Die Sicherheitsforschungsfirma Ctrl-Alt-Intel hat bekannt gegeben, dass eine Hackergruppe, die verdächtigt wird, mit Nordkorea in Verbindung zu stehen, Angriffe auf Staking-Plattformen, Anbieter von Börsensoftware und Kryptowährungsbörsen gestartet hat. Die Angreifer nutzten die React2Shell-Sicherheitslücke (CVE-2025-55182) aus und verwendeten kompromittierte AWS-Zugangsdaten, um in Cloud-Umgebungen einzudringen. Sie haben Ressourcen wie S3, EC2, RDS, EKS und ECR aufgelistet und Schlüssel sowie Zugangsdaten aus Secrets Manager, Terraform-Dateien, Kubernetes-Konfigurationen und Docker-Containern extrahiert. Berichten zufolge haben die Hacker fünf Docker-Images heruntergeladen und Quellcode gestohlen, einschließlich Softwarekomponenten, die mit ChainUp-Clients in Verbindung stehen. Die Angriffs-Infrastruktur umfasste einen südkoreanischen Server mit der IP-Adresse 64.176.226[.]36 und der Domain itemnania[.]com. Obwohl die Aktivitäten mit bekannten nordkoreanischen Angriffsmustern übereinstimmen, ist die Zuverlässigkeit der Attribution moderat, und die Quelle der AWS-Zugangsdaten bleibt unklar.