Фальшивые собеседования северокорейских хакеров лишили 7,000 криптокошельков 11 млн $

Северокорейская группа, выдающая себя за рекрутеров, чтобы взламывать устройства разработчиков, похитила средства или учетные данные более чем из 7,000 криптовалютных кошельков и перевела в Пхеньян около 10,71 млн $, сообщили семь ведомств из четырех стран в совместном предупреждении, опубликованном 18.09.

Группа, которую Национальное полицейское управление Японии называет WaterPlum, а в индустрии кибербезопасности знают как Contagious Interview, заразила не менее 30 000 устройств более чем в 100 странах примерно с 12.2025 по 07.2026. Ее целями были веб-дизайнеры, инженеры и специалисты по криптовалютам, блокчейну и Web3.

Северокорейская кибергруппа "WaterPlum" взламывает компьютерные сети соискателей, собирает конфиденциальные данные и крадет криптовалюту — ее целями становятся IT-специалисты в Японии, США, Европе и других странах. Ознакомьтесь с нашим предупреждением, подготовленным совместно с @FBI и @NPA_KOHO: https://t.co/ugVY5mmo6y pic.twitter.com/Q74qeXWQoP

--- Центр киберпреступности Минобороны США (DC3) (@DC3Forensics) 18.09.2026

Предупреждение подписали Национальное полицейское управление Японии и Национальное управление кибербезопасности, ФБР и Центр киберпреступности Министерства обороны США, Австралийский центр кибербезопасности при Управлении сигналов Австралии, а также внешняя разведывательная служба Германии BND и внутреннее ведомство безопасности BfV.

Национальное полицейское управление Японии и ФБР считают, что и WaterPlum, и некоторые удаленные IT-специалисты из Северной Кореи подчиняются 313-му Главному управлению Департамента военно-промышленного комплекса, которое входит в состав Центрального комитета Трудовой партии Кореи. Обе операции также использовали одни и те же IP-адреса для доступа к фермам ноутбуков, использования краудсорсинговых сервисов и подачи заявок на работу. Ведомства считают это доказательством того, что речь идет об одной операции.

Хакерская кампания Северной Кореи

Злоумышленники выдают себя за представителей компаний в сфере ИИ, криптовалют или NFT, связываются с разработчиками через соцсети, сайты с вакансиями и фриланс-маркетплейсы, а затем назначают техническое собеседование или дают задание по программированию. Кандидатам предлагают скачать файлы с платформ для разработчиков — чтобы выполнить задание или исправить якобы возникшую проблему с видеозвонком. В предупреждении названы пять семейств вредоносных программ, распространяемых в этих пакетах, среди них BeaverTail, InvisibleFerret и StoatWaffle. Последняя скрывается в репозиториях, посвященных блокчейну.

В предупреждении также описаны наблюдения следователей за самой группой. Во время собеседований ее участники использовали ИИ-программы для замены лиц, затем отключали видео и просили кандидата сделать то же самое, ссылаясь на проблемы со связью. Они отрабатывали японское произношение с помощью инструментов преобразования текста в речь, постоянно пользовались бесплатными тарифами сервисов машинного перевода и ИИ, а в дни праздников, отмечаемых в Северной Корее, играли в игры и смотрели видео о футболе вместо обычной работы.

Японские власти также выявили и ликвидировали ферму ноутбуков, которой управлял местный пособник. Это первый подобный случай в стране. Следователи обнаружили доказательства того, что за рубеж были переведены криптовалюты на несколько сотен миллионов иен. Ферма ноутбуков обычно находится в доме пособника: рабочими компьютерами оттуда удаленно управляют IT-специалисты из Северной Кореи, Китая или России.
Северокорейские криптохакеры похитили 2,1 млрд $ в 2025 году — 60% всех потерь: CertiK

В 05.2025 японская криптобиржа отклонила заявку кандидата, в резюме которого были указаны неправдоподобно обширные навыки, а уровень английского не соответствовал указанным данным. К другим тревожным признакам относятся отказ от личной встречи, просьба платить криптовалютой и частые взгляды на второй экран.

Эта кража — часть гораздо более масштабной кампании. По данным CertiK, на связанные с Северной Кореей группы пришлось 60% всех потерь от краж криптовалют в 2025 году — около 2,06 млрд $. Апрельский взлом Drift Protocol на 285 млн $ произошел после того, как злоумышленники в течение шести месяцев выдавали себя за компанию, занимающуюся количественной торговлей.

Этот контент предоставляется исключительно в общих информационных целях и не является финансовым, инвестиционным, юридическим или налоговым советом. Любые мероприятия, вознаграждения, онлайн-акции или связанная с ними информация, упомянутые в настоящем документе, не должны рассматриваться как рекомендация, приглашение к покупке, продаже, торговле или иной сделке с какими-либо криптоактивами. Криптоактивы очень волатильны и могут привести к убыткам. Доступность услуг, продуктов WEEX и связанных с ними событий может варьироваться в зависимости от региона. Вы несете ответственность за обеспечение того, чтобы ваше участие соответствовало применимым местным законам и нормативным актам.