Una finta offerta di lavoro nel settore delle criptovalute è bastata per aprire una breccia da 11,8 milioni di dollari nei sistemi di un’azienda tecnologica. La vicenda, rivelata dalla Singapore Police Force e dalla Cyber Security Agency of Singapore (CSA) il 14 agosto, racconta con precisione chirurgica come una singola vittima, adescata su LinkedIn, abbia finito per esporre l’intera infrastruttura interna del proprio datore di lavoro. La truffa lavoro crypto Singapore descritta dalle autorità non è un episodio isolato di phishing: è un caso di scuola su come il social engineering possa scavalcare firewall, autenticazione a più fattori e controlli sulle transazioni, uno dopo l’altro.
Summary
Punti chiave
- Una vittima a Singapore è stata contattata su LinkedIn da un falso recruiter di una società legata alle criptovalute.
- Un dominio contraffatto e un sito falso per il colloquio hanno infettato con malware un dispositivo aziendale.
- Il malware ha rubato un token di sessione, permettendo di bypassare l’autenticazione multifattore e accedere all’account Bitbucket della vittima.
- Gli attaccanti hanno modificato le istruzioni di deployment e sono entrati nell’infrastruttura interna dell’azienda.
- Le perdite totali in trasferimenti di criptovalute hanno raggiunto US$11,8 milioni.
Truffa lavoro crypto a Singapore: come è cominciato tutto su LinkedIn
Tutto è partito da un primo contatto apparentemente banale: la vittima è stata avvicinata su LinkedIn da un finto recruiter che si presentava come rappresentante di una società legata alle criptovalute. La comunicazione si è poi spostata su email, dove il presunto recruiter utilizzava un dominio contraffatto quasi identico a quello dell’azienda reale che diceva di rappresentare.
Per rendere credibile il processo, la vittima ha partecipato a diversi colloqui via Google Meet. Un dettaglio non trascurabile: chi conduceva le interviste teneva sempre la videocamera spenta, un segnale che con il senno di poi appare come una delle prime avvisaglie della truffa.
Dal test tecnico falso al furto di credenziali: la catena dell’attacco
Con il processo di selezione in corso, alla vittima è stato chiesto di completare un test di coding su un sito web fasullo, utilizzando un dispositivo fornito dall’azienda. Durante quella valutazione tecnica è stato scaricato un software malevolo, senza che la persona si accorgesse della compromissione del proprio computer.
Una volta installato, il malware ha raccolto il token di sessione della vittima. Gli attaccanti l’hanno poi usato per bypassare l’autenticazione multifattore e accedere all’account Bitbucket collegato al repository di codice dell’azienda. Bitbucket è una piattaforma di hosting per repository usata dai team di sviluppo software per archiviare e gestire il codice sorgente: l’accesso a un singolo account può quindi esporre molto più del dispositivo individuale, quando quell’account ha permessi collegati ai repository aziendali o ad altri sistemi di sviluppo.
Entrati in Bitbucket, gli attaccanti hanno modificato le istruzioni automatizzate di deployment del software, secondo quanto riportato dalle due agenzie. L’intrusione si è poi spostata sull’infrastruttura interna dell’azienda, con un accesso remoto ai server. Le credenziali raccolte durante la compromissione hanno permesso di bypassare i limiti di transazione e i controlli di approvazione usati per gestire i trasferimenti di criptovalute. Il risultato: transazioni crypto per un totale di US$11,8 milioni in perdite.
Qui sta il punto che rende questo caso rilevante oltre la singola azienda coinvolta: l’attacco non ha sfruttato una falla tecnica nei sistemi crittografici, ma la fiducia riposta in un normale processo di reclutamento. È lo stesso schema che rende questi episodi difficili da intercettare in anticipo, perché ogni passaggio — LinkedIn, un’email, un colloquio video, un test di coding — appartiene alla routine quotidiana di chi lavora nel settore tech.
Non un caso isolato: gli attacchi ai professionisti crypto si moltiplicano
Gli schemi di reclutamento truccato per colpire lavoratori del settore crypto non sono una novità, e questo episodio si inserisce in una serie di precedenti che condividono la stessa logica: usare piattaforme legittime per costruire fiducia, poi spingere la vittima verso software malevolo.
Ad aprile, una campagna malware legata all’app di note Obsidian ha usato LinkedIn e Telegram per avvicinare professionisti di criptovalute e finanza. Secondo Elastic Security Labs, gli attaccanti convincevano i target a installare plugin community malevoli per l’applicazione, distribuendo un malware identificato come PHANTOMPULSE, che si appoggiava a tre reti blockchain diverse per ricevere comandi e mantenere persistenza sui dispositivi infetti.
Nello stesso mese, il provider di wallet Zerion ha confermato una violazione da 100.000 dollari legata a un’operazione di social engineering di lungo corso collegata ad attaccanti nordcoreani, che avevano usato l’intelligenza artificiale per impersonare contatti fidati prima di compromettere le credenziali di un hot wallet. I ricercatori di Security Alliance hanno collegato quella campagna a 164 domini malevoli usati per tentare di infiltrarsi in società crypto tramite servizi come Slack e LinkedIn.
Le autorità di Singapore non hanno attribuito la perdita da 11,8 milioni di dollari alla Corea del Nord o a qualunque altro gruppo specifico. Tuttavia, il social engineering basato sul reclutamento è una tecnica già documentata tra i gruppi nordcoreani attivi contro le aziende crypto. Google Cloud e Wiz avevano riportato nel 2025 che il gruppo UNC4899, noto anche come TraderTraitor, aveva avvicinato dipendenti di società crypto tramite LinkedIn e Telegram fingendosi recruiter, convincendoli a eseguire container Docker malevoli sui propri computer. In un caso, Google ha segnalato che UNC4899 è riuscito a disattivare l’autenticazione multifattore su un account Google Cloud privilegiato per accedere a servizi legati ai wallet. Il gruppo risulta attivo almeno dal 2020, con un focus marcato su aziende crypto e blockchain.
Un’altra campagna, individuata a maggio e nota come TrapDoor, ha preso di mira sviluppatori attraverso pacchetti software malevoli su npm, PyPI e Rust, sottraendo token GitHub, chiavi SSH e credenziali cloud oltre ai dati dei wallet. E già a dicembre 2024, l’investigatore on-chain Taylor Monahan aveva documentato una campagna di falsi colloqui che spingeva i professionisti Web3 a eseguire comandi sul proprio computer per risolvere un finto problema tecnico, ottenendo così accesso generale al dispositivo. Il filo comune tra tutti questi episodi è sempre lo stesso: sfruttare la fiducia riposta in strumenti di lavoro quotidiani per aprire una porta sul retro dei sistemi aziendali.
Le raccomandazioni delle autorità di Singapore per aziende e lavoratori
Dopo l’incidente, SPF e CSA hanno indicato una serie di misure concrete per aziende e individui, in particolare per chi opera nel settore tecnologico e crypto. Verificare l’identità dei recruiter e delle aziende che dicono di rappresentare, prima di interagire con file, siti o software legati a un’offerta di lavoro, resta il primo filtro. Le aziende dovrebbero inoltre proteggere le chiavi API e le credenziali interne, rafforzando i controlli di autenticazione multifattore, e mettere in sicurezza i repository di codice e le pipeline di deployment automatizzato, proprio perché l’accesso a questi sistemi può trasformare la compromissione di un singolo dispositivo in un’intrusione su scala aziendale.
Le agenzie hanno anche sollecitato un riesame di come vengono conservate e gestite le credenziali sensibili, dato che in questo caso specifico sono state proprio le credenziali sottratte a permettere di superare i limiti di transazione e i controlli di approvazione sui trasferimenti crypto.
Per chi sospetta che un dispositivo o un sistema interno sia già stato compromesso, la raccomandazione è isolare immediatamente le apparecchiature coinvolte, revocare le sessioni attive e reimpostare le credenziali, esaminando i log di accesso per individuare segni di intrusione su altri account o infrastrutture. Le aziende dovrebbero inoltre verificare se repository, server interni, account o flussi di approvazione siano stati alterati durante la compromissione, e contattare senza ritardo i team di sicurezza interni o fornitori esterni per stabilire quali credenziali siano state esposte.
Per i singoli lavoratori, il consiglio delle autorità è trattare con cautela qualsiasi approccio di reclutamento non richiesto, verificando in autonomia sia il recruiter che l’azienda coinvolta, con particolare attenzione quando un processo di selezione richiede di scaricare file, eseguire codice non familiare o utilizzare siti forniti da persone non verificate.
FAQ
Come hanno compromesso inizialmente il dispositivo della vittima gli attaccanti?
Gli attaccanti si sono spacciati per recruiter su LinkedIn e hanno usato domini contraffatti e un falso sito per i colloqui per installare malware durante un test tecnico svolto su un dispositivo aziendale.
Quale misura di sicurezza è stata bypassata per accedere all’account Bitbucket dell’azienda?
Gli attaccanti hanno raccolto tramite malware il token di sessione della vittima, usandolo per bypassare l’autenticazione multifattore e ottenere accesso al repository Bitbucket.
Quali consigli danno le autorità di Singapore per prevenire truffe di reclutamento simili?
Le autorità raccomandano di verificare l’identità dei recruiter, proteggere le chiavi API e i repository di codice, isolare immediatamente i dispositivi compromessi, revocare le sessioni attive e reimpostare le credenziali.
L’attacco è stato attribuito a qualche gruppo di hacker noto?
Le autorità di Singapore non hanno attribuito questo specifico attacco alla Corea del Nord o ad altri gruppi di hacker.
Contenuto realizzato con l’assistenza dell’intelligenza artificiale e con revisione editoriale umana.
