Северокорейские фиктивные собеседования выманили 11 млн долларов из 7 000 криптокошельков

Северокорейская группа, выдававшая себя за рекрутеров, похитила средства или учетные данные более чем из 7 000 криптовалютных кошельков. Группа перевела около 10,71 млн долларов в Пхеньян. Семь ведомств из четырех стран выпустили совместное предупреждение 18 сентября. Национальное полицейское агентство Японии называет эту группу WaterPlum. В сфере кибербезопасности ее называют Contagious Interview. В период примерно с декабря 2025 года по июль 2026 года группа заразила не менее 30 000 устройств более чем в 100 странах. Среди ее целей были веб-дизайнеры, инженеры и специалисты по криптовалютам, блокчейну и проектам Web3. Предупреждение подписали ведомства из Японии, США, Австралии и Германии. Национальное полицейское агентство и FBI считают, что WaterPlum и некоторые северокорейские удаленные ИТ-работники подчиняются 313-му общему управлению Департамента оборонной промышленности. Ведомства сочли общие IP-адреса и схожее использование ферм ноутбуков, краудсорсинговых сервисов и заявок на работу доказательством того, что эти операции осуществляет одна группа. Злоумышленники выдавали себя за компании в сфере искусственного интеллекта, криптовалют и NFT. Они связывались с разработчиками через социальные сети, сайты вакансий и площадки для фриланса. Затем они организовывали технические собеседования или задания по программированию. Кандидатов просили скачивать файлы с платформ для разработчиков, чтобы выполнить задания или устранить якобы возникшую проблему с видеозвонком. В предупреждении названы пять семейств вредоносных программ, распространявшихся в этих пакетах, включая BeaverTail, InvisibleFerret и StoatWaffle. StoatWaffle скрывается в репозиториях, посвященных блокчейну. Во время собеседований участники использовали программное обеспечение для замены лиц с помощью искусственного интеллекта. Они выключали видео и просили кандидатов сделать то же самое, ссылаясь на проблемы с соединением. Они также практиковались в японском произношении с помощью инструментов преобразования текста в речь. Японские власти впервые в стране ликвидировали внутреннюю ферму ноутбуков. Они обнаружили свидетельства того, что несколько сотен миллионов иен в криптовалюте были переведены за рубеж. Японская криптобиржа отказала кандидату в мае 2025 года после того, как обнаружила неправдоподобно широкий набор навыков в резюме и несоответствие, связанное с английским языком. Среди других настораживающих признаков были отказ от личных встреч, просьбы об оплате в криптовалюте и постоянные взгляды на второй экран. По оценке CertiK, на связанные с Северной Кореей группы в 2025 году пришлось 60 % всех потерь от кражи криптовалют. Эти потери составили около 2,06 млрд долларов. Перед взломом Drift Protocol в апреле, в результате которого было похищено 285 млн долларов, злоумышленники также выдавали себя за фирму, занимающуюся количественной торговлей.