Tawaran pekerjaan mata uang kripto palsu yang menginfeksi perangkat yang dikeluarkan perusahaan telah menyebabkan kerugian sebesar US$11,8 juta setelah para penyerang mendapatkan akses ke sistem perusahaan dan melewati kontrol transaksi, kata pihak berwenang Singapura.
Kepolisian Singapura (SPF) dan Badan Keamanan Siber Singapura (CSA) mengatakan pada 14 Agustus bahwa korban pertama kali dihubungi di LinkedIn oleh seorang penipu yang menyamar sebagai perekrut dari perusahaan terkait mata uang kripto, memulai proses wawancara yang akhirnya memberi penyerang akses ke atasan korban.
Komunikasi berpindah dari LinkedIn ke email, di mana perekrut yang diduga menggunakan domain palsu yang sangat mirip dengan alamat perusahaan yang sah. Korban juga menghadiri beberapa wawancara melalui Google Meet, meskipun orang yang melakukan wawancara mematikan kamera mereka selama panggilan.
Saat proses rekrutmen berlanjut, korban dikirim ke situs web palsu dan diminta untuk menyelesaikan penilaian coding teknis di perangkat yang dikeluarkan perusahaan. Perangkat lunak berbahaya diunduh selama penilaian tanpa korban menyadari bahwa perangkat tersebut telah disusupi.
Setelah terinstal, malware memanen token sesi korban, kata SPF dan CSA. Penyerang kemudian menggunakan token yang dicuri untuk melewati autentikasi multi-faktor dan mendapatkan akses ke akun Bitbucket korban, yang terhubung ke repositori kode perusahaan.
Bitbucket adalah layanan hosting repositori kode yang digunakan oleh tim pengembangan perangkat lunak untuk menyimpan, mengelola, dan berkolaborasi pada kode sumber. Akses ke akun karyawan oleh karena itu dapat mengekspos lebih dari sekadar perangkat individu ketika akun tersebut memiliki izin yang terhubung ke repositori perusahaan atau sistem pengembangan lainnya.
Setelah masuk ke akun Bitbucket, para penyerang memodifikasi instruksi deployment perangkat lunak otomatis perusahaan, menurut kedua agensi tersebut. Intrusi kemudian berpindah ke infrastruktur internal perusahaan saat para penyerang mengakses servernya secara jarak jauh.
Kredensial yang dikumpulkan selama kompromi memungkinkan para penyerang untuk melewati batas transaksi dan pemeriksaan persetujuan yang digunakan untuk mengontrol transfer mata uang kripto. SPF dan CSA mengatakan para penyerang kemudian melakukan transaksi kripto yang mengakibatkan kerugian total US$11,8 juta.
Penggunaan penilaian coding sebagai metode pengiriman malware menyerupai serangan yang sebelumnya didokumentasikan di seluruh sektor mata uang kripto, di mana pengembang dan staf teknis lainnya didekati dengan tawaran pekerjaan sebelum diminta untuk menjalankan kode atau menginstal perangkat lunak.
Pada bulan Mei, crypto.news melaporkan tentang malware TrapDoor, yang menargetkan pengembang mata uang kripto dan kecerdasan buatan melalui paket perangkat lunak berbahaya. Platform keamanan pengembang Socket menemukan setidaknya 34 paket berbahaya dan 384 versi terhubung di seluruh ekosistem npm, PyPI, dan Rust.
Menurut Socket, paket-paket tersebut dirancang untuk mencuri informasi dompet mata uang kripto bersama dengan token GitHub, kunci API, kredensial cloud, dan akses SSH. Kampanye ini menempatkan lingkungan pengembang pada titik kompromi, memungkinkan penyerang menargetkan kredensial yang dapat memberikan akses ke sistem di luar akun mata uang kripto pribadi korban.
Serangan bertema rekrutmen juga mengandalkan platform komunikasi yang sah untuk membuat kontak awal tampak kredibel sebelum mengarahkan korban ke perangkat lunak berbahaya.
Kampanye malware Obsidian pada bulan April menggunakan LinkedIn dan Telegram untuk mendekati profesional mata uang kripto dan keuangan. Elastic Security Labs menemukan bahwa penyerang mengandalkan rekayasa sosial untuk meyakinkan target agar menginstal plugin komunitas berbahaya untuk aplikasi pencatat Obsidian yang sah.
Malware, yang diidentifikasi sebagai PHANTOMPULSE, menggunakan tiga jaringan blockchain untuk menerima perintah dan mempertahankan persistensi, menurut Elastic Security Labs. Para peneliti merekomendasikan kebijakan plugin tingkat aplikasi yang ketat di perusahaan keuangan untuk mengurangi risiko perangkat lunak produktivitas yang sah diubah menjadi titik masuk bagi penyerang.
Pada bulan yang sama, penyedia dompet Zerion mengonfirmasi pelanggaran sebesar $100.000 terkait dengan operasi rekayasa sosial jangka panjang yang terkait dengan penyerang Korea Utara. Pelanggaran keamanan Zerion melibatkan penyerang yang menggunakan kecerdasan buatan untuk meniru kontak tepercaya sebelum menyusupi kredensial hot-wallet.
Peneliti Security Alliance menghubungkan kampanye tersebut ke 164 domain berbahaya yang digunakan dalam upaya menyusup ke perusahaan mata uang kripto melalui layanan termasuk Slack dan LinkedIn. Zerion mengatakan para penyerang telah menargetkan sisi manusia dari operasinya daripada secara langsung meretas teknologi dompet yang mendasarinya.
SPF dan CSA belum mengaitkan kerugian US$11,8 juta terbaru ini dengan Korea Utara atau kelompok peretas lainnya.
Namun, rekayasa sosial berbasis rekrutmen sebelumnya telah digunakan oleh aktor ancaman Korea Utara terhadap bisnis mata uang kripto. Google Cloud dan Wiz melaporkan pada tahun 2025 bahwa UNC4899, juga dikenal sebagai TraderTraitor, telah mendekati karyawan di perusahaan kripto melalui LinkedIn dan Telegram sambil menyamar sebagai perekrut.
Dalam insiden yang melibatkan pendekatan pekerjaan jarak jauh, karyawan dibujuk untuk menjalankan kontainer Docker berbahaya di workstation mereka. Kontainer tersebut mengerahkan pengunduh dan pintu belakang (backdoor) yang terhubung ke infrastruktur yang dikendalikan penyerang, setelah itu kelompok tersebut bergerak melalui jaringan internal, mengumpulkan kredensial, dan mencari sistem yang digunakan untuk memproses transaksi mata uang kripto.
Google mengatakan satu insiden memungkinkan UNC4899 untuk menonaktifkan autentikasi multi-faktor pada akun Google Cloud yang memiliki hak istimewa dan mengakses layanan terkait dompet. Kelompok tersebut telah aktif setidaknya sejak 2020 dan sangat berfokus pada perusahaan mata uang kripto dan blockchain, menurut penelitian ancaman perusahaan.
Menyusul insiden terbaru, SPF dan CSA menyarankan bisnis dan individu, terutama mereka yang beroperasi di bidang teknologi dan mata uang kripto, untuk memverifikasi identitas perekrut dan perusahaan yang mereka wakili sebelum berinteraksi dengan file, situs web, atau perangkat lunak terkait pekerjaan.
Perusahaan juga disarankan untuk melindungi kunci API (Application Programming Interface) dan kredensial internal sambil memperkuat autentikasi multi-faktor. Mengamankan repositori kode dan jalur deployment perangkat lunak secara khusus direkomendasikan karena akses ke sistem tersebut dapat memungkinkan kompromi yang dimulai pada satu perangkat karyawan untuk mencapai infrastruktur perusahaan.
Agensi-agensi tersebut juga mendesak bisnis untuk meninjau bagaimana kredensial sensitif disimpan dan diakses. Dalam kasus terbaru, kredensial yang dikumpulkan setelah kompromi awal digunakan untuk melewati batas transaksi dan pemeriksaan persetujuan, memungkinkan penyerang untuk melakukan transfer mata uang kripto.
Akses pengembang tetap menjadi target berulang karena repositori perangkat lunak dan alat terkait dapat berisi kredensial atau menyediakan rute ke sistem cloud dan produksi. Kampanye TrapDoor yang ditemukan pada bulan Mei, misalnya, menargetkan token GitHub, kunci SSH, dan kredensial cloud di samping data dompet mata uang kripto, memberikan penyerang beberapa jenis akses dari satu lingkungan pengembang yang terinfeksi.
Penipuan perekrut sebelumnya telah menggunakan langkah-langkah serupa dengan metode pengiriman malware yang berbeda. Kampanye wawancara palsu pada Desember 2024 mendekati profesional Web3 melalui LinkedIn, Telegram, dan platform freelance dengan tawaran pekerjaan yang menguntungkan.
Target diarahkan ke layanan wawancara video dan ditanya pertanyaan industri biasa sebelum mencapai tugas video terakhir. Ketika korban menghadapi masalah mikrofon atau kamera, mereka ditunjukkan instruksi pemecahan masalah yang mengharuskan mereka untuk menjalankan perintah di komputer mereka.
Penyelidik on-chain Taylor Monahan mengatakan pada saat itu bahwa menjalankan perintah dapat memberi penyerang akses umum ke perangkat, menciptakan peluang untuk mencuri informasi sensitif, memantau aktivitas, atau menyusupi dompet mata uang kripto.
Bagi bisnis yang mencurigai perangkat karyawan atau sistem internal telah dilanggar, SPF dan CSA menyarankan untuk segera mengisolasi peralatan atau sistem yang terpengaruh.
Sesi aktif harus dicabut, dan kredensial direset, sementara log akses harus diperiksa untuk tanda-tanda bahwa penyerang masuk ke akun lain atau infrastruktur perusahaan. Pihak berwenang juga menyarankan bisnis untuk memeriksa apakah repositori kode, server internal, akun, atau alur kerja persetujuan telah diubah selama kompromi.
Tim keamanan siber internal atau penyedia keamanan eksternal harus segera dihubungi, menurut agensi tersebut. Penyelidik harus menentukan akun dan kredensial mana yang terpapar dan menetapkan apakah ada perubahan tidak sah yang dilakukan setelah intrusi awal.
Untuk individu, agensi merekomendasikan untuk memperlakukan pendekatan rekrutmen yang tidak diminta dengan hati-hati dan secara independen memverifikasi baik perekrut maupun perusahaan yang terlibat. Penelitian ekstra disarankan ketika proses wawancara mengharuskan kandidat untuk mengunduh file, menjalankan kode yang tidak dikenal, atau menggunakan situs web yang disediakan oleh orang yang belum mereka verifikasi secara independen.
Perusahaan secara terpisah disarankan untuk meninjau akses ke kunci API dan kredensial internal lainnya, memperkuat kontrol autentikasi multi-faktor, dan mengamankan infrastruktur pengembangan, termasuk repositori dan jalur deployment otomatis.
