Hakerzy WaterPlum kradną 10,71 mln dolarów za pomocą fałszywych ofert pracy w branży kryptowalut
Północnokoreańska grupa hakerska WaterPlum, znana również jako Contagious Interview, miała rzekomo ukraść kryptowaluty lub dane uwierzytelniające o wartości około 10,71 mln dolarów z ponad 7000 portfeli kryptowalutowych. W ramach kampanii od grudnia 2025 roku do lipca 2026 roku zainfekowano co najmniej 30 000 urządzeń w ponad 100 krajach.
WaterPlum atakowała deweloperów, inżynierów, projektantów stron internetowych i innych specjalistów z sektorów kryptowalut, blockchaina, Web3, sztucznej inteligencji i NFT. Napastnicy podszywali się pod rekruterów lub firmy technologiczne w mediach społecznościowych, serwisach z ofertami pracy, na platformach dla freelancerów i w usługach rekrutacyjnych. Ofiary nakłaniano do pobrania złośliwego oprogramowania udającego test programistyczny, materiały do rozmowy kwalifikacyjnej lub poprawkę problemów z wideokonferencją.
Złośliwe oprogramowanie umożliwiało zdalny dostęp i kradzież danych, ujawniając dane uwierzytelniające portfeli, dokumenty tożsamości i inne poufne informacje. Władze poinformowały, że skradzione tożsamości mogły być również wykorzystywane przez północnokoreańskich pracowników IT do zdobywania pracy, podszywania się pod ofiary lub prowadzenia szantażu.
Późniejsze japońskie śledztwo wykryło pierwszą w kraju podejrzewaną farmę laptopów powiązaną z operacją. Śledczy poinformowali, że aktywa kryptowalutowe o wartości setek milionów jenów zostały wyprowadzone za granicę. Uważają, że WaterPlum i niektórzy północnokoreańscy zdalni pracownicy IT mogą mieć powiązania z 313. Biurem Generalnym Biura Rozpoznania Generalnego oraz wspólny dostęp do farm laptopów i serwisów z ofertami pracy.
Kampania WaterPlum zwiększa obawy dotyczące wykorzystywania przez Koreę Północną fałszywych programów zatrudnienia do atakowania branży kryptowalutowej. Traderzy i firmy kryptowalutowe powinny traktować niezamówione pliki rekrutacyjne, prośby o połączenie portfela oraz nieznane narzędzia deweloperskie jako potencjalne zagrożenia bezpieczeństwa. Incydent prawdopodobnie nie wpłynie bezpośrednio na cenę konkretnej kryptowaluty, ale kolejne ujawnione informacje mogą zwiększyć awersję do ryzyka i wywrzeć presję na firmy związane z kryptowalutami.
Neutral
Skradzione aktywa były rozproszone w portfelach kryptowalutowych i nie zidentyfikowano żadnej konkretnej kryptowaluty ani tokena. W rezultacie incydent nie tworzy wyraźnego, bezpośredniego katalizatora dla ceny konkretnego aktywa. W krótkim terminie doniesienia o kradzieżach z portfeli i północnokoreańskiej aktywności cybernetycznej mogą zwiększyć awersję do ryzyka, skłonić traderów do przenoszenia środków do bezpieczniejszych rozwiązań powierniczych oraz pogorszyć sentyment wobec spółek związanych z kryptowalutami. Jednak podobne ujawnienia dotyczące cyberbezpieczeństwa zazwyczaj miały ograniczony i przejściowy wpływ na ceny kryptowalut szeroko rozumianych, chyba że dotyczyły dużej giełdy, blockchaina lub powszechnie używanego protokołu. W dłuższej perspektywie kampania może przyczynić się do wprowadzenia bardziej rygorystycznych standardów bezpieczeństwa portfeli, kontroli zgodności i bezpieczniejszych procedur rekrutacyjnych. Środki te mogą poprawić odporność rynku, choć kolejne ataki lub dowody na większe straty mogą wywołać ponowną presję sprzedażową.