Атаки WaterPlum на криптокошельки: заражено 30 000 устройств

Атаки WaterPlum на криптокошельки затронули не менее 30 000 устройств более чем в 100 странах. Злоумышленники получили средства или учетные данные более чем от 7000 криптокошельков.

Об этом говорится в совместном предупреждении, опубликованном 18 сентября 2026 года. В его подготовке участвовали Национальное полицейское агентство Японии, ФБР и другие ведомства США, Австралии и Германии.

По оценке правоохранителей, WaterPlum перевела в пользу КНДР криптоактивы примерно на 1,7 млрд иен, или около $10,71 млн. Группировка также известна под названием Contagious Interview.

WaterPlum маскируется под работодателей

Главная особенность схемы — использование фальшивого найма.

Участники WaterPlum представляются работодателями или рекрутерами. В частности, они могут выдавать себя за представителей компаний из сфер искусственного интеллекта, криптовалют и NFT.

Потенциальным жертвам предлагают пройти онлайн-собеседование или выполнить техническое тестовое задание.

Затем «работодатель» просит скачать файл, открыть проект или установить программный компонент. Причиной может быть якобы необходимость выполнить задание или устранить проблему с видеоконференцией.

Как проходят атаки WaterPlum на криптокошельки

Вредоносный код злоумышленники размещают в репозиториях и инструментах, которыми обычно пользуются разработчики.

В предупреждении перечислены несколько семейств вредоносного ПО:

• BeaverTail;
• InvisibleFerret;
• OtterCookie;
• OtterCandy;
• StoatWaffle.

Например, вредоносные компоненты могут распространяться через пакеты NPM или проекты для разработчиков.

После запуска такого файла злоумышленники получают удаленный доступ к компьютеру. Затем они используют трояны удаленного доступа и инфостилеры для дальнейшего закрепления в системе и кражи информации.

Что крадут хакеры WaterPlum

После заражения компьютера преступники могут получить доступ к данным браузера и другим конфиденциальным сведениям.

Среди целей правоохранители называют:

• логины и пароли из браузеров;
• данные буфера обмена;
• нажатия клавиш;
• снимки экрана;
• приватные ключи криптокошельков;
• seed-фразы;
• документы и файлы;
• изображения паспортов и водительских удостоверений.

Таким образом, опасность атаки не ограничивается непосредственной кражей криптовалюты. Полученный доступ может использоваться для дальнейшего проникновения в инфраструктуру компании, кражи интеллектуальной собственности или выдачи злоумышленника за другого человека.

Власти связали WaterPlum с КНДР

Национальное полицейское агентство Японии и ФБР считают, что участники WaterPlum и часть северокорейских IT-работников действуют под управлением 313-го генерального бюро Департамента военной промышленности КНДР.

При этом схема включает не только прямые кибератаки.

Правоохранители также описали деятельность северокорейских IT-специалистов, которые устраиваются на удаленную работу в зарубежные компании. Для сокрытия реального местонахождения они могут использовать посредников, VPN, VPS и так называемые «фермы ноутбуков».

Как работают «фермы ноутбуков»

«Ферма ноутбуков» — это площадка, где находятся компьютеры, формально принадлежащие подрядчикам или сотрудникам.

При этом управлять устройствами удаленно могут люди, находящиеся совершенно в другой стране.

По данным расследования, северокорейские IT-работники могут физически находиться в КНДР, Китае или России. В отдельных случаях они также работают из стран Африки и Юго-Восточной Азии.

Японские власти сообщили, что впервые выявили, расследовали и пресекли работу такой «фермы ноутбуков» на территории страны.

Следствие также получило данные о переводе за пределы Японии нескольких сотен миллионов иен, в том числе в криптоактивах.

Какие признаки должны насторожить работодателя

В совместном предупреждении перечислен ряд признаков, которые фиксировались во время собеседований с предполагаемыми северокорейскими IT-работниками.

Среди них:

• отказ от личной встречи или постоянные причины ее избежать;
• просьбы получать зарплату в криптовалюте;
• частые взгляды на другой монитор;
• чтение ответов с экрана;
• посторонние голоса во время интервью;
• повторяющиеся сбои видео или аудио.

При этом каждый такой признак сам по себе не доказывает связь кандидата с КНДР. В документе их рассматривают именно как совокупность факторов риска.

Почему схема опасна для криптоиндустрии

Криптовалютные компании остаются привлекательной целью из-за прямого доступа сотрудников к кошелькам, приватным ключам, инфраструктуре и исходному коду.

Особенно уязвимы разработчики, которым регулярно приходится работать с GitHub, NPM, VS Code и сторонними библиотеками.

Именно поэтому атаки WaterPlum на криптокошельки строятся вокруг привычного рабочего процесса. Вредоносный файл маскируется под обычный проект, техническое задание или инструмент для интервью.

Это делает социальную инженерию не менее важной частью атаки, чем сам вредоносный код.

Что это значит для инвестора?

Прямого влияния этой новости на котировки BTC или других крупных криптовалют ожидать не стоит.

Однако событие показывает, насколько серьезным остается инфраструктурный риск для криптоиндустрии. Даже аппаратный кошелек не защищает средства, если пользователь вводит seed-фразу или приватный ключ на уже зараженном компьютере.

Кроме того, повышенные риски возникают у разработчиков, сотрудников криптобирж, Web3-компаний и владельцев крупных криптопортфелей.

Инвесторам важно осторожно относиться к неизвестным файлам, репозиториям и программам, которые предлагают установить во время онлайн-собеседований или делового общения.

Для хранения значительных сумм целесообразно разделять рабочую среду и устройство, используемое для операций с криптокошельками.

Вывод Expert Finance: WaterPlum показывает, что одной из главных угроз для криптоактивов остается не взлом блокчейна, а компрометация самого пользователя. Чем убедительнее выглядит «обычный рабочий процесс», тем внимательнее стоит проверять файлы и источники.

Источник

Хотите разобрать свою ситуацию?

Если вы не хотите собирать портфель методом «увидел тикер — купил», можно разобрать вашу ситуацию на консультации Эксперт Финанс: цели, риск, сумму входа, подходящие монеты и ошибки, которые лучше не оплачивать собственным депозитом.

Записаться на консультацию

Телеграм-канал «Эксперт Финанс» — подпишитесь и будьте в курсе самых главных и актуальных новостей о криптовалюте.