佈我向朝鮮公司/專案支付的總付款的統計數據，以深入了解情況有多糟糕。 令人沮喪的是，有多少團隊雇用了朝鮮的IT員工，而基本的盡職調查可能會阻止這種情況。 自事件發生以來，Matt Furie和ChainSaw一直沒有進行溝通，這令人失望，他們唯一對社區的警告被刪除了，沒有解釋。 ChainSaw 事件中被盜的資金大多處於休眠狀態。 Favrr 被盜的資金被轉移到 Gate 和一些嵌套服務中。 由於禁用了 DM，我一直無法與團隊取得聯繫，並且無法在 Telegram 或 Discord 上輕鬆聯繫他們。