Selon PANews, un développeur nord-coréen aurait obtenu un accès privilégié à la base de code de Keeper-Wallet du protocole Waves. Le compte, identifié sous le nom 'AhegaoXXX', met à jour une base de code inactif depuis mai 2025. Ce compte est lié à une organisation nord-coréenne de sous-traitance informatique. Une révision de code a révélé qu'une des mises à jour incluait une fonctionnalité pouvant envoyer des journaux de portefeuille et des erreurs d'exécution à une base de données externe, compromettant potentiellement des phrases mnémotechniques et des clés privées. Bien que cette branche n'ait pas été fusionnée, l'attaquant a réussi à publier six anciens paquets NPM malveillants en contrôlant le compte de l'ancien ingénieur de Waves, Maxim Smolyakov.
Les rapports de sécurité indiquent que cet incident marque un changement dans les tactiques des hackers nord-coréens, passant d'une infiltration par sous-traitance ordinaire à un contrôle direct des bases de code. Il est recommandé que les équipes de développement renforcent les défenses de la chaîne d'approvisionnement, y compris l'audit des permissions des contributeurs, le nettoyage des comptes inactifs et la surveillance des redirections de dépôts. Bien que le nombre de téléchargements de logiciels affectés reste faible, les utilisateurs de Waves mettant à jour Keeper-Wallet risquent des fuites de données d'identification.