Hackerii nord-coreeni au furat 2 miliarde de dolari în crypto cu o simplă păcăleală pe Zoom

La finalul lunii martie, un mesaj îngrijorător de la administratorul IT al redacției a pus pe jar unul dintre jurnaliștii noștri. „Există un proces care expune o vulnerabilitate”, scria el, avertizând că cineva s-ar putea să-i fi accesat computerul. „Trebuie să-l opresc.” Un fișier descărcat la 11:04 dimineața avea capacitatea de a-i monitoriza tastele, de a-i înregistra ecranul, de a-i vedea parolele și de a-i accesa aplicațiile, conform log-urilor verificate ulterior.

În timp ce se grăbea spre birou pentru a șterge complet laptopul, i-a trimis un mesaj editorului său: „Cred că am fost phished de DPRK lol.”

Capcana întinsă pe Telegram

Totul a început la mijlocul lunii martie, cu un mesaj pe Telegram de la un investitor într-un fond de hedging, o sursă anonimă de încredere pentru jurnalist. Acesta l-a întrebat dacă dorește să cunoască pe cineva pe nume Adam Swick, fost director de strategie la compania de minerit Bitcoin MARA Holdings. Sursa a menționat că Swick explora crearea unui nou tezaur de active digitale și „avea un potențial investitor mare de pornire.”

Părea dubios, e drept, dar jurnalistul a fost dispus măcar să asculte. Pe Telegram, falsul Swick i-a cerut să programeze o întâlnire, iar o săptămână mai târziu, sursa i-a trimis un link ce părea a fi de Zoom. Programul care s-a deschis semăna cu Zoom-ul obișnuit, dar ceva la design părea ciudat, iar sunetul nu funcționa. O fereastră i-a cerut să actualizeze software-ul pentru a remedia problema. Simultan, Swick i-a scris: „Se pare că Zoom-ul are probleme la tine.”

A dat click pentru a descărca actualizarea. Dar adrenalina a început să curgă când a văzut că linkul din browser nu era același cu cel primit pe Telegram. A cerut imediat mutarea discuției pe Google Meet. „Asta îmi sună a înșelătorie,” le-a scris el lui Swick și sursei. Însă Swick a insistat: „Nicio grijă. Tocmai am încercat pe PC-ul meu.” Jurnalistul a refuzat să ruleze fișierul descărcat pe MacBook și a părăsit întâlnirea. „Dacă vrei să vorbești cu mine, hai s-o facem pe Google Meet,” a scris el pe Telegram, moment în care sursa l-a scos prompt din grupul de chat.

Confirmarea: „Ăștia sunt DPRK”

În drum spre birou, reporterul a contactat-o pe Taylor Monahan, o cercetătoare veterană în securitate și membră a SEAL 911, un grup de voluntari care ajută victimele atacurilor crypto. I-a trimis linkul și fișierul descărcat. Răspunsul ei a venit în câteva momente: „Ăștia sunt DPRK.”

Dacă ar fi rulat scriptul, hackerii i-ar fi furat parolele, contul de Telegram și orice criptomonedă deținea (din fericire, deține cantități neglijabile). Deși este greu să fii 100% sigur cine se află în spatele unui atac, Monahan a explicat că linkul, scriptul și chiar contul fals asociat cu Adam Swick indicau toate spre Coreea de Nord. Alți doi cercetători în securitate care urmăresc hackerii nord-coreeni i-au confirmat ulterior evaluarea.

„Spune-i că Tay îl salută lol,” a adăugat Monahan, referindu-se la hackerul care l-a vizat.

Schema este una standard, dar extrem de eficientă.

Regimul de la Phenian, izolat de sistemul financiar global prin sancțiuni, a recurs la furtul de criptomonede sponsorizat de stat pentru a-și finanța activitățile. Doar în 2025, hackerii legați de armata nord-coreeană au acumulat 2 miliarde de dolari în criptomonede furate, cu aproximativ 50% mai mult decât în anul precedent, conform datelor de la firma de analiză crypto Chainalysis.

Efectul de domino și victimele colaterale

Cum vine asta, mai exact? Hackerii preiau controlul contului de Telegram al unei persoane reale și apoi contactează persoanele din lista sa. Aceste contacte sunt invitate la un apel video unde, invariabil, sunetul nu funcționează. Victimele sunt rugate să ruleze o „actualizare” pentru a rezolva problema. Când rulează scriptul, hackerii obțin acces la criptomonedele, parolele și, cel mai important, la contul de Telegram al victimei.

Așa a fost aproape infectat și jurnalistul nostru. A fost ademenit într-un sentiment de siguranță pentru că credea că vorbește cu cineva cunoscut. Iar hackerii nord-coreeni nu vizează doar bogații. Monahan a explicat că a văzut un număr tot mai mare de jurnaliști din domeniul crypto vizați, probabil pentru că agenda lor de contacte de pe Telegram este extrem de valoroasă. Grupul care l-a vizat pe reporterul nostru (același care a țintit și dezvoltatori de software, conform unui raport Google) acționează metodic.

După ce și-a șters laptopul și și-a schimbat parolele, jurnalistul și-a sunat sursa pe telefonul mobil. Nu e de mirare, contul său de Telegram fusese spart la începutul lunii martie. „Aveam o mulțime de contacte pe Telegram pe care nu le aveam stocate pe telefon sau pe computer,” a spus investitorul. „Dar pentru mine, chiar mai mult decât atât, te simți violat știind că cineva acolo se dă drept tine, practic folosindu-ți numele pentru a înșela oameni.”

A contactat și pe adevăratul Adam Swick. Hackerii se dădeau drept el pe Telegram de la începutul lunii februarie. „Dar câțiva dintre ei m-au tras la răspundere, ‘Amice, pentru ce îți ceri scuze?’ Și eu le zic, ‘Nu știu. Îmi cer scuze pentru falsul de mine, cred. Îmi pare atât de rău că s-a întâmplat asta.’”

Spre finalul conversației telefonice, jurnalistul și sursa sa au dat peste posibilul răspuns. Un fals Swick a fost una dintre ultimele persoane cu care investitorul vorbise înainte ca contul său de Telegram să fie compromis. „Am intrat într-un Zoom cu el și audio-ul lui nu se conecta,” a spus sursa. „Îmi amintesc vag că am încercat să descarc ceva.” Practic, sursa a fost vizată de aceeași hackeri care l-au atacat și pe el. Realizând că și laptopul său ar putea fi corupt, investitorul a închis și și-a șters computerul.

Jurnalistul nostru i-a scris falsului Adam Swick pe Telegram: „Este acest cont controlat de cineva afiliat cu DPRK?”. Încă așteaptă un răspuns.

Parteneri

Articole recomandate din rețeaua noastră

LylaGrăsimea brună transformă energia în căldură. Ce știm despre activarea ei prin frigRevista IoanaCum alegi bateria pentru panourile fotovoltaice după consumul casei și ce primești pentru banii plătițiNews24Șapte navigatori de pe Wine Trader sunt dispăruți după atacul cu drone din Marea NeagrăDolce SportNaționala poate face 8 schimbări într-un amical. În ce condiții poate folosi până la 11 rezerveGetPonyViitorul Dacia Jogger păstrează șapte locuri și ar putea primi propulsie electricăBravonetKristóf Rebeka revine la un concurs TV după victoria cu tatăl ei. Acum participă la „X-Faktor”