सिंगापुर के अधिकारियों ने कहा है कि एक फर्जी क्रिप्टोकरेंसी नौकरी प्रस्ताव, जिसने कंपनी द्वारा दिए गए डिवाइस को संक्रमित किया, हमलावरों द्वारा कॉर्पोरेट सिस्टम तक पहुंच प्राप्त करने और लेनदेन नियंत्रणों को बायपास करने के बाद US$11.8 मिलियन का नुकसान हुआ है।

सिंगापुर पुलिस फोर्स और साइबर सुरक्षा एजेंसी ऑफ सिंगापुर ने 14 अगस्त को कहा कि पीड़ित को पहली बार लिंक्डइन पर एक स्कैमर द्वारा संपर्क किया गया था, जो एक क्रिप्टोकरेंसी-संबंधित कंपनी के रिक्रूटर के रूप में प्रस्तुत कर रहा था, और एक साक्षात्कार प्रक्रिया शुरू की गई थी जिसने अंततः हमलावरों को पीड़ित के नियोक्ता तक पहुंच प्रदान की।

संचार लिंक्डइन से ईमेल पर चला गया, जहां कथित रिक्रूटर ने एक स्पूफ किए गए डोमेन का उपयोग किया जो वैध कंपनी के पते से मिलता-जुलता था। पीड़ित ने गूगल मीट के माध्यम से कई साक्षात्कार भी दिए, हालांकि साक्षात्कार आयोजित करने वाले व्यक्ति ने कॉल के दौरान अपना कैमरा बंद रखा।

जैसे-जैसे भर्ती प्रक्रिया आगे बढ़ी, पीड़ित को एक स्पूफ वेबसाइट पर भेजा गया और कंपनी द्वारा दिए गए डिवाइस पर एक तकनीकी कोडिंग मूल्यांकन पूरा करने के लिए कहा गया। मूल्यांकन के दौरान दुर्भावनापूर्ण सॉफ़्टवेयर डाउनलोड हो गया, बिना पीड़ित को यह एहसास हुए कि डिवाइस से समझौता किया गया था।

फर्जी क्रिप्टो नौकरी मूल्यांकन ने कॉर्पोरेट सिस्टम तक पहुंच खोली

एक बार स्थापित होने के बाद, मैलवेयर ने पीड़ित के सेशन टोकन को हार्वेस्ट कर लिया, एसपीएफ और सीएसए ने कहा। हमलावरों ने फिर चुराए गए टोकन का उपयोग मल्टी-फैक्टर प्रमाणीकरण को बायपास करने और पीड़ित के बिटबकेट खाते तक पहुंच प्राप्त करने के लिए किया, जो नियोक्ता के कोड रिपॉजिटरी से जुड़ा हुआ था।

बिटबकेट एक कोड रिपॉजिटरी होस्टिंग सेवा है जिसका उपयोग सॉफ्टवेयर डेवलपमेंट टीमें स्रोत कोड को स्टोर करने, प्रबंधित करने और उस पर सहयोग करने के लिए करती हैं। इसलिए, एक कर्मचारी खाते तक पहुंच व्यक्तिगत डिवाइस से कहीं अधिक उजागर कर सकती है जब खाते के पास कंपनी रिपॉजिटरी या अन्य डेवलपमेंट सिस्टम से जुड़ी अनुमतियां हों।

बिटबकेट खाते में प्रवेश करने के बाद, हमलावरों ने कंपनी के स्वचालित सॉफ्टवेयर डिप्लॉयमेंट निर्देशों को संशोधित किया, दोनों एजेंसियों के अनुसार। इसके बाद घुसपैठ कंपनी के आंतरिक इन्फ्रास्ट्रक्चर में चली गई क्योंकि हमलावरों ने उसके सर्वर तक दूरस्थ रूप से पहुंच बनाई।

समझौते के दौरान एकत्र किए गए क्रेडेंशियल्स ने हमलावरों को लेनदेन की सीमाओं और क्रिप्टोकरेंसी स्थानान्तरण को नियंत्रित करने के लिए उपयोग की जाने वाली अनुमोदन जांच को बायपास करने की अनुमति दी। एसपीएफ और सीएसए ने कहा कि हमलावरों ने बाद में क्रिप्टो लेनदेन किए जिसके परिणामस्वरूप कुल US$11.8 मिलियन का नुकसान हुआ।

मैलवेयर डिलीवरी विधि के रूप में कोडिंग मूल्यांकन का उपयोग क्रिप्टोकरेंसी क्षेत्र में पहले से प्रलेखित हमलों से मिलता-जुलता है, जहां डेवलपर्स और अन्य तकनीकी कर्मचारियों को नौकरी के प्रस्तावों के साथ संपर्क किया जाता है और फिर कोड चलाने या सॉफ्टवेयर स्थापित करने के लिए कहा जाता है।

मई में, crypto.news ने ट्रैपडोर मैलवेयर की रिपोर्ट की, जिसने दुर्भावनापूर्ण सॉफ्टवेयर पैकेजों के माध्यम से क्रिप्टोकरेंसी और आर्टिफिशियल इंटेलिजेंस डेवलपर्स को लक्षित किया। डेवलपर सुरक्षा प्लेटफॉर्म सॉकेट ने एनपीएम, पाइपीआई और रस्ट इकोसिस्टम में कम से कम 34 दुर्भावनापूर्ण पैकेज और 384 कनेक्टेड संस्करण पाए।

सॉकेट के अनुसार, पैकेजों को गिटहब टोकन, एपीआई कुंजी, क्लाउड क्रेडेंशियल्स और एसएसएच एक्सेस के साथ-साथ क्रिप्टोकरेंसी वॉलेट जानकारी चुराने के लिए डिज़ाइन किया गया था। इस अभियान ने डेवलपर वातावरण को समझौते के बिंदु पर रखा, जिससे हमलावरों को उन क्रेडेंशियल्स को लक्षित करने की अनुमति मिली जो पीड़ित के व्यक्तिगत क्रिप्टोकरेंसी खातों के बाहर के सिस्टम तक पहुंच प्रदान कर सकते थे।

क्रिप्टो कर्मचारियों को बार-बार रिक्रूटर-आधारित मैलवेयर हमलों का सामना करना पड़ा है

भर्ती-थीम वाले हमलों ने प्रारंभिक संपर्क को विश्वसनीय दिखाने के लिए वैध संचार प्लेटफॉर्म पर भी भरोसा किया है, इससे पहले कि पीड़ितों को दुर्भावनापूर्ण सॉफ्टवेयर की ओर ले जाया जाए।

अप्रैल के ऑब्सीडियन मैलवेयर अभियान ने लिंक्डइन और टेलीग्राम का उपयोग क्रिप्टोकरेंसी और वित्त पेशेवरों से संपर्क करने के लिए किया। इलास्टिक सिक्योरिटी लैब्स ने पाया कि हमलावरों ने वैध ऑब्सीडियन नोट-टेकिंग एप्लिकेशन के लिए दुर्भावनापूर्ण समुदाय प्लगइन्स स्थापित करने के लिए लक्ष्यों को समझाने के लिए सोशल इंजीनियरिंग पर भरोसा किया।

मैलवेयर, जिसे फैंटमपल्स के रूप में पहचाना गया, ने कमांड प्राप्त करने और निरंतरता बनाए रखने के लिए तीन ब्लॉकचेन नेटवर्क का उपयोग किया, इलास्टिक सिक्योरिटी लैब्स के अनुसार। शोधकर्ताओं ने वित्तीय कंपनियों में सख्त एप्लिकेशन-लेवल प्लगइन नीतियों की सिफारिश की ताकि वैध उत्पादकता सॉफ्टवेयर को हमलावरों के लिए एक प्रवेश बिंदु में बदलने के जोखिम को कम किया जा सके।

उसी महीने के दौरान, वॉलेट प्रदाता ज़ेरियन ने एक $100,000 के उल्लंघन की पुष्टि की जो उत्तरी कोरियाई हमलावरों से जुड़े एक लंबे समय से चल रहे सोशल इंजीनियरिंग ऑपरेशन से जुड़ा था। ज़ेरियन सुरक्षा उल्लंघन में हमलावरों द्वारा विश्वसनीय संपर्कों का प्रतिरूपण करने के लिए आर्टिफिशियल इंटेलिजेंस का उपयोग करने से पहले हॉट-वॉलेट क्रेडेंशियल्स से समझौता करना शामिल था।

सिक्योरिटी एलायंस के शोधकर्ताओं ने उस अभियान को 164 दुर्भावनापूर्ण डोमेन से जोड़ा जिनका उपयोग स्लैक और लिंक्डइन सहित सेवाओं के माध्यम से क्रिप्टोकरेंसी कंपनियों में घुसपैठ करने के प्रयासों में किया गया था। ज़ेरियन ने कहा कि हमलावरों ने अपनी अंतर्निहित वॉलेट तकनीक को सीधे तोड़ने के बजाय अपने संचालन के मानवीय पक्ष को लक्षित किया था।

एसपीएफ और सीएसए ने नवीनतम US$11.8 मिलियन के नुकसान का श्रेय उत्तरी कोरिया या किसी अन्य हैकिंग समूह को नहीं दिया है।

हालांकि, भर्ती-आधारित सोशल इंजीनियरिंग का उपयोग उत्तरी कोरियाई खतरा पैदा करने वाले तत्वों द्वारा क्रिप्टोकरेंसी व्यवसायों के खिलाफ पहले भी किया गया है। गूगल क्लाउड और विज ने 2025 में बताया कि यूएनसी4899, जिसे ट्रेडरट्रैटर के नाम से भी जाना जाता है, ने रिक्रूटर्स के रूप में प्रस्तुत करते हुए लिंक्डइन और टेलीग्राम के माध्यम से क्रिप्टो कंपनियों के कर्मचारियों से संपर्क किया था।

रिमोट नौकरी के दृष्टिकोण से जुड़ी घटनाओं में, कर्मचारियों को उनके वर्कस्टेशन पर दुर्भावनापूर्ण डॉकर कंटेनर निष्पादित करने के लिए राजी किया गया था। कंटेनरों ने हमलावर-नियंत्रित इन्फ्रास्ट्रक्चर से जुड़े डाउनलोडर और बैकडोर तैनात किए, जिसके बाद समूह आंतरिक नेटवर्क के माध्यम से आगे बढ़ा, क्रेडेंशियल्स एकत्र किए, और क्रिप्टोकरेंसी लेनदेन को संसाधित करने के लिए उपयोग किए जाने वाले सिस्टम की तलाश की।

गूगल ने कहा कि एक घटना ने यूएनसी4899 को एक विशेषाधिकार प्राप्त गूगल क्लाउड खाते पर मल्टी-फैक्टर प्रमाणीकरण को अक्षम करने और वॉलेट-संबंधित सेवाओं तक पहुंचने की अनुमति दी थी। फर्म के खतरा अनुसंधान के अनुसार, यह समूह कम से कम 2020 से सक्रिय है और क्रिप्टोकरेंसी और ब्लॉकचेन कंपनियों पर भारी ध्यान केंद्रित किया है।

सिंगापुर के अधिकारी सख्त रिपॉजिटरी और क्रेडेंशियल नियंत्रणों का आह्वान करते हैं

नवीनतम घटना के बाद, एसपीएफ और सीएसए ने व्यवसायों और व्यक्तियों, विशेष रूप से प्रौद्योगिकी और क्रिप्टोकरेंसी में काम करने वालों को सलाह दी कि वे नौकरी-संबंधित फाइलों, वेबसाइटों या सॉफ्टवेयर के साथ बातचीत करने से पहले रिक्रूटर्स और उन कंपनियों की पहचान सत्यापित करें जिनका वे प्रतिनिधित्व करने का दावा करते हैं।

कंपनियों को एप्लिकेशन प्रोग्रामिंग इंटरफेस (एपीआई) कुंजियों और आंतरिक क्रेडेंशियल्स को सुरक्षित रखने के साथ-साथ मल्टी-फैक्टर प्रमाणीकरण को मजबूत करने की भी सलाह दी गई। कोड रिपॉजिटरी और सॉफ्टवेयर डिप्लॉयमेंट पाइपलाइन को सुरक्षित करना विशेष रूप से अनुशंसित किया गया था क्योंकि उन सिस्टम तक पहुंच एक समझौते को एक कर्मचारी डिवाइस पर शुरू होने से कंपनी के इन्फ्रास्ट्रक्चर तक पहुंचने की अनुमति दे सकती है।

एजेंसियों ने व्यवसायों से संवेदनशील क्रेडेंशियल्स को कैसे संग्रहीत और एक्सेस किया जाता है, इसकी समीक्षा करने का भी आग्रह किया। नवीनतम मामले में, प्रारंभिक समझौते के बाद एकत्र किए गए क्रेडेंशियल्स का उपयोग लेनदेन की सीमाओं और अनुमोदन जांच को बायपास करने के लिए किया गया था, जिससे हमलावरों को क्रिप्टोकरेंसी स्थानान्तरण निष्पादित करने की अनुमति मिली।

डेवलपर एक्सेस एक आवर्ती लक्ष्य बना हुआ है क्योंकि सॉफ्टवेयर रिपॉजिटरी और संबंधित उपकरण क्रेडेंशियल्स को धारण कर सकते हैं या क्लाउड और उत्पादन सिस्टम में मार्ग प्रदान कर सकते हैं। मई में खोजा गया ट्रैपडोर अभियान, उदाहरण के लिए, गिटहब टोकन, एसएसएच कुंजी, और क्लाउड क्रेडेंशियल्स के साथ-साथ क्रिप्टोकरेंसी वॉलेट डेटा को लक्षित करता था, जिससे हमलावरों को एक संक्रमित डेवलपर वातावरण से कई प्रकार की पहुंच मिलती थी।

पहले के रिक्रूटर घोटालों ने विभिन्न मैलवेयर डिलीवरी विधियों के साथ समान कदम उठाए हैं। दिसंबर 2024 के एक नकली साक्षात्कार अभियान ने लिंक्डइन, टेलीग्राम और फ्रीलांस प्लेटफॉर्म के माध्यम से वेब3 पेशेवरों से आकर्षक रोजगार प्रस्तावों के साथ संपर्क किया।

लक्ष्यों को एक वीडियो साक्षात्कार सेवा पर निर्देशित किया गया और अंतिम वीडियो कार्य तक पहुंचने से पहले सामान्य उद्योग प्रश्न पूछे गए। जब पीड़ितों को माइक्रोफोन या कैमरे की कथित समस्या का सामना करना पड़ा, तो उन्हें समस्या निवारण निर्देश दिखाए गए जिसमें उन्हें अपने कंप्यूटर पर कमांड निष्पादित करने की आवश्यकता थी।

ऑन-चेन अन्वेषक टेलर मोनाहन ने उस समय कहा था कि कमांड निष्पादित करने से हमलावरों को डिवाइस तक सामान्य पहुंच मिल सकती है, जिससे संवेदनशील जानकारी चुराने, गतिविधि की निगरानी करने या क्रिप्टोकरेंसी वॉलेट से समझौता करने के अवसर पैदा होते हैं।

समझौता किए गए उपकरणों को तुरंत अलग किया जाना चाहिए

उन व्यवसायों के लिए जिन्हें संदेह है कि किसी कर्मचारी डिवाइस या आंतरिक सिस्टम से पहले ही समझौता हो चुका है, एसपीएफ और सीएसए ने प्रभावित उपकरणों या सिस्टम को तुरंत अलग करने की सलाह दी।

सक्रिय सत्रों को रद्द किया जाना चाहिए, और क्रेडेंशियल्स को रीसेट किया जाना चाहिए, जबकि एक्सेस लॉग की जांच की जानी चाहिए कि क्या हमलावरों ने अन्य खातों या कंपनी के इन्फ्रास्ट्रक्चर में प्रवेश किया है। अधिकारियों ने व्यवसायों को यह जांचने की भी सलाह दी कि क्या समझौते के दौरान कोड रिपॉजिटरी, आंतरिक सर्वर, खाते या अनुमोदन वर्कफ़्लो में बदलाव किए गए थे।

एजेंसियों के अनुसार, आंतरिक साइबर सुरक्षा टीमों या बाहरी सुरक्षा प्रदाताओं से बिना देरी के संपर्क किया जाना चाहिए। जांचकर्ताओं को यह निर्धारित करना चाहिए कि कौन से खाते और क्रेडेंशियल्स उजागर हुए थे और यह स्थापित करना चाहिए कि प्रारंभिक घुसपैठ के बाद कोई अनधिकृत परिवर्तन किए गए थे या नहीं।

व्यक्तियों के लिए, एजेंसियों ने अवांछित भर्ती दृष्टिकोणों को सावधानी से लेने और रिक्रूटर और शामिल कंपनी दोनों को स्वतंत्र रूप से सत्यापित करने की सिफारिश की। जब एक साक्षात्कार प्रक्रिया में उम्मीदवारों को फाइलें डाउनलोड करने, अपरिचित कोड चलाने, या उन लोगों द्वारा प्रदान की गई वेबसाइटों का उपयोग करने की आवश्यकता होती है जिन्हें उन्होंने स्वतंत्र रूप से सत्यापित नहीं किया है, तो अतिरिक्त जांच की सलाह दी गई।

कंपनियों को अलग से एपीआई कुंजियों और अन्य आंतरिक क्रेडेंशियल्स तक पहुंच की समीक्षा करने, मल्टी-फैक्टर प्रमाणीकरण नियंत्रणों को मजबूत करने, और रिपॉजिटरी और स्वचालित डिप्लॉयमेंट पाइपलाइन सहित डेवलपमेंट इन्फ्रास्ट्रक्चर को सुरक्षित करने की सलाह दी गई।