ריאיון עבודה מזויף רוקן 7,000 ארנקים, ואפליקציה בחנות של אפל גנבה עוד 580 אלף דולר

מפתח מקבל פנייה בלינקדאין מחברת קריפטו או AI. יש משרה, השכר טוב, והמגייסת מבקשת לבצע מטלת קוד קצרה לפני הריאיון. או שהריאיון כבר מתקיים בווידאו, משהו בשיחה נתקע, והצד השני שולח קובץ שאמור לתקן את זה. בשני המקרים ההורדה מסיימת את העבודה.

ב-18 בספטמבר פרסמו שבע רשויות מארבע מדינות התרעה משותפת שמתארת בדיוק את התבנית הזו ומכמתת אותה. הקבוצה, שמשטרת יפן מכנה WaterPlum ושבתעשיית האבטחה מוכרת בשם Contagious Interview, הדביקה לפחות 30 אלף מכשירים ביותר ממאה מדינות בין דצמבר 2025 ליולי 2026. מתוך יותר מ-7,000 ארנקי קריפטו נלקחו כספים או פרטי גישה, וכ-10.71 מיליון דולר (כ-1.7 מיליארד ין) הועברו לצפון קוריאה.

על ההתרעה חתומות הסוכנות הלאומית למשטרה של יפן והמשרד הלאומי לאבטחת סייבר שלה, ה-FBI, מרכז פשעי הסייבר של משרד ההגנה האמריקאי, מרכז הסייבר האוסטרלי שבמסגרת ה-ASD, ושני שירותי המודיעין הגרמניים BND ו-BfV.

איך זה עובד בפועל

התוקפים מתחזים לנציגים של חברות AI, קריפטו או NFT, ופונים דרך רשתות חברתיות, לוחות דרושים ופלטפורמות פרילנס. היעדים המועדפים הם מעצבי אתרים, מהנדסים ומומחים לקריפטו, בלוקצ'יין ו-Web3. אחרי פנייה ראשונית נקבע ריאיון טכני או מטלת קוד, והמועמד מתבקש להוריד קבצים מפלטפורמות מפתחים מוכרות.

ההתרעה מונה חמש משפחות של תוכנות זדוניות שהוטמעו בחבילות האלה, ביניהן BeaverTail, InvisibleFerret ו-StoatWaffle. האחרונה מסתתרת במאגרי קוד בעלי מראה של פרויקטי בלוקצ'יין, כך שהיא נראית לגיטימית בדיוק בהקשר שבו המועמד מצפה לראות אותה.

חלק מהפרטים התפעוליים מסבירים למה השיטה עובדת. לפי ההתרעה, התוקפים השתמשו בהחלפת פנים מבוססת AI במהלך ריאיונות הווידאו, ובהמרת טקסט לדיבור כדי לתרגל שפה. דפוסי קביעת הפגישות שלהם התאימו ללוח החגים הצפון קוריאני, וזה אחד הסימנים שהוביל לייחוס. המשטרה היפנית וה-FBI מעריכים ש-WaterPlum וחלק מעובדי ה-IT המרוחקים של צפון קוריאה מדווחים לאותו גוף, הלשכה הכללית 313 שבמחלקת תעשיית התחמושת, הכפופה לוועד המרכזי של מפלגת העובדים.

אפליקציה בחנות של אפל שגנבה 580 אלף דולר

באותו שבוע פרסמה חברת האבטחה SlowMist, יחד עם צוות האבטחה של OKX, חקירה על אפליקציית iOS בשם FomoPeek שהופצה דרך ה-App Store הרשמי של אפל. לפי הממצאים, הגרסאות שיצאו ב-9 וב-12 בספטמבר הכילו שני מודולים זדוניים עם ניצולי ליבה של iOS, שאפשרו יציאה מהארגז החולי של המערכת וגישה לנתוני Keychain ולקבצים של אפליקציות אחרות. גרסה 1.3, שיצאה ב-17 בספטמבר, כבר לא הכילה אותם.

ל-SlowMist אמרו ש-FomoPeek לא דרשה מהמשתמש לפתוח דף אינטרנט או קישור זדוני. המסגרת נטענה בעצם הפעלת האפליקציה, ושרת מרוחק שלט מתי להפעיל את הניצול ואילו נתונים לאסוף. מסגרת הניצול כללה שמונה שיטות תקיפה והצהירה על תמיכה בגרסאות iOS מ-12.0 עד 18.7.2 ומ-26.0 עד 26.1.

תצורת השרת ציינה 19 אפליקציות ארנק ופנקס רשימות כיעדים, בהן MetaMask, Trust Wallet, SafePal, ארנק OKX ואפליקציית Notes של אפל. החוקרים אישרו בסביבה מבוקרת שהמסגרת מסוגלת לאסוף נתוני אפליקציות, כולל המכל של Notes, אבל הדגישו שזה לא מוכיח שמפתח או ביטוי שחזור חולצו בפועל מכל ארנק ברשימה. הכתובת המרכזית של התוקף, שהחלה לפעול ב-15 בספטמבר, קיבלה כ-579,984 USDT. הכספים עברו בין כמה רשתות, רוכזו, והועברו הלאה דרך שירותים כמו FixedFloat, KuCoin ו-cce.cash.

מי שהתקין את גרסאות 1.1 או 1.2 צריך להתייחס לנכסים שבאותו מכשיר כאל חשופים ולהעביר אותם לארנק חדש, עם מפתחות שנוצרו מחדש. ההמלצה הזו כוללת גם ביטויי שחזור ששמרתם באפליקציית הפתקים, וזה החלק שהכי כדאי להפנים.

מנוי ב-500 דולר לחודש שפרץ 12 אלף תיבות דואר

מיקרוסופט וקוינבייס הודיעו על פירוק EvilTokens, שירות פישינג מבוסס AI שנמכר במנוי דרך טלגרם: 1,500 דולר דמי הצטרפות ו-500 דולר לחודש. תוך חודשים מההשקה הגיע השירות ליותר מ-10,000 ארגונים, ויותר מ-12 אלף תיבות דואר נפרצו. בפעולה נתפסו 50 אתרים והושבתו יותר מ-150 דומיינים, ומשטרת בריטניה עצרה ב-11 בספטמבר שני חשודים ששוחררו בערובה בתנאים. קוינבייס עקבה אחרי מסלול כספים של כ-1.1 מיליון דולר.

נקודת הכניסה של השירות ראויה להסבר, כי היא לא כללה אתר מזויף. EvilTokens ניצל את מנגנון ההתחברות באמצעות קוד מכשיר של מיקרוסופט, שנועד לטלוויזיות חכמות ולציוד ועידה שלא יכולים להציג דפדפן. התוקף יזם את בקשת ההתחברות בעצמו, ושלח את הקוד שהתקבל ליעד בתוך מייל פישינג שנראה כמו חשבונית או קובץ משותף. הקורבן הזין את הקוד באתר האמיתי של מיקרוסופט, ובכך אישר את ההתחברות שהמתינה במכשיר של התוקף. הסיסמה והאימות הדו שלבי נשארו כל הזמן אצל מיקרוסופט, ובכל זאת התוקף יצא מהתהליך עם גישה מאומתת לתיבה.

מכאן נכנס ה-AI. הכלים של השירות תרגמו וסיכמו התכתבויות, מיפו קווי דיווח ואנשי קשר מהימנים, איתרו חשבוניות ממתינות ושיחות על העברות בנקאיות, וזיהו לאילו עובדים יש סמכות תשלום. עבודה שדרשה מתוקף שעות של קריאה הפכה לשאילתה.

שתי חזיתות נוספות באותו שבוע

בפרשת הניצול של ארנקי Coldcard, כובעים לבנים הקדימו את התוקפים והצילו כ-40% מהביטקוין שזז בגל השני, כ-52 מטבעות, והעבירו אותו לנאמנות בוויומינג לטובת הנפגעים. לפי Galaxy Research הכספים רוכזו לכתובת חדשה המתויגת כנאמנות שחזור, אבל הם מייצגים 2.8% בלבד מסך השלל.

ובצרפת נמשכת סדרת "מתקפות המפתח הצינורי", חטיפות ואיומים פיזיים נגד מחזיקי קריפטו. במקרה האחרון הוחזקו ילדיו של עובד בתעשייה, ונלקחו כ-46 אלף דולר. צרפת היא המדינה הפגועה ביותר בעולם בקטגוריה הזו, עם יותר מ-70 מקרים מתועדים בשמונת החודשים הראשונים של 2026.

למה זה נוגע לישראלים במיוחד

פרופיל היעד של WaterPlum הוא מהנדס תוכנה שמחפש עבודה, ורצוי כזה שיש לו רקע בבלוקצ'יין. בישראל יש ריכוז גבוה במיוחד של הפרופיל הזה, ורבים מהם מחזיקים ארנק פרטי על אותו מחשב שבו הם מריצים קוד של מעסיק פוטנציאלי.

שישה דברים מקטינים את הסיכון בצורה משמעותית:

1. הרצת מטלת קוד מריאיון רק במכונה וירטואלית או במחשב נפרד, לעולם לא באותה מערכת שבה יושב ארנק תוכנה.
2. סירוב מוחלט להוריד קובץ כדי "לתקן" בעיה בשיחת וידאו. אין תקלת ועידה שנפתרת בהרצת בינארי ששלח הצד השני.
3. אימות המגייס דרך ערוץ עצמאי, כלומר פנייה לחברה באתר הרשמי שלה ולא דרך הקישור שנשלח. החלפת פנים מבוססת AI מבטלת את הערך של "ראיתי אותו בווידאו".
4. אף פעם לא להזין קוד התחברות שהגיע במייל, גם כשהדף שמבקש אותו הוא הדף האמיתי של מיקרוסופט או של גוגל. קוד מכשיר לגיטימי נוצר על מסך שאתם יושבים מולו.
5. ביטויי שחזור לא נשמרים באפליקציית פתקים, בצילום מסך או בענן. FomoPeek הוכיחה שהמכל של Notes נגיש לתוקף שמצליח לצאת מהארגז החולי.
6. סכומים משמעותיים עוברים לארנק חומרה, והמפתחות שלו נוצרים על המכשיר עצמו.

מי שנפגע יכול לדווח למערך הסייבר הלאומי בטלפון 119 ולהגיש תלונה במשטרת ישראל. בשני המקרים כדאי לשמור כתובות ארנק, מזהי עסקה וצילומי מסך של ההתכתבות, כי מעקב על השרשרת מתחיל משם. חשבון בבורסה זרה שנפרץ מדווח גם לבורסה עצמה, שלעיתים מסוגלת להקפיא יתרות אם ההודעה מגיעה מהר.

עדכון, 27 בספטמבר: החשד הבא הוא פריצה של 387.5 מיליון דולר

יום אחרי פרסום הכתבה נפרצה בורסת Bitget, ו-387.5 מיליון דולר הועברו לכתובות בשליטת התוקפים. הפעם השיטה הייתה שונה לגמרי מריאיונות העבודה: התוקפים חדרו למערכת אחורית בתשתית הארנקים של הבורסה וזייפו נתוני העברה שתהליך האישור שלה חתם עליהם. המנכ"לית גרייסי צ'ן אמרה שכתובות IP שזוהו תואמות את בחירות ה-VPN של קבוצה צפון קוריאנית, וחוקר על השרשרת קשר חלק מהכספים לכתובת שמעורבת בפריצה ל-AFX ביולי, שיוחסה ל-TraderTraitor. ייחוס רשמי עוד לא פורסם. הפרטים המלאים, כולל לוח חידוש המשיכות, בכתבה שלנו על הפריצה.

הכתבה נועדה למטרות מידע בלבד ואינה ייעוץ אבטחה או ייעוץ השקעות.