В отчете утверждается, что северокорейская хакерская группа WaterPlum выдавала себя за кадровое агентство, нацеленное на компании в сфере криптовалют, ИИ и NFT, заразила 30 000 устройств и похитила не менее $10,7 млн более чем из 7 000 криптокошельков в период с декабря 2025 года по июль 2026 года.

Согласно заявлению, WaterPlum использовала фиктивные предложения о работе, чтобы выйти на разработчиков программного обеспечения и ИТ-специалистов, представляя вредоносные файлы как задания по программированию или исправления, необходимые для ПО для видеоконференций. Кампания, как сообщается, была сосредоточена на сотрудниках, связанных с криптовалютными, ИИ- и NFT-компаниями.

В отчете описывается масштабная трансграничная операция: утверждается, что было заражено не менее 30 000 устройств более чем в 100 странах. Также сообщается, что в период с декабря 2025 года по июль 2026 года из более чем 7 000 криптовалютных кошельков были извлечены средства или учетные данные, а общий ущерб составил не менее $10,7 млн.

Однако объем публично проверяемых подтверждений этих утверждений остается ограниченным. Доступные последующие проверки не выявили соответствующего публичного отчета, уведомления правоохранительных органов или записи ведущих сервисов блокчейн-аналитики, которые независимо подтверждали бы название WaterPlum, заявленный масштаб числа жертв или указанный ущерб.

Отдельные сообщения о других связанных с Северной Кореей хакерских группах указывали на схожую тактику социальной инженерии, направленную на работников криптоиндустрии, включая фиктивные предложения о работе, технические тесты и мошеннические приглашения на видеовстречи, использовавшиеся для доставки вредоносного ПО. Этот фон подтверждает более широкую модель угроз, но не служит независимым подтверждением конкретных заявлений о WaterPlum и не устанавливает, что в них участвовали те же лица.

Почему это важно

Даже без полного публичного подтверждения отчет подчеркивает постоянный риск для криптосектора: злоумышленникам не требуется напрямую взламывать блокчейн-сеть, если они могут скомпрометировать людей, которые создают, обслуживают или получают доступ к кошелькам и внутренним системам. Кампании социальной инженерии, нацеленные на разработчиков и технический персонал, могут раскрыть приватные ключи, учетные данные браузеров и привилегированный корпоративный доступ.

Этот случай также подчеркивает повторяющуюся проблему безопасности для институционального уровня отрасли. По мере расширения найма, удаленного взаимодействия и рабочих процессов с подрядчиками в криптокомпаниях, кампании с фиктивным подбором персонала и вредоносным ПО, распространяемым через встречи, могут стать более эффективным путем проникновения в среды трейдинга, кастодиального хранения и управления казначейством, чем прямые ончейн-атаки.