وظائف وهمية مرتبطة بكوريا الشمالية تصيب 30 ألف جهاز وتسرق 10.7 مليون دولار من العملات الرقمية
استخدمت مجموعة WaterPlum، المعروفة أيضاً باسم Contagious Interview، منصات التوظيف والعمل الحر لاستهداف مطورين بملفات متنكرة في صورة اختبارات برمجية أو إصلاحات تقنية. ويشير تحذير مشترك إلى استخراج أموال أو بيانات دخول من أكثر من 7 آلاف محفظة، مع مخاطر إضافية تتعلق بانتحال الهوية والوصول إلى الشركات التي يعمل فيها الضحايا.
أصابت مجموعة القرصنة المرتبطة بكوريا الشمالية WaterPlum ما لا يقل عن 30 ألف جهاز في أكثر من 100 دولة، وسرقت أصولاً رقمية بقيمة لا تقل عن 10.7 مليون دولار، وفق تحذير مشترك أصدرته سلطات في الولايات المتحدة واليابان وألمانيا وأستراليا.
اعتمدت الحملة على انتحال صفة شركات شرعية في مجالات العملات الرقمية والذكاء الاصطناعي والرموز غير القابلة للاستبدال، ثم استدراج مطورين ومتخصصين في تقنية المعلومات عبر عروض عمل وهمية. وتُعرف المجموعة أيضاً باسم Contagious Interview.
استهدفت WaterPlum خصوصاً مصممي الويب والمهندسين والمتخصصين في العملات الرقمية والبلوك تشين وتقنيات Web3. وقالت السلطات إن المهاجمين استخدموا منصات التواصل الاجتماعي ومواقع الوظائف والعمل الحر والأسواق الإلكترونية الخاصة بالمستقلين للوصول إلى الضحايا.
اختبار برمجي يخفي برمجية خبيثة
خلال عملية التوظيف، طُلب من بعض المتقدمين تنزيل ملفات وتشغيلها بحجة تنفيذ مهمة برمجية أو إصلاح مشكلة في تطبيق لعقد مؤتمرات الفيديو. وبعد تشغيل الملفات، حصل المهاجمون على وصول خلفي إلى أجهزة الضحايا، واستخدموا أدوات تحكم عن بعد وبرمجيات لسرقة المعلومات لاستخراج بيانات حساسة وأصول رقمية.
ولا يقتصر الخطر على المحفظة الشخصية للمطور. فالوصول إلى جهاز شخص يعمل داخل شركة قد يتيح للمهاجمين محاولة التسلل إلى المؤسسة التي توظفه، رغم أن إصابة الجهاز لا تعني تلقائياً اختراق الشركة أو سرقة أصولها.
أكثر من 7 آلاف محفظة في نطاق الحملة
ذكر التحذير أن أموالاً أو بيانات دخول استُخرجت من أكثر من 7 آلاف محفظة للعملات الرقمية خلال الفترة الممتدة من ديسمبر 2025 إلى يوليو 2026. ولا يفصل المصدر قيمة الخسائر لكل محفظة، أو توزيعها بين السلاسل والمنصات، أو ما إذا كان مبلغ 10.7 مليون دولار يمثل قيمة الأصول وقت السرقة أم تقديراً لاحقاً.
كما أن رقم 30 ألف جهاز يشير إلى نطاق العدوى المعلن، وليس إلى عدد الحالات التي انتهت بخسارة مالية. وتفصل هذه النتيجة بين عدد الأجهزة المصابة وعدد المحافظ التي استُخرجت منها أموال أو بيانات دخول.
وحذرت السلطات من أضرار تتجاوز سرقة العملات الرقمية. فقد تُستخدم وثائق الهوية المسروقة لانتحال شخصية الضحايا وكسب دخل، كما يمكن استغلال المعلومات الحساسة في الابتزاز.
صلة بتوظيف عمال تقنية معلومات بهويات مزورة
يربط التحذير حملة WaterPlum بجهود أوسع تنسبها السلطات إلى كوريا الشمالية لإدخال عمال تقنية معلومات إلى شركات أجنبية باستخدام هويات ووثائق مزورة. وذكرت تقييمات أميركية ويابانية أن عناصر من WaterPlum وبعض عمال تقنية المعلومات الكوريين الشماليين يعملون تحت إشراف مرتبط بإدارة الصناعات العسكرية في كوريا الشمالية.
هذه الصلة واردة كتقييم من السلطات في التحذير، وليست نتيجة عرضها المصدر عبر أدلة تقنية تفصيلية منشورة. أما الوقائع التشغيلية المذكورة للحملة فتشمل عروض العمل المزيفة، والملفات الضارة، وسرقة بيانات المحافظ.
ومن الحالات التي أوردها المصدر، تقدّم شخص يُشتبه في ارتباطه بكوريا الشمالية إلى وظيفة هندسية لدى منصة عملات رقمية يابانية باستخدام سيرة ذاتية مزورة. ورفضت المنصة الطلب بعد ظهور تناقضات خلال المقابلة، من بينها عدم قدرة المتقدم على شرح المهارات التي ذكرها في سيرته بالتفصيل.
وفي واقعة أخرى، قالت شركة Consensys إنها استعانت دون علمها بمطور مرتبط بكوريا الشمالية كمستشار، ثم أنهت صلاحياته بعد اكتشاف الخطر. ووفق ما نقلته الشركة، لم يجد تحقيقها سرقة أصول أو بيانات، ولا نشر شيفرة خبيثة أو تأثيراً على سلامة المستخدمين.
توضح هذه الحالات أن التوظيف قد يصبح قناة للوصول إلى أجهزة الأفراد أو بيئات الشركات، لكن المصدر لا يقدم قائمة كاملة بالضحايا أو تفاصيل البنية التقنية للهجوم أو مسارات تحويل الأموال. والمؤكد أن الحملة استخدمت انتحال جهات التوظيف للوصول إلى مطورين وأصول رقمية، مع أضرار محتملة تتجاوز قيمة العملات المسروقة.
اقرأ أيضاً
- محافظ مرتبطة بمجموعة لازاروس تنقل أكثر من 30 مليون دولار عبر Hyperliquid
- عناوين مرتبطة بمجموعة لازاروس تنقل أصولاً بقيمة 30 مليون دولار عبر Hyperliquid
- Zcash تقفز 17% وسط تصفيات بقيمة 345 مليون دولار في سوق العملات الرقمية
المصدر والمنهج
بُني هذا التقرير على المادة الأصلية المنشورة لدى Cointelegraph.
الانضمام إلى المحادثة