Північнокорейська група, яка видає себе за рекрутерів, щоб скомпрометувати розробників, викрала кошти або облікові дані з понад 7 000 криптовалютних гаманців і переказала близько $10,71 млн до Пхеньяна, йдеться у спільному попередженні семи відомств із чотирьох країн, опублікованому 18 вересня.

Група, яку Національне поліцейське агентство Японії називає WaterPlum, а індустрія кібербезпеки знає як Contagious Interview, заразила щонайменше 30 000 пристроїв у понад 100 країнах у період приблизно з грудня 2025 року до липня 2026 року. Її цілями були вебдизайнери, інженери та фахівці у сферах криптовалют, блокчейну та Web3.

Документ підписали Національне поліцейське агентство Японії та Національне управління кібербезпеки, ФБР і Центр боротьби з кіберзлочинністю Міністерства оборони США, Австралійський центр кібербезпеки при Австралійському управлінні сигналів, а також німецька зовнішня розвідка BND і внутрішня служба безпеки BfV.

NPA та ФБР вважають, що і WaterPlum, і частина північнокорейських віддалених ІТ-працівників підпорядковуються Генеральному бюро 313 Департаменту оборонної промисловості, який входить до структури центрального комітету Трудової партії. Обидві операції також використовували однакові IP-адреси для доступу до ноутбук-ферм, використання краудсорсингових сервісів і подання заявок на роботу, що відомства розглядають як доказ того, що це одна й та сама операція.

Хакерська кампанія Північної Кореї

Зловмисники видають себе за AI-, крипто- або NFT-компанії, виходять на розробників через соцмережі, job board-платформи та фриланс-маркетплейси, після чого призначають технічну співбесіду або завдання з кодування. Кандидатам кажуть завантажити файли з платформ для розробників — або для завершення тестового завдання, або нібито для усунення проблеми під час відеодзвінка. У попередженні названо п’ять сімейств шкідливого ПЗ, що поширювалися в цих пакетах, зокрема BeaverTail, InvisibleFerret і StoatWaffle, останнє з яких маскується в репозиторіях на блокчейн-тематику.

У попередженні також зафіксовано те, що слідчі спостерігали щодо самої групи. Учасники використовували ПЗ для AI-підміни обличчя під час співбесід, а потім вимикали відео й просили кандидата зробити те саме, пояснюючи це проблемами зі зв’язком. Вони тренували японську вимову за допомогою інструментів text-to-speech, системно працювали на безплатних тарифах машинного перекладу й AI-сервісів, а у святкові дні, які відзначають у Північній Кореї, замість звичних операцій грали в ігри та дивилися футбольні відео.

Японська влада також виявила та ліквідувала ноутбук-ферму, якою керував місцевий пособник; це перший такий випадок у країні. Слідчі знайшли докази того, що за кордон було виведено криптоактиви на кілька сотень мільйонів єн. Ноутбук-ферма зазвичай розміщується в домі пособника, де робочі комп’ютери дистанційно використовують ІТ-працівники з Північної Кореї, Китаю або Росії.

Японська криптобіржа відхилила в травні 2025 року кандидата, в резюме якого були заявлені неправдоподібно широкі навички, а рівень англійської не відповідав поданим даним. Серед інших тривожних ознак — відмова від особистої зустрічі, прохання оплачувати роботу в криптовалюті та постійні погляди на другий екран.

Ця крадіжка є частиною значно ширшої кампанії. CertiK приписала пов’язаним із Північною Кореєю групам 60% усіх втрат від крадіжок у криптосекторі у 2025 році — близько $2,06 млрд, а квітневий злам Drift Protocol на $285 млн стався після шести місяців, протягом яких атакувальники видавали себе за компанію з кількісного трейдингу.