BlockBeats повідомляє, 9 березня дослідницька група з безпеки Ctrl-Alt-Intel розкрила, що група хакерів, яка, ймовірно, пов’язана з Північною Кореєю, здійснила атаки на платформи стейкінгу, постачальників програмного забезпечення для бірж та криптовалютні біржі. Зловмисники використали вразливість React2Shell (CVE-2025-55182) та вже отримані облікові дані AWS для проникнення в хмарне середовище, перелічили ресурси S3, EC2, RDS, EKS, ECR та витягли ключі та облікові дані з Secrets Manager, файлів Terraform, конфігурацій Kubernetes та Docker-контейнерів.
Дослідники зазначили, що нападники завантажили 5 образів Docker і вкрали вихідний код, включаючи програмні компоненти, пов’язані з клієнтами ChainUp. Інфраструктура атаки включає сервер у Південній Кореї 64.176.226[.]36 та домен itemnania[.]com. Згідно з звітом, ця діяльність відповідає характеристикам атак, пов’язаних з Північною Кореєю, але рівень впевненості у приписуванні — середній, джерело AWS-облікових даних не встановлено.