Chainalysis heeft meer dan $14,3 miljoen aan cryptoverliezen van de afgelopen 18 maanden toegeschreven aan de tactiek van Noord-Koreaanse nep-sollicitatiegesprekken die later ook tegen Binance werd gebruikt. Volgens de bevindingen van het blockchain-analysebedrijf dienden die kleinere diefstallen als oefening voor de diefstal van $6,3 miljard bij de beurs.

De verliezen stammen van nep-sollicitatiegesprekken en malwarescenario's die met Noord-Korea (DPRK) worden verbonden, met doelwitten variërend van individuele crypto-houders en privéwallets tot protocollen en gedecentraliseerde autonome organisaties (DAO's).

Tientallen nep-sollicitatiegesprekken leidden tot gecompromitteerde wallets

“We've identified dozens of other job interview compromises that have led to wallet compromises” op individueel niveau, aldus Tom McLouth, senior intelligence-analist bij Chainalysis. Individuele verliezen liepen uiteen van tienduizenden dollars tot miljoenen.

Noord-Koreaanse groepen waren in die aanvallen bezig hun werkwijze te “perfecten en door te ontwikkelen”, voegde hij toe. “Dat is hoe je uitkomt bij de grootste diefstal uit de geschiedenis”, zei McLouth.

Volgens de inschatting van Chainalysis zou de aanval op Binance het hoogtepunt kunnen zijn van maanden of zelfs jaren van repetitie. Cryptopolitan meldde eerder dat Binance de inbreug herleidde tot een uitnodiging voor een sollicitatiegesprek die in september naar een ingenieur werd gestuurd. Na twee ronden met een nepbedrijf downloadde de ingenieur een opdracht die van tevoren was voorzien van kwaadaardige code.

Alec Zebrick, Senior Manager of Global Services bij Chainalysis, noemt deze tactiek “contagious interviews”, gericht op medewerkers met verhoogde toegangsrechten, zodat hun inloggegevens tegen de werkgever kunnen worden gebruikt.

Chainalysis wees ook op gevallen waarin privésleutels uit cloudopslag werden gestolen na een kwaadaardig sollicitatiegesprek. Sommige slachtoffers zeiden dat hun seed phrases nooit op het geïnfecteerde apparaat hadden gestaan, wat volgens het bedrijf kan wijzen op gestolen cloudaccountgegevens of gekaapte browsersessies. Dat detail illustreert waarom walletbeveiliging tegenwoordig verder reikt dan één apparaat: de cloudaccounts en browsersessies die worden gebruikt om inloggegevens op te slaan of te synchroniseren, kunnen zelf het invalspunt worden.

In maart documenteerde Microsoft dat het team Defender Experts sinds ten minste december 2022 de campagne Contagious Interview volgt. Bij die operatie overtuigen nepwervers die zich voordoen als medewerkers van crypto-handelsbedrijven of AI-bedrijven sollicitanten om kwaadaardige codepakketten uit te voeren. Microsoft zei dat de malware daarin zoekt naar wallet-mnemoniczinnen, KeePass- en 1Password-kluizen en cryptografische sleutels. Doordat nepwervers zich in zowel crypto als AI voordoen als werkgevers, is het wervingsproces zelf effectief een aanvalsoppervlak geworden.

Blockchain Dead Drops namen in één jaar met een factor vijf toe

Chainalysis meldt ook dat cyberaanvallen via blockchain zich in de afgelopen 12 maanden met een factor vijf hebben vermenigvuldigd. Het bedrijf noemt de techniek Blockchain Dead Drops en schrijft de toename toe aan statelijke actoren en het mogelijke gebruik van open-weight AI-modellen.

Noord-Koreaanse actoren begonnen begin 2025 met het gebruik van de aanpak, bekend als “Etherhiding”. De techniek koppelt via nep-sollicitatiegesprekken geïnfecteerde machines aan de command-and-control-servers van de aanvallers, omdat een blockchainrecord voor opsporingsdiensten moeilijker te vorderen is dan centraal gehoste infrastructuur.

Eén DPRK-opzet verdeelde de instructies tussen TRON en Aptos. Beide ketens bevatten verwijzingen naar een payload op BSC, en geïnfecteerde apparaten worden ernaartoe omgeleid, waarbij Aptos fungeert als reserve-optie als TRON faalt. Een nieuwere “null receiver”-variant plaatst de instructie in een speciaal vervaardigd adres dat niet wordt beheerst en niet is ontworpen om crypto te bevatten; geïnfecteerde machines interpreteren het adres als een opdracht. Dat er zo kort na de introductie van Etherhiding begin 2025 al een nieuwere variant opdook, wijst op een draaiboek dat nog actief wordt verfijnd.

In september beschuldigden de FBI, de Nationale Politieagentschap van Japan en instanties in Australië en Duitsland publiekelijk een Noord-Koreaanse groep, bekend als WaterPlum, van een cryptodiefstal van circa $10,71 miljoen. WaterPlum staat ook bekend als de groep “Contagious Interview”, en de operaties betroffen gevoelige gegevens van circa 7.000 cryptoaccounts. De gezamenlijke toerekening door autoriteiten uit vier landen toont de schaal van de internationale opsporingsreactie die de tactiek heeft uitgelokt.

De FBI schreef de Binance-hack toe aan de Noord-Koreaanse groep TraderTraitor, al ontkende elke betrokkenheid van Pyongyang. Chainalysis verwacht dat de gestolen fondsen de komende dagen in beweging blijven.