Fikcyjne rekrutacje i kradzież 7 tys. walletów

Fałszywe rozmowy o pracę, prawdziwe straty

Międzynarodowe służby ostrzegły przed szeroko zakrojoną kampanią cyberataków przypisywaną północnokoreańskiej grupie WaterPlum, znanej też jako Contagious Interview. Według ustaleń hakerzy wykorzystali fikcyjne procesy rekrutacyjne w branży IT i krypto, aby zainfekować ponad 30 000 urządzeń w 100 krajach oraz opróżnić ponad 7 000 walletów kryptowalutowych.

Łączna kwota wyprowadzona w ciągu kilku miesięcy, od grudnia 2025 r. do lipca 2026 r., sięgnęła 10,71 mln dolarów. Pieniądze miały zasilić północnokoreańskie struktury państwowe.

Jak działał schemat WaterPlum

Atak był zaskakująco prosty, ale skuteczny. Członkowie grupy podszywali się pod rekruterów firm z obszaru:

• sztucznej inteligencji,
• blockchain,
• kryptowalut,
• NFT,
• szeroko rozumianych technologii.

Ofiarami byli głównie deweloperzy, freelancerzy, web designerzy i specjaliści od krypto. Podczas rzekomego rozmowy kwalifikacyjnej albo testu technicznego kandydat miał pobrać i uruchomić plik lub pakiet złośliwego oprogramowania. W kampanii wykorzystywano m.in. malware takie jak BeaverTail, InvisibleFerret, OtterCookie, OtterCandy oraz StoatWaffle.

Po uruchomieniu zainfekowanego pliku atakujący przejmowali dane logowania, klucze prywatne, frazy seed, a nawet zrzuty ekranu. W praktyce dawało im to dostęp do walletów i kont ofiar.

Północnokoreańskie zaplecze i „laptop farm” w Japonii

W śledztwie pojawił się także wątek tzw. laptop farm w Japonii. To lokalne miejsce, w którym pośrednik udostępniał i zdalnie obsługiwał komputery dla północnokoreańskich pracowników IT, tak aby mogli wyglądać na osoby działające z Japonii lub innych krajów.

Japońska policja po raz pierwszy zabezpieczyła i zlikwidowała taką infrastrukturę na swoim terenie. W tle miały krążyć również setki milionów jenów w kryptowalutach i innych aktywach cyfrowych transferowanych za granicę.

Dlaczego służby ujawniły nazwę grupy

Wspólna alerte miała charakter tzw. publicznej atrybucji — służby wprost wskazały WaterPlum i powiązane z nią osoby, licząc na ograniczenie skali kolejnych ataków. Według ich oceny grupa oraz część pracowników IT z Korei Północnej działała pod nadzorem Bureau 313 z resortu zbrojeniowego powiązanego z Partią Pracy Korei.

To oznacza, że cyberprzestępczość i rekrutowanie technicznych specjalistów za granicą mogą być elementem jednego systemu służącego pozyskiwaniu dewiz oraz kradzieży danych i kodu.

Jak firmy i kandydaci mogą się bronić

W opublikowanych zaleceniach pojawiły się bardzo praktyczne wskazówki:

• nie uruchamiać niezweryfikowanego kodu poza sandboxem,
• sprawdzać kandydatów przez dodatkowe kanały, w tym oddzwaniając na numer telefonu,
• uważać na osoby proszące o wypłatę w krypto na konto należące do kogoś innego,
• zwracać uwagę na rozmówców, którzy podczas wideospotkania stale patrzą na drugi ekran, jakby czytali odpowiedzi,
• ograniczać dostęp do środowiska pracy przy otwieraniu nieznanych repozytoriów.

To właśnie obszar rekrutacji zdalnej stał się jednym z ulubionych punktów wejścia dla grupy, która uderzała jednocześnie w branżę technologiczną i rynek kryptowalut.

Zaatakowani byli blisko, ale nie wszyscy dali się oszukać

Wśród opisywanych przypadków znalazła się też sytuacja z japońską giełdą bitFlyer. Kandydat starający się tam o stanowisko inżynierskie wzbudził podejrzenia niespójnym angielskim i został odrzucony na etapie rozmowy wideo, zanim doszło do szkód.

To pokazuje, że przy coraz bardziej wyrafinowanych kampaniach czasem wystarczy zwykła czujność, by zatrzymać atak jeszcze przed rozpoczęciem infekcji.

Co z tego wynika dla rynku krypto

Sprawa WaterPlum przypomina, że w świecie kryptowalut zagrożenie nie zawsze przychodzi przez lukę w smart contractcie czy atak na giełdę. Coraz częściej punktem wejścia staje się człowiek — jego pośpiech, zaufanie i gotowość do wykonania polecenia podczas pozornie zwykłej rekrutacji.

W praktyce oznacza to, że bezpieczeństwo walleta zaczyna się dużo wcześniej niż przy podpisaniu transakcji. Zaczyna się już w chwili, gdy ktoś prosi o uruchomienie pliku, którego pochodzenia nie da się potwierdzić.