Japonia: północnokoreańscy hakerzy ukradli dane 7000 portfeli kryptowalutowych

Powiązana z Koreą Północną grupa hakerska WaterPlum zainfekowała ponad 30 000 urządzeń w ponad 100 krajach i regionach, kradnąc informacje z ponad 7000 portfeli kryptowalutowych, jednocześnie kierując ataki na programistów poprzez fałszywe kampanie rekrutacyjne.

Japońska Krajowa Agencja Policji poinformowała 18 września, że jej śledztwo, przeprowadzone wspólnie z Krajowym Biurem ds. Cyberbezpieczeństwa, FBI, Centrum Zwalczania Cyberprzestępczości Departamentu Obrony USA oraz agencjami w Australii i Niemczech, ujawniło metody ataków grupy i jej powiązania z północnokoreańskimi pracownikami IT.

Japońskie i amerykańskie władze oceniły, że WaterPlum, powiązana z działalnością zagrożenia powszechnie znaną jako Contagious Interview, oraz niektórzy północnokoreańscy pracownicy IT działają w ramach Biura 313 Departamentu Przemysłu Zbrojeniowego Partii Pracy Korei.

Śledczy ustalili, że ponad 30 000 komputerów zostało prawdopodobnie zainfekowanych w okresie od około grudnia 2025 do lipca 2026 roku. Ofiary były rozproszone w ponad 100 krajach i regionach, w tym w Japonii, a wśród głównych celów znaleźli się projektanci stron internetowych, inżynierowie oraz osoby pracujące w branży kryptowalut, blockchain i Web3.

Podczas infekcji skradziono ponad 7000 rekordów portfeli kryptowalutowych, a portfele kontrolowane przez WaterPlum otrzymały co najmniej 1,7 miliarda jenów, co odpowiada około 10,7 miliona dolarów według kursu wymiany stosowanego przez japońskie władze.

Japońskie Ministerstwo Spraw Zagranicznych osobno potwierdziło, że władze Japonii, Stanów Zjednoczonych, Australii i Niemiec wspólnie ujawniły taktyki WaterPlum oraz działania północnokoreańskich pracowników IT zaangażowanych w schematy generowania walut obcych i rekrutacji.

WaterPlum wykorzystywała fałszywe oferty pracy w kryptowalutach do rozprzestrzeniania złośliwego oprogramowania

WaterPlum kontaktowała się z programistami i innymi pracownikami IT za pośrednictwem mediów społecznościowych, internetowych serwisów z ofertami pracy, platform gigowych i marketplace’ów freelancerskich, zgodnie z raportem japońskiej policji. Napastnicy podszywali się pod legalne firmy zajmujące się sztuczną inteligencją, kryptowalutami i NFT lub usługi rekrutacyjne, a następnie przedstawiali kandydatom pozornie atrakcyjne oferty pracy.

Podczas rozmów technicznych lub testów kodowania kandydaci byli instruowani do pobrania złośliwych programów hostowanych na platformach do wspólnego tworzenia oprogramowania i repozytoriach kodu. Niektórym ofiarom mówiono, że pliki są potrzebne do zdiagnozowania problemów z oprogramowaniem do wideokonferencji lub do ukończenia zadania kodowania.

Grupa umieściła złośliwe oprogramowanie, w tym BeaverTail, InvisibleFerret, OtterCookie, OtterCandy i StoatWaffle, w złośliwych pakietach NPM. Po zainfekowaniu urządzenia napastnicy mogli ustanowić backdoory i używać narzędzi zdalnego dostępu, aby utrzymać dostęp i przemieszczać się po zainfekowanych systemach. Następnie wykorzystano złośliwe oprogramowanie do kradzieży informacji, aby wydobyć poufne dane i kryptowaluty.

Skradzione informacje obejmowały dane uwierzytelniające przeglądarki, naciśnięcia klawiszy, zrzuty ekranu i dane ze schowka. Klucze prywatne i frazy seed portfeli kryptowalutowych znalazły się wśród skradzionych rekordów, obok dokumentów tożsamości, takich jak paszporty i prawa jazdy przechowywane na zainfekowanych komputerach lub w udostępnionych folderach.

Badacze bezpieczeństwa udokumentowali podobne metody rekrutacji w branży kryptowalut. Jak wcześniej informował crypto.news, powiązani z Koreą Północną programiści pracowali w ponad 40 projektach DeFi przez siedem lat, według dewelopera MetaMask i badacza bezpieczeństwa Taylora Monahana. Śledczy opisali oferty pracy, e-maile, wiadomości na LinkedIn, rozmowy na Zoomie i procesy rekrutacyjne jako powtarzające się drogi wykorzystywane do docierania do celów.

Północnokoreańscy pracownicy IT korzystali z farm laptopów w Japonii

Japońscy śledczy poinformowali, że rozbili pierwszą znaną krajową „farmę laptopów” powiązaną z północnokoreańskimi pracownikami IT w tym kraju. W ramach tego procederu lokalny pośrednik przechowywał komputery w swoim miejscu zamieszkania, podczas gdy pracownicy zdalnie kontrolowali te maszyny z innego miejsca.

Pracownicy wykorzystywali dokumenty tożsamości dostarczone przez osoby mieszkające w Japonii, aby podszywać się pod nie podczas ubiegania się o kontrakty. W niektórych przypadkach płatności były kierowane na konta bankowe kontrolowane przez pośredników, którzy następnie przekazywali pieniądze dalej. Północnokoreańscy pracownicy powiązani ze śledztwami wysłali za granicę kryptowaluty i inne aktywa o wartości setek milionów jenów, według agencji.

Niektórzy pracownicy działali z Korei Północnej, podczas gdy inni mieli siedzibę w Chinach lub Rosji, a mniejsza liczba znajdowała się w Afryce i Azji Południowo-Wschodniej. Farmy laptopów i wirtualne serwery prywatne pozwalały im ukryć, gdzie faktycznie wykonywana była praca, jednocześnie przyjmując zlecenia za pośrednictwem krajowych i zagranicznych serwisów crowdsourcingowych.

Porównywalne operacje były ścigane w Stanach Zjednoczonych. Dwóch Amerykanów otrzymało w 2026 roku wyroki 18 miesięcy pozbawienia wolności za pomoc północnokoreańskim pracownikom w zdalnym dostępie do firmowych laptopów, podczas gdy Departament Sprawiedliwości podał, że proceder obejmował prawie 70 firm i wygenerował ponad 1,2 miliona dolarów. Wyroki te zwiększyły liczbę pośredników farm laptopów skazanych w Stanach Zjednoczonych w ciągu pięciu miesięcy do ośmiu.

Władze USA ścigały również dochody z tych schematów zatrudnienia poprzez sprawy o przepadek kryptowalut. Sędzia federalny we wrześniu nakazał przepadek około 212 700 dolarów w USDC i USDT pochodzących z adresów płatniczych używanych przez północnokoreańskich pracowników IT, co jest częścią wysiłków Departamentu Sprawiedliwości obejmujących ponad 7,74 miliona dolarów w aktywach cyfrowych.

Prokuratorzy podali, że przepadnięty portfel otrzymał około 158 123 USDC z co najmniej 10 adresów używanych do płacenia pracownikom oraz 54 574 USDT z co najmniej czterech innych adresów płatniczych. Władze twierdziły, że pracownicy ukrywali swoją tożsamość i lokalizację, podejmując zagraniczne prace technologiczne, a następnie kierowali swoje zarobki przez kryptowaluty.

bitFlyer przyłapał podejrzanego północnokoreańskiego kandydata

Japońskie śledztwo zidentyfikowało odrębną próbę podejrzanego północnokoreańskiego pracownika IT zdobycia stanowiska inżyniera w giełdzie kryptowalut bitFlyer w maju 2025 roku.

Kandydat przesłał CV pod tożsamością innej osoby bezpośrednio przez formularz rekrutacyjny giełdy i użył Gmail jako adresu kontaktowego. Śledczy podali, że osoba ta uzyskała dostęp do systemu aplikacyjnego przez VPN i usługi proxy, w tym NETNUT Proxy, Astrill VPN i High Speed Rabbit Proxy.

Podczas rozmowy online kandydat twierdził, że jest Malezyjczykiem mieszkającym w Finlandii. CV wymieniało obszerne doświadczenie w językach programowania, blockchain, kryptowalutach i usługach chmurowych, a także wykształcenie na europejskim uniwersytecie i zatrudnienie w kilku miastach europejskich i azjatyckich.

Kandydat potrafił odpowiedzieć na proste pytania dotyczące wymienionych umiejętności, ale udzielał abstrakcyjnych odpowiedzi lub unikał bardziej szczegółowych pytań, według agencji. Śledczy zauważyli powtarzające się sprawdzanie innego monitora podczas rozmowy, sporadyczne głosy w tle i przerwy w transmisji wideo. Osoba ta opierała się przeprowadzce do Japonii i nalegała na otrzymywanie wynagrodzenia w kryptowalucie. bitFlyer zidentyfikował podejrzane zachowanie i nie zatrudnił kandydata, a nie zgłoszono żadnych szkód.

Podobna próba rekrutacji została wcześniej wykryta w Kraken, gdzie kandydat podejrzany o powiązania z Koreą Północną dołączył do rozmowy kwalifikacyjnej używając imienia innego niż w CV i wydawało się, że otrzymuje pomoc w czasie rzeczywistym podczas rozmowy. Giełda później powiązała adres e-mail kandydata z informacjami wcześniej oznaczonymi przez partnerów branżowych.

Śledczy powiązali działalność WaterPlum z tą samą infrastrukturą

Japońskie władze znalazły techniczne powiązanie między atakami WaterPlum, operacjami zagranicznych pracowników i próbą rekrutacji do bitFlyer.

Adresy IP używane przez atakujących WaterPlum odpowiadały adresom używanym przez północnokoreańskich pracowników IT do łączenia się z farmami laptopów i usługami crowdsourcingowymi, według Krajowej Agencji Policji. Śledczy ustalili, że podejrzany północnokoreański pracownik, który aplikował na stanowisko inżyniera w bitFlyer, używał pasującej infrastruktury.

Agencja Policji Narodowej i FBI oceniły, że Biuro 313 odegrało kluczową rolę zarówno w cyberatakach WaterPlum, jak i w niektórych operacjach zarabiania na walutach obcych prowadzonych przez północnokoreańskich pracowników IT.

Japońskie władze doradziły firmom weryfikację deklarowanych przez kandydatów lokalizacji, kwalifikacji i danych kontaktowych, szczególnie gdy kandydaci nalegają na pracę zdalną lub płatności w kryptowalutach. Pracodawcy zostali zachęceni do sprawdzania umiejętności technicznych podczas rozmów kwalifikacyjnych oraz do dokładnego analizowania przypadków, w których podane miejsce zamieszkania kandydata nie odpowiada lokalizacji adresu IP użytego do złożenia aplikacji.