Theo Cointelegraph, nhóm hacker Triều Tiên WaterPlum đã đánh cắp ít nhất 10.7 triệu USD bằng cách giả mạo nhà tuyển dụng cho các công ty blockchain, AI và tiền mã hóa uy tín, lây nhiễm phần mềm độc hại cho những người tìm việc không chút nghi ngờ.
Nhóm này, còn được biết đến với tên Contagious Interview, nhắm mục tiêu vào các nhà phát triển phần mềm và chuyên gia công nghệ thông tin trên toàn thế giới, theo một báo cáo chung từ Nhật Bản, Đức, Úc và Hoa Kỳ. Các nhà chức trách cho biết những kẻ tuyển dụng giả mạo đã mạo danh các công ty AI, tiền mã hóa hoặc NFT (token không thể thay thế) hợp pháp và cũng sử dụng các dịch vụ tuyển dụng chuyên nghiệp.
“Các mục tiêu chính là các nhà thiết kế web cá nhân, kỹ sư và chuyên gia trong lĩnh vực tiền mã hóa, blockchain và công nghệ Web3”, báo cáo cho biết thêm.
Báo cáo cũng liên kết WaterPlum với chiến dịch rộng lớn hơn của Triều Tiên nhằm đưa công nhân IT vào các công ty nước ngoài. Các nhà chức trách Nhật Bản và Hoa Kỳ đánh giá rằng các thành viên WaterPlum và một số công nhân IT Triều Tiên hoạt động dưới sự chỉ đạo của Cục Công nghiệp Đạn dược của Triều Tiên.
Theo báo cáo, WaterPlum đã dụ dỗ những người tìm việc thông qua các nền tảng mạng xã hội, các trang web tìm việc trực tuyến, nền tảng việc làm tự do hoặc các chợ việc làm freelancer. Trong quá trình tuyển dụng, nạn nhân được hướng dẫn tải xuống và thực thi các tệp độc hại được ngụy trang dưới dạng bài tập mã hóa hoặc các bản sửa lỗi cho các vấn đề hội nghị truyền hình.
Một khi các tác nhân mạng có quyền truy cập backdoor vào máy tính của nạn nhân, chúng sẽ sử dụng trojan truy cập từ xa và phần mềm đánh cắp thông tin để lấy cắp dữ liệu nhạy cảm và tiền mã hóa.
Các vụ lây nhiễm thành công cũng tạo cơ hội cho các tác nhân WaterPlum xâm nhập vào các tổ chức sử dụng các nhà phát triển không nghi ngờ này.
WaterPlum đã lây nhiễm ít nhất 30.000 thiết bị tại hơn 100 quốc gia, với quỹ hoặc thông tin đăng nhập tài khoản được trích xuất từ hơn 7.000 ví tiền mã hóa trong khoảng thời gian từ tháng 12 năm 2025 đến tháng 7 năm 2026.
Tuy nhiên, thiệt hại có thể vượt xa việc đánh cắp tiền mã hóa. Các tài liệu nhận dạng bị đánh cắp cho phép công nhân IT Triều Tiên mạo danh nạn nhân để kiếm thu nhập, và thông tin nhạy cảm có thể được sử dụng để tống tiền, báo cáo cho biết.
Báo cáo mô tả một trường hợp trong đó một công nhân IT nghi là người Triều Tiên đã nộp đơn xin việc làm kỹ sư tại một sàn giao dịch tiền mã hóa của Nhật Bản bằng cách sử dụng sơ yếu lý lịch giả mạo. Sàn giao dịch đã từ chối ứng viên sau khi phát hiện những điểm bất thường trong buổi phỏng vấn, bao gồm việc ứng viên không thể giải thích chi tiết các kỹ năng được liệt kê trong sơ yếu lý lịch của mình.
Một trường hợp gần đây hơn xảy ra vào tháng 7, khi Cointelegraph đưa tin rằng Consensys đã vô tình thuê một nhà phát triển có liên hệ với Triều Tiên làm tư vấn. Công ty đã nói với Cointelegraph rằng họ đã chấm dứt quyền truy cập của người này sau khi phát hiện mối đe dọa, và một cuộc điều tra không tìm thấy bằng chứng về việc đánh cắp tài sản hoặc dữ liệu, triển khai mã độc hại hoặc ảnh hưởng đến an toàn người dùng.
Chiến dịch được báo cáo là ví dụ mới nhất về việc Triều Tiên liên tục sử dụng việc đánh cắp tiền mã hóa để huy động quỹ, bất chấp nhiều năm cảnh báo và thực thi pháp luật. FBI đã đổ lỗi cho Triều Tiên về vụ trộm 1.5 tỷ USD từ Bybit vào tháng 2 năm 2025, trong khi các nhà chức trách Hoa Kỳ đã cảnh báo về các công nhân IT ngầm của nước này từ ít nhất năm 2018.
Nguồn: Cointelegraph – North Korean fake recruiters infect 30K devices, steal $10.7M in crypto
Bài viết do tienso.org biên dịch và biên soạn lại từ nguồn dẫn phía trên nhằm phục vụ độc giả Việt Nam; nội dung có thể được rút gọn hoặc diễn giải lại so với bản gốc. Bản quyền nội dung gốc thuộc về tác giả và đơn vị xuất bản ban đầu. Bài viết chỉ mang tính thông tin tham khảo, không phải lời khuyên đầu tư — độc giả nên đối chiếu bản gốc và tự xác minh trước khi ra quyết định. Nếu bạn là chủ sở hữu nội dung và muốn chúng tôi hiệu chỉnh hoặc gỡ bài, vui lòng gửi yêu cầu tại trang Liên hệ của tienso.org.
