- Chainalysis связала убытки более чем на 14,3 миллиона долларов за 18 месяцев с фальшивыми схемами собеседований на работу, организованными Северной Кореей.
- Chainalysis утверждает, что более мелкие кражи могли помочь северокорейским хакерам отработать тактику, которую позже применили против Binance.
- Атаки с использованием блокчейна, скрывающие инструкции вредоносного ПО в публичных цепочках блоков, выросли в пять раз за последний год.
Chainalysis связала более 14,3 млн долларов потерь в криптовалюте за последние 18 месяцев с тактикой фальшивых собеседований из Северной Кореи, которая позже была направлена против Binance.
Компания по блокчейн-аналитике рассматривает эти менее масштабные кражи как подготовку к хищению на сумму 6,3 млрд долларов.
Десятки фальшивых собеседований привели к компрометации кошельков
Потери были вызваны схемами с фальшивыми собеседованиями и вредоносным ПО, связанными с КНДР, при этом среди целей оказались как отдельные держатели криптовалюты и личные кошельки, так и протоколы и DAO.
«Мы выявили десятки других компрометаций, связанных с собеседованиями на работу, которые привели к компрометации кошельков» на индивидуальном уровне, — сказал Том Маклауд, старший аналитик по разведданным в Chainalysis. Индивидуальные потери варьировались от десятков тысяч до миллионов долларов.
Северокорейские группы «оттачивали и совершенствовали свою методику» в ходе этих атак, — сказал он. — Именно так появляются крупнейшие кражи в истории», — отметил Маклаут.
По словам Chainalysis, атака на Binance могла стать кульминацией месяцев или даже лет тренировок. Cryptopolitan сообщил, что Binance проследила свою утечку до приглашения на собеседование, отправленного инженеру в сентябре.
Инженер скачал задание на интервью, которое было заражено вредоносным кодом после двух раундов общения с фиктивной компанией. Старший менеджер по глобальным услугам Chainalysis Алек Зебрик называет это «заражающими собеседованиями», и они направлены на сотрудников с привилегированным доступом, чтобы их учётные данные могли быть использованы против работодателя.
Chainalysis также выделила случаи кражи приватных ключей из облачных хранилищ после вредоносного собеседования. Некоторые жертвы заявили, что их сид-фразы никогда не находились на заражённом устройстве, что, по мнению Chainalysis, может указывать на украденные учётные данные или сеансы в браузере.
В марте Microsoft задокументировала, что команда Defender Experts отслеживала кампанию «Contagious Interview», которая была активна как минимум с декабря 2022 года.
В рамках этой кампании фейковые рекрутеры из криптобирж или компаний, занимающихся ИИ, заставляют соискателей запускать пакеты вредоносного кода.
По данным Microsoft, внутри вредоносное ПО ищет мнемонические фразы для кошельков, базы данных KeePass и 1Password, а также криптографические ключи.
Blockchain Dead Drops выросли в пять раз за год
Chainalysis также сообщает, что кибератаки с использованием блокчейна увеличились в пять раз за последние 12 месяцев. Chainalysis называет это явление Blockchain Dead Drops, а рост связывают с участием акторов, поддерживаемых государствами, и потенциальным использованием открытых моделей ИИ.
Северокорейские акторы начали использовать технику под названием «Etherhiding» в начале 2025 года. Она связывает машины, заражённые через фейковые рабочие собеседования, с серверами управления и контроля злоумышленников, поскольку запись в блокчейне сложнее изъять полиции, чем данные на централизованном хостинге.
Одна из схем DPRK разделила инструкции между TRON и Aptos. Обе сети содержат указатели на полезную нагрузку, размещённую в BSC, а заражённые устройства перенаправляются к этой нагрузке.
Aptos используется как резервный вариант, если TRON недоступен.
В более новом подходе с «нулевым получателем» инструкция внедряется в специально созданный адрес. Этот адрес не контролируется злоумышленниками и не предназначен для хранения криптовалюты.
Заражённые машины интерпретируют этот адрес как команду.
В сентябре ФБР, Национальное полицейское агентство Японии, а также агентства Австралии и Германии публично обвинили северокорейскую группу под названием WaterPlum в краже криптовалюты на сумму около 10,71 миллиона долларов.
WaterPlum также известен как «Контагиозное собеседование». Его операция затронула конфиденциальные данные примерно 7000 крипто-аккаунтов.
ФБР приписало кражу с Binance северокорейской группе TraderTraitor, однако Пхеньян отверг любое участие. Chainalysis ожидает, что украденные средства будут продолжать перемещаться в ближайшие дни.
Не просто читайте новости о криптовалютах. Понимайте их. Подпишитесь на нашу рассылку. Это бесплатно.
Часто задаваемые вопросы
Сколько средств Chainalysis связала со схемой фиктивных собеседований до инцидента с Binance?
Более 14,3 млн долларов за последние 18 месяцев, при этом размер отдельных потерь варьировался от десятков тысяч до миллионов долларов.
Как началась атака на Binance?
Атака началась в сентябре, когда инженер Binance был приглашён на собеседование в фиктивную компанию и впоследствии скачал вредоносное задание.
Кто стоял за кражей с Binance?
ФБР возложило вину на трейдерскую группу TraderTraitor, связанную с Северной Кореей. Пхеньян отверг свою причастность.
Отказ от ответственности. Предоставленная информация не является торговой рекомендацией. Cryptopolitan.com не несет ответственности за любые инвестиции, сделанные на основе информации, представленной на этой странице. Мы настоятельно рекомендуем проводить независимые исследования и/или консультироваться с квалифицированным специалистом перед принятием любых инвестиционных решений.
Ранда Моуз
Ранда Мозес — редактор и репортёр Cryptopolitan, освещающая технологии, ИИ, робототехнику, криптовалюты, мошенничество и взломы. Она работает в сфере криптовалют с 2017 года. Ранда занимала должности в Forward Protocol, AmaZix и Cryptosomniac. Ранда имеет степень в области электротехники и электроники, полученную в Университете Брэдфорда.
