Hakerzy zainfekowali 30 tysięcy urządzeń. W efekcie mogą okraść 7 tysięcy portfeli z kryptowalutami

Hakerzy powiązani z Koreą Północną zainfekowali ponad 30 000 urządzeń w przeszło 100 krajach, wszystko w okresie od grudnia 2025 do lipca 2026 roku. Potwierdziła to japońska Narodowa Agencja Policyjna (NPA), która dodała, że grupa WaterPlum, która stała za akcją, ukradła dane powiązane z ponad 7000 portfelami na kryptowaluty.

Dodaj nas do ulubionych źródeł w Google

Hakerzy atakują!

Sprawę badały japońska Narodowa Agencja Policyjna, Krajowe Biuro ds. Cyberbezpieczeństwa (NCO), FBI, DC3, ASD, ACSC, BND oraz BfV.

Kluczowa jest tutaj Grupa WaterPlum, która – jak podają służby – nawiązywała kontakt z programistami i specjalistami z branży Web3 za pośrednictwem mediów społecznościowych, portali rekrutacyjnych oraz platform dla freelancerów. Hakerzy podszywali się pod legalnie działające firmy z branży AI i kryptowalut, oferując u siebie zatrudnienie. Kandydatom na pracowników (czyt. ofiarom) podsyłano linki do programów, które umożliwiały organizacje wideokonferencji. Oczywiście w praktyce były to wirusy, które umożliwiały zdalny dostęp do urządzeń i kradzież danych (m.in. dane logowania zapisane w przeglądarkach, zawartość schowka, zrzuty ekranu, rejestr naciśnięć klawiszy, klucze prywatne oraz frazy seed portfeli z kryptowalutami).

Jakby tego było mało, atakujący starali się ukraść dokumenty: skany praw jazdy, paszportów i innych dokumentów tożsamości. Chodziło więc i o bezpośrednie kradzieże aktywów, ale też tożsamości.

Łącznie mieli przejąć dane dot. 7 tys. portfeli z cyfrowymi aktywami. Ich wirusy trafiły na 30 tys. urządzeń.

Północnokoreańscy hakerzy transferowali już przejęte kryptowaluty o wartości kilkuset milionów jenów za granicę. Odkryto, że działali m.in. z terytorium Korei Północnej, Chin i Rosji.

O skali ich profesjonalizmu niech świadczy to, że podczas rozmów kwalifikacyjnych online cyberprzestępcy korzystali z oprogramowania Magicam, służącego do podmieniania twarzy. Używali również narzędzia NaturalReader, które poprawiało ich wymowę słów w języku japońskim. Wszystko by jak najlepiej uśpić czujność ofiar.

Fałszywy kandydat

To jednak nadal nie koniec. W ramach śledztwa odkryto też, że w maju 2025 roku o pracę w japońskiej giełdzie kryptowalut bitFlyer starał się północnokoreański informatyk.

Okazało się, że osoba, która starała się o pracę, posłużyła się cudzą tożsamością i przesłała zgłoszenie bezpośrednio przez system rekrutacyjny firmy bitFlyer. Korzystała przy tym z konta Gmail oraz kilku usług VPN. W CV pochwaliła się umiejętnościami z zakresu programowania, technologii blockchain, kryptowalut i przetwarzania w chmurze. Kandydat miał zdobyć doświadczenie w Europie.

Już jednak podczas rozmowy kwalifikacyjnej online przedstawiciel bitFlyer dostrzegł pewne nieścisłości. Ekspert podawał, że jest obywatelem Malezji i mieszka w Finlandii. Nie mógł się, jak twierdził, przeprowadzić do Japonii i chciał otrzymywać wypłatę w kryptowalucie. Do tego często zachowywał się tak jakby zerkał na inny ekran. W tle było słychać inny głos – zupełnie jakby ktoś podpowiadał mu, co ma mówić. Podczas rozmowy dochodziło również do zakłóceń transmisji wideo. Wiele wskazuje na to, że kandydat ten był hakerem-szpiegiem, który chciał infiltrować giełdę.

Przeczytaj też inne gorące newsy: