Une fausse offre d'emploi dans le secteur des cryptomonnaies, ayant infecté un appareil fourni par une entreprise, a entraîné des pertes de 11,8 millions de dollars américains après que des attaquants ont eu accès aux systèmes de l'entreprise et contourné les contrôles de transaction, ont déclaré les autorités de Singapour.
La Force de police de Singapour et l'Agence de cybersécurité de Singapour ont déclaré le 14 août que la victime avait été contactée pour la première fois sur LinkedIn par un escroc se faisant passer pour un recruteur d'une entreprise liée aux cryptomonnaies, lançant un processus d'entretien qui a finalement donné aux attaquants accès à l'employeur de la victime.
La communication est passée de LinkedIn au courrier électronique, où le soi-disant recruteur a utilisé un domaine falsifié qui ressemblait étroitement à l'adresse de l'entreprise légitime. La victime a également participé à plusieurs entretiens via Google Meet, bien que la personne menant les entretiens ait gardé sa caméra éteinte pendant les appels.
Au fur et à mesure que le processus de recrutement avançait, la victime a été dirigée vers un site web falsifié et invitée à compléter une évaluation technique de codage sur un appareil fourni par l'entreprise. Un logiciel malveillant a été téléchargé pendant l'évaluation sans que la victime ne réalise que l'appareil avait été compromis.
Une fois installé, le logiciel malveillant a récolté le jeton de session de la victime, ont déclaré la SPF et la CSA. Les attaquants ont ensuite utilisé le jeton volé pour contourner l'authentification multifacteur et obtenir l'accès au compte Bitbucket de la victime, qui était connecté au dépôt de code de l'employeur.
Bitbucket est un service d'hébergement de dépôts de code utilisé par les équipes de développement logiciel pour stocker, gérer et collaborer sur le code source. L'accès au compte d'un employé peut donc exposer plus que l'appareil individuel lorsque le compte dispose de permissions liées aux dépôts de l'entreprise ou à d'autres systèmes de développement.
Après être entrés dans le compte Bitbucket, les attaquants ont modifié les instructions de déploiement logiciel automatisé de l'entreprise, selon les deux agences. L'intrusion s'est ensuite étendue à l'infrastructure interne de l'entreprise lorsque les attaquants ont accédé à distance à ses serveurs.
Les identifiants collectés lors de la compromission ont permis aux attaquants de contourner les limites de transaction et les vérifications d'approbation utilisées pour contrôler les transferts de cryptomonnaies. La SPF et la CSA ont déclaré que les attaquants ont par la suite effectué des transactions crypto qui ont entraîné des pertes totalisant 11,8 millions de dollars américains.
L'utilisation d'une évaluation de codage comme méthode de diffusion de logiciels malveillants ressemble à des attaques précédemment documentées dans le secteur des cryptomonnaies, où des développeurs et d'autres membres du personnel technique sont approchés avec des offres d'emploi avant d'être invités à exécuter du code ou à installer des logiciels.
En mai, crypto.news a rapporté l'existence du logiciel malveillant TrapDoor, qui ciblait les développeurs de cryptomonnaies et d'intelligence artificielle via des paquets logiciels malveillants. La plateforme de sécurité pour développeurs Socket a trouvé au moins 34 paquets malveillants et 384 versions connectées à travers les écosystèmes npm, PyPI et Rust.
Selon Socket, les paquets étaient conçus pour voler des informations de portefeuille de cryptomonnaies ainsi que des jetons GitHub, des clés API, des identifiants cloud et l'accès SSH. La campagne a placé les environnements de développement au point de compromission, permettant aux attaquants de cibler des identifiants qui pourraient donner accès à des systèmes extérieurs aux comptes de cryptomonnaies personnels de la victime.
Les attaques à thème de recrutement se sont également appuyées sur des plateformes de communication légitimes pour que le contact initial paraisse crédible avant de diriger les victimes vers des logiciels malveillants.
Une campagne de logiciels malveillants Obsidian en avril a utilisé LinkedIn et Telegram pour approcher des professionnels des cryptomonnaies et de la finance. Elastic Security Labs a constaté que les attaquants s'appuyaient sur l'ingénierie sociale pour convaincre les cibles d'installer des plugins communautaires malveillants pour l'application légitime de prise de notes Obsidian.
Le logiciel malveillant, identifié comme PHANTOMPULSE, a utilisé trois réseaux blockchain pour recevoir des commandes et maintenir la persistance, selon Elastic Security Labs. Les chercheurs ont recommandé des politiques de plugins strictes au niveau de l'application dans les entreprises financières afin de réduire le risque que des logiciels de productivité légitimes soient transformés en point d'entrée pour les attaquants.
Au cours du même mois, le fournisseur de portefeuille Zerion a confirmé une violation de 100 000 $ liée à une opération d'ingénierie sociale de longue date liée à des attaquants nord-coréens. La violation de sécurité de Zerion impliquait des attaquants utilisant l'intelligence artificielle pour usurper l'identité de contacts de confiance avant de compromettre les identifiants de portefeuilles chauds.
Les chercheurs de Security Alliance ont lié cette campagne à 164 domaines malveillants utilisés dans des tentatives d'infiltration d'entreprises de cryptomonnaies via des services tels que Slack et LinkedIn. Zerion a déclaré que les attaquants avaient ciblé le côté humain de ses opérations au lieu de casser directement sa technologie de portefeuille sous-jacente.
La SPF et la CSA n'ont pas attribué la dernière perte de 11,8 millions de dollars américains à la Corée du Nord ou à tout autre groupe de piratage.
Cependant, l'ingénierie sociale basée sur le recrutement a déjà été utilisée par des acteurs de la menace nord-coréens contre des entreprises de cryptomonnaies. Google Cloud et Wiz ont rapporté en 2025 que UNC4899, également connu sous le nom de TraderTraitor, avait approché des employés d'entreprises crypto via LinkedIn et Telegram en se faisant passer pour des recruteurs.
Lors d'incidents impliquant des approches d'emploi à distance, les employés ont été persuadés d'exécuter des conteneurs Docker malveillants sur leurs postes de travail. Les conteneurs ont déployé des téléchargeurs et des portes dérobées connectés à une infrastructure contrôlée par l'attaquant, après quoi le groupe s'est déplacé à travers les réseaux internes, a collecté des identifiants et a recherché des systèmes utilisés pour traiter les transactions de cryptomonnaies.
Google a déclaré qu'un incident avait permis à UNC4899 de désactiver l'authentification multifacteur sur un compte Google Cloud privilégié et d'accéder à des services liés au portefeuille. Le groupe est actif depuis au moins 2020 et s'est fortement concentré sur les entreprises de cryptomonnaies et de blockchain, selon les recherches sur les menaces de l'entreprise.
Suite au dernier incident, la SPF et la CSA ont conseillé aux entreprises et aux particuliers, en particulier ceux opérant dans la technologie et les cryptomonnaies, de vérifier l'identité des recruteurs et des entreprises qu'ils prétendent représenter avant d'interagir avec des fichiers, des sites web ou des logiciels liés à l'emploi.
Il a également été conseillé aux entreprises de protéger les clés d'interface de programmation d'application (API) et les identifiants internes tout en renforçant l'authentification multifacteur. La sécurisation des dépôts de code et des pipelines de déploiement logiciel a été spécifiquement recommandée car l'accès à ces systèmes peut permettre une compromission qui, partant d'un appareil d'employé, atteint l'infrastructure de l'entreprise.
Les agences ont également exhorté les entreprises à revoir la manière dont les identifiants sensibles sont stockés et accédés. Dans le dernier cas, les identifiants collectés après la compromission initiale ont été utilisés pour contourner les limites de transaction et les vérifications d'approbation, permettant aux attaquants d'exécuter des transferts de cryptomonnaies.
L'accès des développeurs est resté une cible récurrente car les dépôts de logiciels et les outils associés peuvent contenir des identifiants ou fournir des voies d'accès aux systèmes cloud et de production. La campagne TrapDoor découverte en mai, par exemple, ciblait les jetons GitHub, les clés SSH et les identifiants cloud en plus des données de portefeuille de cryptomonnaies, donnant aux attaquants plusieurs types d'accès à partir d'un seul environnement de développeur infecté.
Les précédentes escroqueries de recruteurs ont utilisé des étapes similaires avec différentes méthodes de livraison de logiciels malveillants. Une fausse campagne d'entretien en décembre 2024 a approché des professionnels du Web3 via LinkedIn, Telegram et des plateformes de freelancing avec des offres d'emploi lucratives.
Les cibles étaient dirigées vers un service d'entretien vidéo et se voyaient poser des questions ordinaires de l'industrie avant d'atteindre une tâche vidéo finale. Lorsque les victimes rencontraient un prétendu problème de microphone ou de caméra, elles se voyaient présenter des instructions de dépannage qui exigeaient qu'elles exécutent des commandes sur leurs ordinateurs.
L'enquêteur on-chain Taylor Monahan a déclaré à l'époque que l'exécution des commandes pouvait donner aux attaquants un accès général à l'appareil, créant des opportunités de voler des informations sensibles, de surveiller l'activité ou de compromettre des portefeuilles de cryptomonnaies.
Pour les entreprises qui soupçonnent qu'un appareil d'employé ou un système interne a déjà été compromis, la SPF et la CSA ont conseillé d'isoler immédiatement l'équipement ou les systèmes affectés.
Les sessions actives doivent être révoquées et les identifiants réinitialisés, tandis que les journaux d'accès doivent être examinés pour détecter des signes d'entrée des attaquants dans d'autres comptes ou infrastructures de l'entreprise. Les autorités ont également conseillé aux entreprises de vérifier si des dépôts de code, des serveurs internes, des comptes ou des flux de travail d'approbation avaient été modifiés pendant la compromission.
Les équipes internes de cybersécurité ou les fournisseurs de sécurité externes doivent être contactés sans délai, selon les agences. Les enquêteurs doivent déterminer quels comptes et identifiants ont été exposés et établir si des modifications non autorisées ont été apportées après l'intrusion initiale.
Pour les particuliers, les agences ont recommandé de traiter avec prudence les approches de recrutement non sollicitées et de vérifier indépendamment le recruteur et l'entreprise concernée. Une vigilance accrue a été conseillée lorsqu'un processus d'entretien exige que les candidats téléchargent des fichiers, exécutent du code inconnu ou utilisent des sites web fournis par des personnes qu'ils n'ont pas vérifiées indépendamment.
Il a été séparément conseillé aux entreprises de revoir l'accès aux clés API et autres identifiants internes, de renforcer les contrôles d'authentification multifacteur et de sécuriser l'infrastructure de développement, y compris les dépôts et les pipelines de déploiement automatisés.
