Tin tặc Triều Tiên xâm nhập 30.000 thiết bị, đánh cắp 7.000 thông tin đăng nhập ví tiền mã hóa
TREE NEWS đưa tin: Cảnh sát Nhật Bản đã tiết lộ rằng một nhóm tin tặc Triều Tiên, được theo dõi với tên WaterPlum, đã xâm nhập hơn 30.000 thiết bị trong giai đoạn 2025–2026, trích xuất hơn 7.000 bộ thông tin ví tiền mã hóa và chiếm quyền kiểm soát tài sản trị giá khoảng 10,71 triệu USD. Cuộc điều tra cũng lần đầu tiên phát hiện một hoạt động “trang trại laptop” trong nước cùng các nhân sự IT Triều Tiên bị nghi ngờ đã ứng tuyển vào sàn giao dịch BitFlyer của Nhật Bản.
Chuyển dịch sang đánh cắp thông tin đăng nhập mang tính công nghiệp hóa
Quy mô của chiến dịch này đánh dấu sự khác biệt so với các vụ xâm nhập sàn giao dịch đơn lẻ từng đặc trưng cho tội phạm tiền mã hóa Triều Tiên trước đây. Thay vì nhắm vào một đơn vị lưu ký duy nhất, WaterPlum dường như đã công nghiệp hóa việc đánh cắp thông tin đăng nhập ví — lây nhiễm hàng chục nghìn điểm cuối để thu thập seed, khóa riêng tư và thông tin đăng nhập sàn giao dịch với số lượng lớn. Mô hình đó rẻ hơn, khó truy vết hơn và có sức chống chịu cao hơn nhiều so với một vụ trộm giá trị cao đơn lẻ.
Con số 10,71 triệu USD có thể đã đánh giá thấp thiệt hại thực sự. Thông tin đăng nhập bị đánh cắp thường nằm im trong nhiều tháng trước khi được chuyển thành tiền, và nạn nhân có thể không nhận ra ví của mình đã bị xâm phạm cho đến rất lâu sau khi bị xâm nhập. 7.000 bộ dữ liệu ví đại diện cho một đường ống các vụ đánh cắp trong tương lai, chứ không chỉ là một tổn thất trong quá khứ.
Trang trại laptop và mối đe dọa nội bộ
Có lẽ hệ quả lớn hơn là việc phát hiện một “trang trại laptop” — một địa điểm vật lý chứa nhiều máy móc được dùng để che giấu nguồn gốc của các nhân viên IT làm việc từ xa — cùng bằng chứng rằng các điệp viên Triều Tiên bị nghi ngờ đã ứng tuyển vào các vị trí tại BitFlyer. Đây là chiến thuật kinh điển của việc xâm nhập các công ty tiền mã hóa thông qua quy trình tuyển dụng, có được quyền truy cập hợp pháp, rồi lạm dụng nó.
Đối với các sàn giao dịch và giao thức DeFi, hàm ý rất rõ ràng: bảo mật vành đai không còn đủ. Xác minh danh tính, giám sát điểm cuối và phân tích hành vi đối với nhân viên từ xa giờ đây là các biện pháp kiểm soát cốt lõi, không phải các yếu tố bổ sung tùy chọn. Một nội bộ bị xâm phạm duy nhất có thể vượt qua các biện pháp phòng thủ kỹ thuật đã mất nhiều năm để xây dựng.
Điều gì tiếp theo
Có thể dự đoán các cơ quan quản lý Nhật Bản và đồng minh sẽ thắt chặt các quy định về tuyển dụng từ xa trong các công ty tài chính và thúc đẩy chứng thực cấp thiết bị mạnh mẽ hơn. Các công ty tiền mã hóa nên giả định rằng các tác nhân được nhà nước hậu thuẫn đã ở trong nhóm ứng viên của họ. Phản ứng của ngành — kiểm tra danh tính được tăng cường, truy cập zero-trust và thu hồi thông tin đăng nhập nhanh hơn — sẽ quyết định liệu chiến dịch WaterPlum tiếp theo là một phiền toái hay một sự kiện mang tính hệ thống.
