Chainalysis przypisała ponad 14,3 mln USD strat w kryptowalutach w ciągu ostatnich 18 miesięcy północnokoreańskiemu schematowi fałszywych rozmów o pracę, który później został użyty przeciwko Binance. Zgodnie z ustaleniami firmy zajmującej się analityką blockchaina te mniejsze kradzieże służyły jako próby generalne przed kradzieżą 6,3 mld USD z giełdy.

Straty pochodzą z powiązanych z KRLD fałszywych rozmów kwalifikacyjnych i schematów ze złośliwym oprogramowaniem, a ich cele obejmowały od indywidualnych posiadaczy kryptowalut i prywatnych portfeli po protokoły i zdecentralizowane autonomiczne organizacje (DAO).

Dziesiątki fałszywych rozmów o pracę doprowadziły do przejęcia portfeli

„Zidentyfikowaliśmy dziesiątki innych naruszeń związanych z rozmowami o pracę, które doprowadziły do przejęcia portfeli” na poziomie indywidualnym, powiedział Tom McLouth, starszy analityk wywiadu w Chainalysis. Indywidualne straty wahały się od dziesiątek tysięcy dolarów do milionów.

Północnokoreańskie grupy „doskonaliły i rozwijały swoją metodykę” w tych atakach, dodał. „W ten sposób kończysz z największą kradzieżą w historii” – powiedział McLouth.

W ocenie Chainalysis atak na Binance może być kulminacją miesięcy, a nawet lat ćwiczeń. Cryptopolitan wcześniej informował, że Binance prześledził naruszenie do zaproszenia na rozmowę o pracę wysłanego we wrześniu do inżyniera. Po dwóch rundach z fałszywą firmą inżynier pobrał zadanie rekrutacyjne, w którym ukryto złośliwy kod.

Alec Zebrick, starszy kierownik ds. usług globalnych w Chainalysis, określa tę taktykę mianem „zaraźliwych rozmów kwalifikacyjnych”, które wymierzone są w pracowników z uprzywilejowanym dostępem, aby ich poświadczenia mogły zostać użyte przeciwko pracodawcy.

Chainalysis wskazała również przypadki kradzieży kluczy prywatnych z magazynu w chmurze po złośliwej rozmowie. Niektóre ofiary twierdziły, że ich frazy seed nigdy nie były przechowywane na zainfekowanym urządzeniu, co według firmy może oznaczać skradzione dane logowania do chmury lub przejęte sesje przeglądarki. Ten szczegół pokazuje, dlaczego bezpieczeństwo portfela wykracza obecnie poza pojedyncze urządzenie: konta w chmurze i sesje przeglądarki używane do przechowywania lub synchronizacji poświadczeń mogą same stać się punktem włamania.

W marcu Microsoft udokumentował, że jego zespół Defender Experts śledzi kampanię Contagious Interview aktywną co najmniej od grudnia 2022 roku. W tej operacji fałszywi rekruterzy podający się za pracowników firm handlujących kryptowalutami lub firm AI skłaniają kandydatów do uruchomienia złośliwych pakietów kodu. Microsoft poinformował, że zawarte w nich złośliwe oprogramowanie wyszukuje frazy mnemoniczne portfeli, magazyny KeePass i 1Password oraz klucze kryptograficzne. Gdy fałszywi rekruterzy podszywają się pod pracodawców zarówno w krypto, jak i w AI, sam proces rekrutacji skutecznie stał się powierzchnią ataku.

Blockchain Dead Drops wzrosły pięciokrotnie w ciągu roku

Chainalysis informuje również, że ataki cybernetyczne wykorzystujące blockchain wzrosły pięciokrotnie w ciągu ostatnich 12 miesięcy. Firma nazywa tę technikę Blockchain Dead Drops i przypisuje wzrost aktorom państwowym oraz potencjalnemu wykorzystaniu otwartych modeli AI.

Północnokoreańscy aktorzy zaczęli stosować podejście znane jako „Etherhiding” na początku 2025 roku. Łączy ono zainfekowane za pośrednictwem fałszywych rozmów o pracę maszyny z serwerami command-and-control atakujących, ponieważ rekord blockchainowy jest trudniejszy do przejęcia przez organy ścigania niż infrastruktura hostowana centralnie.

Jedna z konfiguracji KRLD podzieliła instrukcje między TRON i Aptos. Oba łańcuchy zawierają wskaźniki do ładunku hostowanego na BSC, a zainfekowane urządzenia są do niego przekierowywane, przy czym Aptos służy jako rozwiązanie zapasowe w razie awarii TRON. Nowszy wariant „null receiver” osadza instrukcję w specjalnie spreparowanym adresie, który jest niekontrolowany i nie jest przeznaczony do przechowywania kryptowalut; zainfekowane maszyny interpretują adres jako polecenie. Pojawienie się nowszego wariantu tak szybko po debiucie Etherhidingu na początku 2025 roku wskazuje na podręcznik działań, który wciąż jest aktywnie doskonalony.

We wrześniu FBI, Japońska Agencja Policji Krajowej oraz agencje w Australii i Niemczech publicznie obarczyły odpowiedzialnością północnokoreańską grupę znaną jako WaterPlum za kradzież kryptowalut o wartości ok. 10,71 mln USD. WaterPlum jest również określana jako grupa „Contagious Interview”, a jej działania objęły dane wrażliwe dotyczące około 7 000 kont kryptowalutowych. Wspólne przypisanie odpowiedzialności przez władze z czterech krajów pokazuje skalę międzynarodowej reakcji organów ścigania na tę taktykę.

FBI przypisało napad na Binance północnokoreańskiej grupie TraderTraitor, choć Pjongjang zaprzecza jakiegokolwiek udziałowi. Chainalysis oczekuje, że skradzione środki będą pozostawać w ruchu w kolejnych dniach.