WaterPlum: hakerzy z KRLD ukradli dane 7 tys. portfeli

Japońska Narodowa Agencja Policji (NPA) wraz z FBI oraz organami ścigania z Australii i Niemiec ustaliły, że północnokoreańska grupa WaterPlum prowadziła kampanię phishingową podszywającą się pod oferty pracy. Ataki miały miejsce między grudniem 2025 a lipcem 2026 i dotyczyły ponad 30 000 urządzeń w ponad 100 krajach.

Na portfele kontrolowane przez sprawców przetransferowano kryptoaktywa o wartości co najmniej 1,7 mld jenów japońskich (około 10,8 mln USD). Organy ścigania szacują, że dane zostały wykradzione z co najmniej 7 000 portfeli kryptowalutowych. Głównymi celami byli specjaliści IT, w tym webdeveloperzy, inżynierowie oraz eksperci od kryptowalut, blockchaina i Web3.

Ataki rozpoczynały się od fałszywych ofert i rozmów kwalifikacyjnych. Napastnicy podszywali się pod firmy z branż AI, kryptowalut i NFT lub serwisy rekrutacyjne, zlecali zadania testowe i prosili kandydatów o pobranie oprogramowania z platform do współpracy nad kodem. W dystrybucji złośliwego oprogramowania wykorzystywano między innymi pakiety NPM zawierające rodziny BeaverTail, InvisibleFerret, OtterCookie, OtterCandy i StoatWaffle.

Po instalacji malware tworzył backdoora, zapewniał zdalny dostęp i umożliwiał kradzież danych. Zainfekowane komputery ujawniały dane uwierzytelniające przeglądarek, zapisy naciśnięć klawiszy, zawartość schowka, zrzuty ekranu oraz dane portfeli — w tym klucze prywatne i frazy seed. Sprawcy kopiowali też dokumenty i zdjęcia dokumentów tożsamości, co ułatwiało dalsze operacje i transfery środków.

Według oceny NPA i FBI działania WaterPlum oraz część północnokoreańskich pracowników IT są kierowane przez 313. Generalne Biuro Departamentu Przemysłu Wojskowego Komitetu Centralnego Partii Pracy Korei. Organy ścigania wykryły także stosowanie tzw. „farm laptopów” — komputerów zainstalowanych u lokalnych pośredników i zdalnie kontrolowanych przez operatorów w Korei Północnej. W Japonii po raz pierwszy zidentyfikowano i zlikwidowano taki punkt, a z analiz wynika, że przez podobne schematy transferowano środki o łącznej wartości sięgającej setek milionów jenów.

W maju 2025 roku japońska giełda bitFlyer odrzuciła aplikację kandydata podejrzanego o powiązania z siecią północnokoreańskich pracowników IT. Osoba korzystała z VPN, przesłała CV w imieniu innej osoby i nalegała na pracę zdalną oraz wypłatę wynagrodzenia w kryptowalucie; rekruterzy wykryli nieprawidłowości podczas rozmowy i nie dopuszczono jej do zatrudnienia.

NPA rekomenduje ograniczenie dostępu podwykonawców do systemów wewnętrznych, weryfikowanie tożsamości i kwalifikacji kandydatów oraz uruchamianie niezweryfikowanego kodu w piaskownicach lub w trybie ograniczonym. W przypadku infekcji zalecane jest natychmiastowe odizolowanie urządzenia od sieci. W odniesieniu do aktywów kryptowalutowych sugerowane jest utworzenie nowego portfela na innym urządzeniu i przeniesienie tam środków.

Wcześniejsze ustalenia organów ścigania wskazywały, że powiązane z KRLD grupy wnikały do 1 640 firm w 57 krajach w poszukiwaniu kluczy kryptograficznych. Opublikowane raporty dokumentują serię działań wymierzonych w infrastrukturę i użytkowników związanych z kryptowalutami.