مصاحبه‌های شغلی جعلی کره شمالی از ۷٬۰۰۰ کیف پول ارز دیجیتال، ⁦$11M⁩ سرقت کردند

هفت نهاد از چهار کشور در هشداری مشترک که در ⁦18/09⁩ منتشر شد، اعلام کردند گروهی از کره شمالی که برای نفوذ به توسعه‌دهندگان خود را به‌جای استخدام‌کننده جا می‌زند، از بیش از ۷٬۰۰۰ کیف پول ارز دیجیتال دارایی یا اطلاعات دسترسی به دست آورده و حدود ⁦$10.71M⁩ را به پیونگ‌یانگ منتقل کرده است.

این گروه که آژانس پلیس ملی ژاپن آن را WaterPlum می‌نامد و در صنعت امنیت با نام Contagious Interview شناخته می‌شود، از حدود ⁦12/2025⁩ تا ⁦07/2026⁩، حداقل ⁦30,000⁩ دستگاه را در بیش از ۱۰۰ کشور آلوده کرد. هدف‌ها طراحان وب، مهندسان و متخصصان حوزه‌های ارز دیجیتال، بلاک‌چین و Web3 بودند.

گروه سایبری کره شمالی با نام «WaterPlum» به شبکه‌های رایانه‌ای جویندگان کار نفوذ می‌کند، داده‌های حساس را جمع‌آوری می‌کند و ارز دیجیتال را به سرقت می‌برد؛ این گروه متخصصان فناوری اطلاعات را در ژاپن، آمریکا، اروپا و نقاط دیگر هدف قرار می‌دهد. هشدار مشترک ما با @FBI و @NPA_KOHO را در https://t.co/ugVY5mmo6y بخوانید. pic.twitter.com/Q74qeXWQoP

--- مرکز جرایم سایبری وزارت دفاع آمریکا (DC3) (@DC3Forensics) ⁦18/09/2026⁩

این هشدار به امضای آژانس پلیس ملی ژاپن و دفتر ملی امنیت سایبری این کشور، اف‌بی‌آی و مرکز جرایم سایبری وزارت دفاع آمریکا، مرکز امنیت سایبری استرالیا وابسته به اداره سیگنال‌های استرالیا، و سرویس اطلاعات خارجی آلمان، BND، و آژانس امنیت داخلی این کشور، BfV، رسیده است.

آژانس پلیس ملی ژاپن و اف‌بی‌آی بر این باورند که WaterPlum و برخی از نیروهای دورکار فناوری اطلاعات کره شمالی هر دو به اداره کل ۳۱۳ِ وزارت صنایع مهمات گزارش می‌دهند؛ این اداره زیر نظر کمیته مرکزی حزب کارگران فعالیت می‌کند. این دو عملیات همچنین از نشانی‌های IP یکسانی برای دسترسی به مزارع لپ‌تاپ، استفاده از خدمات جمع‌سپاری و درخواست شغل استفاده کردند؛ نهادها این موارد را مدرکی می‌دانند که نشان می‌دهد این دو، یک عملیات واحد هستند.

کارزار هک کره شمالی

عوامل این گروه خود را نماینده شرکت‌های هوش مصنوعی، ارز دیجیتال یا NFT جا می‌زنند، از طریق شبکه‌های اجتماعی، سایت‌های کاریابی و بازارهای فریلنسری با توسعه‌دهندگان ارتباط می‌گیرند و سپس یک مصاحبه فنی یا وظیفه کدنویسی تعیین می‌کنند. به داوطلبان گفته می‌شود فایل‌هایی را از پلتفرم‌های توسعه‌دهندگان دانلود کنند تا یا تکلیف را انجام دهند یا ایرادی ظاهری را در تماس ویدیویی برطرف کنند. در این هشدار نام پنج خانواده بدافزاری آمده که در این بسته‌ها قرار داشتند؛ از جمله BeaverTail، InvisibleFerret و StoatWaffle که مورد آخر در مخازن با موضوع بلاک‌چین پنهان می‌شود.

این هشدار همچنین مشاهدات بازرسان درباره خود اعضای گروه را ثبت می‌کند. اعضا در مصاحبه‌ها از نرم‌افزارهای هوش مصنوعی برای تعویض چهره استفاده می‌کردند، سپس ویدیو را قطع می‌کردند و با بهانه‌کردن مشکل اتصال از داوطلب می‌خواستند همین کار را انجام دهد. آن‌ها با ابزارهای تبدیل متن به گفتار، تلفظ ژاپنی را تمرین می‌کردند، به‌طور مداوم از نسخه‌های رایگان ابزارهای ترجمه ماشینی و هوش مصنوعی استفاده می‌کردند و در تعطیلاتی که در کره شمالی جشن گرفته می‌شوند، به‌جای انجام عملیات معمول خود بازی می‌کردند و ویدیوهای فوتبال تماشا می‌کردند.

مقام‌های ژاپنی همچنین یک مزرعه لپ‌تاپ را که یک همدست داخلی اداره می‌کرد شناسایی و برچیدند؛ این نخستین مورد از این نوع در کشور بود. آن‌ها شواهدی یافتند که نشان می‌داد چند صد میلیون ین ارز دیجیتال به خارج از کشور منتقل شده است. مزرعه لپ‌تاپ معمولاً خانه یک همدست است که در آن رایانه‌های کاری را نیروهای فناوری اطلاعات در کره شمالی، چین یا روسیه از راه دور اداره می‌کنند.
هکرهای ارز دیجیتال کره شمالی در سال ۲۰۲۵ ⁦$2.1B⁩ را سرقت کردند؛ ⁦%60⁩ از کل زیان‌ها: CertiK

یک صرافی ارز دیجیتال ژاپنی در ⁦05/2025⁩ درخواست یک متقاضی را رد کرد؛ رزومه او ادعاهایی درباره مهارت‌هایی به‌طرز غیرمعقول گسترده داشت و سطح انگلیسی‌اش با سوابق ارائه‌شده مطابقت نمی‌کرد. نشانه‌های هشدار دیگر شامل خودداری از ملاقات حضوری، درخواست دریافت دستمزد به‌صورت ارز دیجیتال و نگاه‌کردن مکرر به صفحه‌نمایش دوم است.

این سرقت بخشی از کارزاری بسیار گسترده‌تر است. CertiK گروه‌های مرتبط با کره شمالی را مسئول ⁦%60⁩ از کل زیان‌های ناشی از سرقت ارز دیجیتال در سال ۲۰۲۵، معادل حدود ⁦$2.06B⁩، دانست؛ همچنین هک ⁦$285M⁩ پروتکل Drift در ماه آوریل پس از آن رخ داد که مهاجمان به‌مدت شش ماه خود را یک شرکت معاملات کمی جا زده بودند.

این محتوا صرفاً برای اطلاع‌رسانی عمومی ارائه شده است و به‌منزله مشاوره مالی، سرمایه‌گذاری، حقوقی یا مالیاتی تلقی نمی‌شود. هرگونه رویداد، جایزه، کمپین آنلاین یا اطلاعات مرتبط که در اینجا ذکر شده است، نباید به‌عنوان توصیه، ترغیب یا دعوت به خرید، فروش، معامله یا هرگونه دادوستد دیگر دارایی‌های رمزارزی تلقی شود. دارایی‌های رمزارزی از نوسان بالایی برخوردار هستند و ممکن است منجر به زیان شوند. دسترسی به خدمات، محصولات و رویدادهای مرتبط با WEEX ممکن است بسته به منطقه جغرافیایی متفاوت باشد. اطمینان از اینکه استفاده شما از این خدمات با قوانین و مقررات محلی مطابقت دارد، بر عهده خود شماست.