«Мы выявили десятки других компрометаций, связанных с собеседованиями на работу, которые привели к компрометации кошельков» на индивидуальном уровне, — сказал Том Маклауд, старший аналитик по разведданным в Chainalysis. Индивидуальные потери варьировались от десятков тысяч до миллионов долларов.
Северокорейские группы «оттачивали и совершенствовали свою методику» в ходе этих атак, — сказал он. — Именно так появляются крупнейшие кражи в истории», — отметил Маклаут.
По словам Chainalysis, атака на Binance могла стать кульминацией месяцев или даже лет тренировок. Cryptopolitan сообщил, что Binance проследила свою утечку до приглашения на собеседование, отправленного инженеру в сентябре.
Инженер скачал задание на интервью, которое было заражено вредоносным кодом после двух раундов общения с фиктивной компанией. Старший менеджер по глобальным услугам Chainalysis Алек Зебрик называет это «заражающими собеседованиями», и они направлены на сотрудников с привилегированным доступом, чтобы их учётные данные могли быть использованы против работодателя.
Chainalysis также выделила случаи кражи приватных ключей из облачных хранилищ после вредоносного собеседования. Некоторые жертвы заявили, что их сид-фразы никогда не находились на заражённом устройстве, что, по мнению Chainalysis, может указывать на украденные учётные данные или сеансы в браузере.
В марте Microsoft задокументировала, что команда Defender Experts отслеживала кампанию «Contagious Interview», которая была активна как минимум с декабря 2022 года.
В рамках этой кампании фейковые рекрутеры из криптобирж или компаний, занимающихся ИИ, заставляют соискателей запускать пакеты вредоносного кода.
По данным Microsoft, внутри вредоносное ПО ищет мнемонические фразы для кошельков, базы данных KeePass и 1Password, а также криптографические ключи.
Blockchain Dead Drops выросли в пять раз за год
Chainalysis также сообщает, что кибератаки с использованием блокчейна увеличились в пять раз за последние 12 месяцев. Chainalysis называет это явление Blockchain Dead Drops, а рост связывают с участием акторов, поддерживаемых государствами, и потенциальным использованием открытых моделей ИИ.
Северокорейские акторы начали использовать технику под названием «Etherhiding» в начале 2025 года. Она связывает машины, заражённые через фейковые рабочие собеседования, с серверами управления и контроля злоумышленников, поскольку запись в блокчейне сложнее изъять полиции, чем данные на централизованном хостинге.
Одна из схем DPRK разделила инструкции между TRON и Aptos. Обе сети содержат указатели на полезную нагрузку, размещённую в BSC, а заражённые устройства перенаправляются к этой нагрузке.
Aptos используется как резервный вариант, если TRON недоступен.
В более новом подходе с «нулевым получателем» инструкция внедряется в специально созданный адрес. Этот адрес не контролируется злоумышленниками и не предназначен для хранения криптовалюты.
Заражённые машины интерпретируют этот адрес как команду.
В сентябре ФБР, Национальное полицейское агентство Японии, а также агентства Австралии и Германии публично обвинили северокорейскую группу под названием WaterPlum в краже криптовалюты на сумму около 10,71 миллиона долларов.
WaterPlum также известен как «Контагиозное собеседование». Его операция затронула конфиденциальные данные примерно 7000 крипто-аккаунтов.
ФБР приписало кражу с Binance северокорейской группе TraderTraitor, однако Пхеньян отверг любое участие. Chainalysis ожидает, что украденные средства будут продолжать перемещаться в ближайшие дни.
cryptopolitan.com
