Chainalysis mengaitkan kerugian kripto lebih dari $14,3 juta selama 18 bulan terakhir dengan modus wawancara palsu Korea Utara yang kemudian menyasar Binance.

Perusahaan analitik blockchain itu menganggap pencurian-pencurian yang lebih kecil tersebut sebagai latihan untuk pencurian senilai $6,3 miliar.

Puluhan wawancara kerja palsu berujung pada pembobolan dompet

Kerugian tersebut berasal dari skema wawancara palsu dan malware yang terkait dengan Korea Utara, dengan sasaran mulai dari pemegang kripto perorangan dan dompet pribadi hingga protokol dan DAO.

“Kami telah mengidentifikasi puluhan kasus lain ketika wawancara kerja disusupi dan berujung pada pembobolan dompet” di tingkat individu, kata Tom McLouth, analis intelijen senior di Chainalysis. Kerugian yang dialami individu berkisar dari puluhan ribu dolar hingga jutaan dolar.

Kru Korea Utara sedang “menyempurnakan dan mengembangkan metodologi mereka” dalam serangan-serangan itu, katanya. “Begitulah cara Anda melakukan pencurian terbesar dalam sejarah,” kata McLouth.

Menurut Chainalysis, serangan terhadap Binance bisa menjadi puncak dari latihan selama berbulan-bulan atau bahkan bertahun-tahun. Cryptopolitan melaporkan bahwa Binance melacak kebocorannya sendiri hingga undangan wawancara kerja yang dikirim kepada seorang insinyur pada bulan September.

Insinyur itu mengunduh tugas wawancara yang telah disisipi kode berbahaya setelah menjalani dua tahap wawancara dengan perusahaan palsu. Alec Zebrick, Manajer Senior Layanan Global di Chainalysis, menyebutnya “wawancara menular”. Serangan ini menargetkan staf dengan akses istimewa agar kredensial mereka dapat digunakan untuk menyerang perusahaan tempat mereka bekerja.

Chainalysis juga menyoroti sejumlah kasus pencurian kunci privat dari penyimpanan cloud setelah wawancara berbahaya. Beberapa korban mengatakan bahwa frasa pemulihan mereka tidak pernah tersimpan di perangkat yang terinfeksi. Menurut Chainalysis, hal ini mungkin mengindikasikan bahwa kredensial masuk cloud atau sesi browser mereka telah dicuri.

Pada bulan Maret, Microsoft mendokumentasikan bahwa tim Defender Experts mereka telah melacak kampanye Wawancara Menular yang aktif setidaknya sejak Desember 2022.

Dalam kampanye ini, perekrut palsu dari perusahaan perdagangan kripto atau perusahaan AI meminta para pelamar menjalankan paket kode berbahaya.

Di dalamnya, malware mencari frasa mnemonik dompet, penyimpanan KeePass dan 1Password, serta kunci kriptografi, menurut Microsoft.

Blockchain Dead Drops melonjak lima kali lipat dalam setahun

Chainalysis juga melaporkan bahwa serangan siber yang memanfaatkan blockchain meningkat lima kali lipat dalam 12 bulan terakhir. Chainalysis menyebutnya Blockchain Dead Drops. Lonjakan ini dikaitkan dengan aktor negara-bangsa dan kemungkinan penggunaan model AI berbobot terbuka.

Aktor Korea Utara mulai menggunakan teknik yang disebut “Etherhiding” pada awal 2025. Teknik ini menghubungkan mesin yang terinfeksi melalui wawancara kerja palsu ke server komando dan kendali milik penyerang, karena catatan blockchain lebih sulit disita polisi daripada hosting terpusat.

Salah satu konfigurasi Korea Utara membagi instruksi antara TRON dan Aptos. Kedua blockchain tersebut memiliki penunjuk ke muatan yang dihosting di BSC, dan perangkat yang terinfeksi diarahkan ke muatan itu.

Aptos menjadi alternatif cadangan jika TRON gagal.

Pendekatan “penerima null” yang lebih baru menyisipkan instruksi ke dalam alamat yang dirancang khusus. Alamat tersebut tidak dikendalikan siapa pun dan tidak dirancang untuk menyimpan kripto.

Mesin yang terinfeksi menafsirkan alamat tersebut sebagai perintah.

Pada bulan September, FBI, Badan Kepolisian Nasional Jepang, serta lembaga-lembaga di Australia dan Jerman secara terbuka menyalahkan kru Korea Utara bernama WaterPlum atas pencurian kripto senilai sekitar $10.71 juta.

WaterPlum juga disebut “Wawancara Menular”. Operasinya berdampak pada data sensitif di sekitar 7.000 akun kripto.

FBI mengaitkan pencurian Binance dengan kelompok Korea Utara TraderTraitor, tetapi Pyongyang menyangkal keterlibatan apa pun. Chainalysis memperkirakan dana yang dicuri akan terus berpindah dalam beberapa hari ke depan.

Jika Anda membaca ini, Anda sudah selangkah lebih maju. Teruslah mengikuti perkembangan bersama buletin kami.