Chainalysis связала более $14,3 млн потерь криптовалюты за последние 18 месяцев со схемой фальшивых собеседований, которую использовала КНДР и которая позднее была применена против Binance. Согласно выводам компании, занимающейся аналитикой блокчейна, эти менее крупные ограбления стали репетицией кражи $6,3 млрд у биржи.

Потери связаны с фальшивыми собеседованиями и схемами с вредоносным ПО, привязанными к КНДР; целями становились как частные владельцы криптовалюты и личные кошельки, так и протоколы и децентрализованные автономные организации (DAO).

Десятки фальшивых собеседований привели к компрометации кошельков

«Мы выявили десятки других случаев компрометации через фальшивые собеседования, которые привели к компрометации кошельков» на уровне частных лиц, сказал Том Маклаут, старший аналитик разведки в Chainalysis. Индивидуальные потери варьировались от десятков тысяч долларов до миллионов.

В этих атаках северокорейские группы «оттачивали и развивали свою методологию», добавил он. «Именно так вы приходите к крупнейшему ограблению в истории», — сказал Маклаут.

По оценке Chainalysis, атака на Binance могла стать кульминацией месяцев или даже лет репетиций. Cryptopolitan ранее сообщал, что Binance проследила источник взлома до приглашения на собеседование, отправленного инженеру в сентябре. После двух этапов общения с фиктивной компанией инженер скачал тестовое задание, в которое был внедрен вредоносный код.

Алек Зебрик, старший менеджер глобальных сервисов Chainalysis, называет эту тактику «заразными собеседованиями» (contagious interviews): их целью являются сотрудники с привилегированным доступом, чтобы их учетные данные можно было обернуть против работодателя.

Chainalysis также отметила случаи кражи приватных ключей из облачных хранилищ после вредоносного собеседования. Некоторые жертвы заявили, что их seed-фразы никогда не хранились на зараженном устройстве, что, по данным компании, может указывать на кражу облачных учетных записей или перехват браузерных сессий. Эта деталь показывает, что безопасность кошельков сегодня выходит за рамки одного устройства: облачные аккаунты и браузерные сессии, используемые для хранения или синхронизации учетных данных, сами могут стать точкой взлома.

В марте Microsoft задокументировала, что ее команда Defender Experts отслеживает кампанию Contagious Interview как минимум с декабря 2022 года. В рамках этой операции фиктивные рекрутеры, выдающие себя за сотрудников криптотрейдинговых или AI-компаний, убеждают соискателей запустить вредоносные пакеты кода. По данным Microsoft, вредоносное ПО внутри ищет мнемонические фразы кошельков, хранилища KeePass и 1Password, а также криптографические ключи. Поскольку фиктивные рекрутеры выдают себя за работодателей как в крипто-, так и в AI-сфере, сам процесс найма фактически превратился в поверхность атаки.

Blockchain Dead Drops выросли в пять раз за год

Chainalysis также сообщает, что кибератаки с использованием блокчейна выросли в пять раз за последние 12 месяцев. Компания называет эту технику Blockchain Dead Drops и связывает рост с активностью государственных субъектов и возможным использованием AI-моделей с открытыми весами.

Северокорейские субъекты начали применять этот подход, известный как «Etherhiding», в начале 2025 года. Он связывает машины, зараженные через фальшивые собеседования, с серверами command-and-control злоумышленников, поскольку блокчейн-запись сложнее изъять правоохранительным органам, чем централизованный хостинг.

В одной из настроек КНДР инструкции были разделены между TRON и Aptos. Обе цепочки содержат указатели на полезную нагрузку, размещенную в BSC, и зараженные устройства перенаправляются к ней, причем Aptos служит резервным вариантом при сбое TRON. Более новый вариант «null receiver» внедряет инструкцию в специально созданный адрес, который не контролируется и не предназначен для хранения криптовалюты; зараженные машины интерпретируют этот адрес как команду. Появление нового варианта столь скоро после дебюта Etherhiding в начале 2025 года указывает на сценарий, который активно дорабатывается.

В сентябре ФБР, Национальное агентство полиции Японии и ведомства Австралии и Германии публично возложили ответственность за кражу криптовалюты примерно на $10,71 млн на северокорейскую группировку, известную как WaterPlum. WaterPlum также называют группировкой «Contagious Interview», и ее операции затронули конфиденциальные данные около 7 000 криптовалютных аккаунтов. Совместная атрибуция властями четырех стран демонстрирует масштаб международного правоохранительного ответа на эту тактику.

ФБР связало взлом Binance с северокорейской группировкой TraderTraitor, однако Пхень отрицает какую-либо причастность. Chainalysis ожидает, что украденные средства продолжат перемещаться в ближайшие дни.