Hakerzy zainfekowali 30 000 urządzeń, kradnąc 11 mln USD z portfeli kryptowalutowych

Grupa hakerów wspierana przez Koreę Północną zainfekowała ponad 30 000 komputerów w ponad 100 krajach. Skradła także dane z ponad 7000 portfeli krypto, poinformowała w piątek japońska agencja policji narodowej oraz FBI.

Portfele kontrolowane przez grupę otrzymały co najmniej 10,71 mln USD w aktywach cyfrowych od grudnia 2025 do lipca 2026. Agencje nazywają grupę WaterPlum, znaną także jako Contagious Interview.

Jak fałszywi rekruterzy dotarli do 7000 portfeli krypto

WaterPlum podaje się za headhuntera z firm związanych ze sztuczną inteligencją, kryptowalutami i tokenami NFT. Grupa szuka deweloperów na portalach społecznościowych, tablicach ogłoszeń i platformach dla freelancerów.

“Aktorzy WaterPlum udają potencjalnych pracodawców, by celować w deweloperów systemu i specjalistów IT na całym świecie, wykorzystując pretekst atrakcyjnych ofert pracy.”

Kandydaci muszą przejść rozmowę techniczną lub wykonać test programistyczny. Grupa nakazuje im pobrać pliki z serwisów do udostępniania kodu. Pretekstem jest awaria rozmowy wideo lub przydzielone zadanie.

Te pliki zawierają złośliwe oprogramowanie. Programy wyszukują hasła w przeglądarce, wykonują zrzuty ekranu oraz rejestrują naciśnięcia klawiszy. Kradną też klucze prywatne do portfela krypto, czyli systemu do przechowywania cyfrowych pieniędzy.

BeInCrypto donosiło w sierpniu o badaczu, który spędził 22 miesiące na serwerach grupy. Ten zmapował 1640 ofiar w 57 krajach. Piątkowe oficjalne dane są niemal 18 razy większe.

Japonia rozbija pierwszą farmę laptopów

Policja zlikwidowała także pierwszą ujawnioną w kraju farmę laptopów. Lokalni pomocnicy trzymali komputery w swoich domach. Pracownicy z Korei Północnej kierowali nimi zdalnie i podszywali się pod Japończyków, by zdobyć zlecenia dla freelancerów.

Pracownicy przesłali krypto o wartości kilkuset mln jenów za granicę, podają śledczy. Adresy internetowe powiązały farmę z hakerami.

“NPA i FBI uważają, iż zarówno cyberprzestępcy WaterPlum, jak i niektórzy północnokoreańscy pracownicy IT działają w ramach Biura Generalnego 313 Departamentu Przemysłu Zbrojeniowego podporządkowanego Komitetowi Centralnemu Partii Pracy Korei.”

Jeden podejrzany obywatel Korei Północnej zgłosił się w maju 2025 do pracy w charakterze inżyniera w japońskiej giełdzie bitFlyer, posługując się skradzionym CV. Rekrutujący zauważyli, iż odmówił przeprowadzki i domagał się zapłaty w krypto. Wydawało się, iż czyta odpowiedzi z drugiego ekranu, więc nie został zatrudniony.

Starsze kampanie wykorzystywały rozmowy rekrutacyjne z deepfake, by dotrzeć do kadry kierowniczej. w tej chwili śledczy radzą inżynierom uruchamiać kod od rekrutera w sandboxie, czyli testowym, odizolowanym środowisku, które nie ma dostępu do prawdziwych plików.

BeInCrypto Polska - Hakerzy zainfekowali 30 000 urządzeń, kradnąc 11 mln USD z portfeli kryptowalutowych