Północnokoreańscy hakerzy infekują 30 000 urządzeń i kradną kryptowaluty
WaterPlum, znana też jako Contagious Interview, zwodziła programistów za pomocą fałszywych ofert pracy i w ten sposób kradła klucze do portfeli oraz dane przeglądarki. FBI i japońska policja łączą tę kampanię z co najmniej 10,71 mln $ kryptowalut.
Najważniejsze informacje
- Północnokoreańska grupa hakerska zainfekowała ponad 30 000 komputerów w ponad 100 krajach i ukradła dane z ponad 7 000 portfeli kryptowalutowych.
- Między grudniem 2025 a lipcem 2026 co najmniej 10,71 mln $ aktywów cyfrowych trafiło na portfele kontrolowane przez tę grupę.
- Grupa zwabiała ofiary przez fałszywe oferty pracy i malware, co jest szczególnie niebezpieczne dla użytkowników kryptowalut i programistów.
Północnokoreańska grupa hakerska zainfekowała ponad 30 000 komputerów w ponad 100 krajach i wykradła dane z ponad 7 000 portfeli kryptowalutowych. Według japońskiej National Police Agency i FBI między grudniem 2025 a lipcem 2026 co najmniej 10,71 mln $ (9,3 mln €) aktywów cyfrowych trafiło na portfele kontrolowane przez tę grupę. Atak pokazuje, jak szybko fałszywe aplikacje o pracę i malware wciąż przeradzają się w bezpośrednie zagrożenie dla użytkowników kryptowalut i programistów.
Fałszywe oferty pracy jako przynęta
Grupa, którą władze nazywają WaterPlum i która jest też znana jako Contagious Interview, podszywa się pod rekrutera firm z branży AI, kryptowalut i NFT. Za pośrednictwem mediów społecznościowych, platform z ofertami pracy i giełd dla freelancerów grupa kontaktuje się z programistami i specjalistami IT, proponując pozornie atrakcyjne stanowiska.
Następnie ofiary przechodzą techniczną rundę rozmowy kwalifikacyjnej albo test kodowania. Są proszone o pobranie plików z serwisów do udostępniania kodu, rzekomo dlatego, że wideorozmowa nie działa albo ponieważ wymaga tego zadanie. W tych plikach znajduje się malware, które próbuje ukraść hasła z przeglądarki, zrzuty ekranu, naciśnięcia klawiszy oraz tajne klucze portfela kryptowalutowego.
Władze ostrzegają, że tego typu ataki są szczególnie niebezpieczne, ponieważ sprawca zachowuje się jak zwykły pracodawca. Dla ofiar kontakt początkowo wygląda na legalny, a szkody stają się widoczne dopiero później.
Szerszy wzorzec północnokoreańskich ataków
Sprawa wpisuje się w szerszą falę północnokoreańskich cyberataków na sektor kryptowalut. Wcześniej północnokoreańskich hakerów łączono już z dużymi kradzieżami, w tym z atakiem na Bybit w lutym 2025. Według wcześniejszych szacunków Korea Północna ukradła w 2025 roku łącznie 2,02 mld $ (1,8 mld €) w kryptowalutach, co stanowiło niemal 60% wszystkich zgłoszonych kradzieży kryptowalut w tym roku.
To pokazuje, dlaczego organy nadzoru i służby coraz częściej ostrzegają przed social engineering, a nie tylko przed technicznymi lukami. Atakujący celują nie tylko w portfele, lecz także w osoby mające dostęp do kodu, kont i sieci firmowych.
Dlaczego to ważne dla Europy
Dla europejskich użytkowników kryptowalut i firm jest to szczególnie istotne, ponieważ atak pokazuje, jak międzynarodowe są te kampanie. Grupa zaatakowała ofiary w ponad 100 krajach i korzystała także z japońskich oraz międzynarodowych kanałów rekrutacyjnych. Dla programistów i zespołów w Europie nadal potrzebna jest szczególna ostrożność przy niezamówionych rozmowach rekrutacyjnych, plikach testowych i oprogramowaniu pochodzącym spoza własnego środowiska. Także wcześniejsza infiltracja w MetaMask pokazała, jak daleko mogą zajść północnokoreańscy aktorzy, podszywając się pod legalnych programistów lub wykonawców.
