Raport twierdzi, że północnokoreańska grupa hakerska WaterPlum podszywała się pod agencję rekrutacyjną, atakując firmy z branży kryptowalut, AI i NFT, infekując 30 000 urządzeń i kradnąc co najmniej 10,7 mln USD z ponad 7 000 portfeli kryptowalutowych między grudniem 2025 r. a lipcem 2026 r.

Według tych twierdzeń WaterPlum wykorzystywała fałszywe metody rekrutacji, aby dotrzeć do programistów i specjalistów IT, przedstawiając złośliwe pliki jako zadania programistyczne lub poprawki wymagane dla oprogramowania do wideokonferencji. Kampania miała koncentrować się na pracownikach związanych z firmami z sektora kryptowalut, AI i NFT.

W raporcie opisano szeroko zakrojoną operację transgraniczną, twierdząc, że zainfekowano co najmniej 30 000 urządzeń w ponad 100 krajach. Stwierdzono również, że w okresie od grudnia 2025 r. do lipca 2026 r. z ponad 7 000 portfeli kryptowalutowych pozyskano środki lub dane uwierzytelniające do kont, a łączne straty wyniosły co najmniej 10,7 mln USD.

Jednak publicznie weryfikowalne potwierdzenie tych twierdzeń pozostaje ograniczone. Dostępne kontrole uzupełniające nie wykazały odpowiadającego im publicznego raportu, komunikatu organów ścigania ani głównego rejestru analiz blockchain, który niezależnie potwierdzałby nazwę WaterPlum, zgłoszoną skalę ofiar lub deklarowane straty.

Odnotowano osobne doniesienia o innych grupach hakerskich powiązanych z Koreą Północną, które stosowały podobne techniki socjotechniczne wymierzone w pracowników branży kryptowalut, w tym fałszywe oferty pracy, testy techniczne i oszukańcze monity o spotkania wideo używane do dostarczania złośliwego oprogramowania. Tło to wspiera tezę o szerszym wzorcu zagrożenia, ale nie potwierdza niezależnie konkretnych twierdzeń dotyczących WaterPlum ani nie dowodzi, że za działaniami stali ci sami sprawcy.

Dlaczego to ma znaczenie

Nawet bez pełnego publicznego potwierdzenia raport uwypukla trwałe ryzyko dla sektora kryptowalut: atakujący nie muszą bezpośrednio naruszać sieci blockchain, jeśli mogą przejąć osoby tworzące, utrzymujące lub uzyskujące dostęp do portfeli i systemów wewnętrznych. Kampanie socjotechniczne wymierzone w programistów i personel techniczny mogą ujawnić klucze prywatne, dane uwierzytelniające przeglądarek oraz uprzywilejowany dostęp korporacyjny.

Sprawa podkreśla również powracające wyzwanie bezpieczeństwa dla instytucjonalnej warstwy branży. W miarę jak firmy kryptowalutowe rozwijają rekrutację, współpracę zdalną i procesy obsługi kontraktorów, fałszywa rekrutacja oraz kampanie złośliwego oprogramowania oparte na spotkaniach mogą stać się skuteczniejszą drogą do środowisk tradingowych, depozytowych i skarbcowych niż bezpośrednie ataki on-chain.