Isang pekeng alok ng trabaho sa cryptocurrency na nakahawa sa isang device na inisyu ng kumpanya ang nagresulta sa US$11.8 milyong pagkalugi matapos makakuha ng access ang mga attacker sa mga sistema ng korporasyon at malampasan ang mga kontrol sa transaksyon, ayon sa mga awtoridad sa Singapore.
Ang Singapore Police Force at Cyber Security Agency of Singapore ay nagsabi noong Agosto 14 na ang biktima ay unang kinontak sa LinkedIn ng isang scammer na nagpanggap na recruiter mula sa isang kumpanyang may kaugnayan sa cryptocurrency, na nagsimula ng isang proseso ng panayam na kalaunan ay nagbigay sa mga attacker ng access sa employer ng biktima.
Ang komunikasyon ay lumipat mula LinkedIn patungo sa email, kung saan ang pinaghihinalaang recruiter ay gumamit ng isang pekeng domain na malapit na kamukha ng address ng lehitimong kumpanya. Dumalo rin ang biktima sa ilang panayam sa pamamagitan ng Google Meet, bagaman ang taong nagsasagawa ng mga panayam ay pinatay ang kanilang camera habang kausap.
Habang sumusulong ang proseso ng pagre-recruit, ipinadala ang biktima sa isang pekeng website at hiniling na kumpletuhin ang isang teknikal na pagtatasa sa coding sa isang device na inisyu ng kumpanya. Na-download ang mapaminsalang software habang isinasagawa ang pagtatasa nang hindi namamalayan ng biktima na nakompromiso na ang device.
Kapag na-install, ninakaw ng malware ang session token ng biktima, ayon sa SPF at CSA. Ginamit pagkatapos ng mga attacker ang nakaw na token upang lampasan ang multi-factor authentication at makakuha ng access sa Bitbucket account ng biktima, na konektado sa code repository ng employer.
Ang Bitbucket ay isang serbisyo ng hosting ng code repository na ginagamit ng mga software development team upang mag-imbak, mamahala, at makipagtulungan sa source code. Ang access sa account ng isang empleyado ay maaaring maglantad ng higit pa sa indibidwal na device kapag ang account ay may mga pahintulot na konektado sa mga repository ng kumpanya o iba pang development system.
Matapos makapasok sa Bitbucket account, binago ng mga attacker ang awtomatikong instruksyon sa pag-deploy ng software ng kumpanya, ayon sa dalawang ahensya. Lumipat pagkatapos ang panggugulo sa panloob na imprastraktura ng kumpanya habang malayuang in-access ng mga attacker ang mga server nito.
Ang mga credentials na nakolekta sa panahon ng kompromiso ay nagbigay-daan sa mga attacker na lampasan ang mga limitasyon sa transaksyon at mga pagsusuri sa pag-apruba na ginagamit upang kontrolin ang mga paglilipat ng cryptocurrency. Sinabi ng SPF at CSA na nagsagawa pagkatapos ang mga attacker ng mga transaksyon sa crypto na nagresulta sa pagkalugi na may kabuuang US$11.8 milyon.
Ang paggamit ng pagtatasa sa coding bilang paraan ng paghahatid ng malware ay kahawig ng mga atake na dati nang naidokumento sa sektor ng cryptocurrency, kung saan ang mga developer at iba pang teknikal na kawani ay nilalapitan ng mga alok ng trabaho bago hilingin na magpatakbo ng code o mag-install ng software.
Noong Mayo, iniulat ng crypto.news ang tungkol sa TrapDoor malware, na nag-target sa mga developer ng cryptocurrency at artificial intelligence sa pamamagitan ng mapaminsalang software package. Natagpuan ng developer security platform na Socket ang hindi bababa sa 34 mapaminsalang package at 384 konektadong bersyon sa buong npm, PyPI at Rust ecosystems.
Ayon sa Socket, ang mga package ay idinisenyo upang magnakaw ng impormasyon ng cryptocurrency wallet kasama ng mga GitHub token, API key, cloud credential at SSH access. Inilagay ng kampanya ang mga kapaligiran ng developer sa punto ng kompromiso, na nagpapahintulot sa mga attacker na targetin ang mga credentials na maaaring magbigay ng access sa mga sistema sa labas ng personal na cryptocurrency account ng biktima.
Ang mga atake na nakasentro sa pagre-recruit ay umasa din sa mga lehitimong platform ng komunikasyon upang maging kapani-paniwala ang paunang kontak bago ilipat ang mga biktima sa mapaminsalang software.
Isang kampanya ng Obsidian malware noong Abril ang gumamit ng LinkedIn at Telegram upang lapitan ang mga propesyonal sa cryptocurrency at pananalapi. Natuklasan ng Elastic Security Labs na umasa ang mga attacker sa social engineering upang hikayatin ang mga target na mag-install ng mapaminsalang community plugin para sa lehitimong aplikasyon ng Obsidian para sa pagkuha ng tala.
Ang malware, na kinilala bilang PHANTOMPULSE, ay gumamit ng tatlong network ng blockchain upang tumanggap ng mga command at mapanatili ang persistence, ayon sa Elastic Security Labs. Inirekomenda ng mga mananaliksik ang mahigpit na patakaran sa plugin sa antas ng aplikasyon sa mga kumpanya ng pananalapi upang mabawasan ang panganib na ang lehitimong software para sa pagiging produktibo ay gawing entry point para sa mga attacker.
Sa kaparehong buwan, kinumpirma ng provider ng wallet na Zerion ang isang $100,000 na paglabag na konektado sa isang matagal nang operasyon ng social engineering na nauugnay sa mga attacker mula sa North Korea. Ang paglabag sa seguridad ng Zerion ay kinasasangkutan ng mga attacker na gumagamit ng artificial intelligence upang gayahin ang mga pinagkakatiwalaang contact bago ikompromiso ang mga credentials ng hot-wallet.
Ikonektado ng mga mananaliksik ng Security Alliance ang kampanyang iyon sa 164 mapaminsalang domain na ginamit sa mga pagtatangkang lusutan ang mga kumpanya ng cryptocurrency sa pamamagitan ng mga serbisyo kabilang ang Slack at LinkedIn. Sinabi ng Zerion na tinarget ng mga attacker ang panig ng tao ng mga operasyon nito sa halip na direktang sirain ang pinagbabatayan nitong teknolohiya ng wallet.
Hindi iniugnay ng SPF at CSA ang pinakabagong pagkalugi na US$11.8 milyon sa North Korea o anumang iba pang grupo ng hacker.
Gayunpaman, ang recruitment-based social engineering ay dati nang ginamit ng mga banta na aktor mula sa North Korea laban sa mga negosyo ng cryptocurrency. Iniulat ng Google Cloud at Wiz noong 2025 na ang UNC4899, kilala rin bilang TraderTraitor, ay lumapit sa mga empleyado sa mga kumpanya ng crypto sa pamamagitan ng LinkedIn at Telegram habang nagpapanggap bilang mga recruiter.
Sa mga insidente na kinasasangkutan ng mga paglapit para sa remote na trabaho, hinikayat ang mga empleyado na magpatakbo ng mapaminsalang Docker container sa kanilang mga workstation. Nag-deploy ang mga container ng mga downloader at backdoor na konektado sa imprastraktura na kontrolado ng attacker, matapos nito ay lumipat ang grupo sa mga panloob na network, nangolekta ng mga credentials, at naghanap ng mga sistema na ginagamit upang iproseso ang mga transaksyon ng cryptocurrency.
Sinabi ng Google na isang insidente ang nagpahintulot sa UNC4899 na i-disable ang multi-factor authentication sa isang privileged Google Cloud account at i-access ang mga serbisyong may kaugnayan sa wallet. Aktibo ang grupo simula pa noong 2020 at labis na nakatuon sa mga kumpanya ng cryptocurrency at blockchain, ayon sa pananaliksik sa banta ng kumpanya.
Kasunod ng pinakabagong insidente, pinayuhan ng SPF at CSA ang mga negosyo at indibidwal, lalo na ang mga nagpapatakbo sa teknolohiya at cryptocurrency, na beripikahin ang mga identidad ng mga recruiter at ang mga kumpanyang sinasabi nilang kinakatawan nila bago makipag-ugnayan sa mga file, website o software na may kaugnayan sa trabaho.
Pinayuhan din ang mga kumpanya na protektahan ang mga application programming interface key at panloob na credentials habang pinapalakas ang multi-factor authentication. Partikular na inirekomenda ang pagsisiguro ng mga code repository at software deployment pipeline dahil ang access sa mga sistemang iyon ay maaaring magpahintulot ng isang kompromiso na nagsisimula sa isang device ng empleyado na makarating sa imprastraktura ng kumpanya.
Hinikayat din ng mga ahensya ang mga negosyo na suriin kung paano iniimbak at ina-access ang mga sensitibong credentials. Sa pinakabagong kaso, ang mga credentials na nakolekta matapos ang paunang kompromiso ay ginamit upang lampasan ang mga limitasyon sa transaksyon at mga pagsusuri sa pag-apruba, na nagpapahintulot sa mga attacker na magsagawa ng mga paglilipat ng cryptocurrency.
Ang access ng developer ay nanatiling isang paulit-ulit na target dahil ang mga software repository at mga kaugnay na tool ay maaaring maglaman ng mga credentials o magbigay ng mga ruta sa mga cloud at production system. Ang kampanya ng TrapDoor na natuklasan noong Mayo, halimbawa, ay nag-target ng mga GitHub token, SSH key, at cloud credential kasama ng data ng cryptocurrency wallet, na nagbigay sa mga attacker ng ilang uri ng access mula sa isang nahawaang kapaligiran ng developer.
Ang mas naunang mga scam ng recruiter ay gumamit ng mga katulad na hakbang na may iba't ibang paraan ng paghahatid ng malware. Isang pekeng kampanya ng panayam noong Disyembre 2024 ang lumapit sa mga propesyonal sa Web3 sa pamamagitan ng LinkedIn, Telegram, at mga freelance platform na may mapagkakakitaan na alok ng trabaho.
Ang mga target ay idinirekta sa isang serbisyo ng video interview at tinanong ng ordinaryong mga tanong sa industriya bago makarating sa isang huling gawain sa video. Kapag nakaranas ang mga biktima ng pinaghihinalaang problema sa mikropono o camera, ipinakita sa kanila ang mga instruksyon sa pag-troubleshoot na nangangailangan sa kanila na magsagawa ng mga command sa kanilang mga computer.
Sinabi ng on-chain investigator na si Taylor Monahan noong panahong iyon na ang pagsasagawa ng mga command ay maaaring magbigay sa mga attacker ng pangkalahatang access sa device, na lumilikha ng mga pagkakataon upang magnakaw ng sensitibong impormasyon, subaybayan ang aktibidad, o ikompromiso ang mga cryptocurrency wallet.
Para sa mga negosyo na naghihinala na ang isang device ng empleyado o panloob na sistema ay nab breach na, pinayuhan ng SPF at CSA na agad na ihiwalay ang apektadong kagamitan o sistema.
Dapat bawiin ang mga aktibong session, at i-reset ang mga credentials, habang dapat suriin ang mga access log para sa mga palatandaan na pumasok ang mga attacker sa ibang mga account o imprastraktura ng kumpanya. Pinayuhan din ng mga awtoridad ang mga negosyo na suriin kung binago ba ang mga code repository, panloob na server, account o mga daloy ng trabaho ng pag-apruba sa panahon ng kompromiso.
Ang mga panloob na cybersecurity team o panlabas na security provider ay dapat kontakin nang walang pagkaantala, ayon sa mga ahensya. Dapat tukuyin ng mga imbestigador kung aling mga account at credentials ang nalantad at alamin kung mayroong hindi awtorisadong pagbabago na ginawa matapos ang paunang panggugulo.
Para sa mga indibidwal, inirekomenda ng mga ahensya na tratuhin nang may pag-iingat ang hindi hinihinging mga paglapit sa pagre-recruit at independiyenteng beripikahin ang recruiter at ang kumpanyang kasangkot. Inirekomenda ang dagdag na pagsisiyasat kapag ang isang proseso ng panayam ay nangangailangan ng mga kandidato na mag-download ng mga file, magpatakbo ng hindi pamilyar na code, o gumamit ng mga website na ibinigay ng mga taong hindi nila independiyenteng napatunayan.
Hiwalay na pinayuhan ang mga kumpanya na suriin ang access sa mga API key at iba pang panloob na credentials, palakasin ang mga kontrol sa multi-factor authentication, at seguruhin ang development infrastructure, kabilang ang mga repository at automated deployment pipeline.
BTC