Hacker nordcoreani rubano 7.000 registri di portafogli crypto, secondo il Giappone

Attività del Gruppo di Hacking WaterPlum

Il gruppo di hacking legato alla Corea del Nord, noto come WaterPlum, ha compromesso oltre 30.000 dispositivi in più di 100 paesi e regioni, rubando informazioni da oltre 7.000 portafogli di criptovalute mentre prendeva di mira sviluppatori attraverso campagne di reclutamento false.

Indagini e Collaborazioni Internazionali

L'Agenzia Nazionale di Polizia del Giappone ha dichiarato il 18 settembre che la sua indagine, condotta in collaborazione con l'Ufficio Nazionale per la Cybersecurity, l'FBI, il Centro per i Crimini Informatici del Dipartimento della Difesa degli Stati Uniti e agenzie in Australia e Germania, ha rivelato i metodi di attacco del gruppo e i legami con i lavoratori IT nordcoreani.

Le autorità giapponesi e statunitensi hanno valutato che WaterPlum, associato all'attività di minaccia comunemente nota come "Contagious Interview", e alcuni lavoratori IT nordcoreani operano sotto il Bureau 313 del Dipartimento dell'Industria degli Armamenti del Partito dei Lavoratori della Corea.

Metodi di Attacco e Obiettivi

Gli investigatori hanno scoperto che più di 30.000 computer erano probabilmente infettati tra dicembre 2025 e luglio 2026. Le vittime erano diffuse in oltre 100 paesi e regioni, compreso il Giappone, con web designer, ingegneri e professionisti del settore crypto, blockchain e Web3 tra i principali obiettivi.

Durante le infezioni, sono stati rubati oltre 7.000 registri di portafogli di criptovalute, mentre i portafogli controllati da WaterPlum hanno ricevuto almeno 1,7 miliardi di yen, equivalenti a circa 10,7 milioni di dollari secondo il tasso di cambio utilizzato dalle autorità giapponesi.

Tattiche di Reclutamento

WaterPlum ha contattato sviluppatori software e altri lavoratori IT attraverso social media, siti di lavoro online, piattaforme di lavoro a chiamata e mercati freelance. Gli attaccanti si sono spacciati per legittime aziende di intelligenza artificiale, criptovalute e NFT o servizi di reclutamento, presentando ai candidati opportunità di lavoro apparentemente attraenti.

Durante interviste tecniche o test di codifica, ai candidati è stato chiesto di scaricare programmi dannosi ospitati su piattaforme di sviluppo collaborativo e repository di codice. Alcune vittime sono state informate che i file erano necessari per diagnosticare problemi con il software di videoconferenza o completare un compito di codifica.

Malware e Dati Rubati

Il gruppo ha inserito malware, tra cui BeaverTail, InvisibleFerret, OtterCookie, OtterCandy e StoatWaffle, all'interno di pacchetti NPM dannosi. Una volta che un dispositivo era compromesso, gli attaccanti potevano stabilire backdoor e utilizzare strumenti di accesso remoto per mantenere l'accesso e muoversi attraverso i sistemi colpiti.

Le informazioni rubate includevano credenziali del browser, sequenze di tasti, screenshot e dati degli appunti. Le chiavi private e le frasi seed per i portafogli di criptovalute erano tra i registri mirati, insieme a documenti d'identità come passaporti e patenti di guida memorizzati su computer o cartelle condivise colpite.

Operazioni di Laptop Farm

Gli investigatori giapponesi hanno dichiarato di aver smantellato la prima "laptop farm" domestica conosciuta collegata a lavoratori IT nordcoreani nel paese. Sotto l'accordo, un facilitatore locale teneva computer presso la propria residenza mentre i lavoratori controllavano a distanza le macchine da altrove.

I lavoratori utilizzavano documenti d'identità forniti da persone che vivevano in Giappone per impersonarli mentre cercavano contratti. In alcuni casi, i pagamenti venivano diretti su conti bancari controllati dai facilitatori, che poi trasferivano il denaro.

Conclusioni e Raccomandazioni

Le autorità giapponesi hanno consigliato alle aziende di verificare le posizioni, le qualifiche e le informazioni di contatto dichiarate dai candidati, in particolare quando i candidati insistono per lavorare da remoto o ricevere pagamenti in criptovalute. Gli datori di lavoro sono stati esortati a controllare le competenze tecniche durante i colloqui e a scrutinare i casi in cui la residenza dichiarata di un candidato non corrisponde alla posizione dell'indirizzo IP utilizzato per presentare una domanda.