Hacker infizieren 30.000 Geräte und plündern 11 Millionen Dollar aus Krypto-Wallets

Eine von Nordkorea unterstützte Hackergruppe infizierte mehr als 30.000 Computer in über 100 Ländern. Außerdem stahl sie Daten aus mehr als 7.000 Krypto-Wallets, teilten die Nationale Polizeibehörde Japans und das FBI am Freitag mit.

Wallets, die von der Gruppe kontrolliert werden, erhielten zwischen Dezember 2025 und Juli 2026 digitale Vermögenswerte im Wert von mindestens 10,71 Millionen US-Dollar. Die Behörden nennen die Gruppe WaterPlum; sie ist auch unter dem Namen Contagious Interview bekannt.

Wie falsche Personalvermittler 7.000 Krypto-Wallets erreichten

WaterPlum gibt sich als Personalvermittler für Unternehmen aus den Bereichen künstliche Intelligenz, Kryptowährungen und Non-Fungible Tokens aus. Die Gruppe spricht Entwickler über soziale Medien, Jobbörsen und Freelancer-Plattformen an.

„Die Akteure von WaterPlum geben sich als potenzielle Arbeitgeber aus, um unter dem Vorwand attraktiver Stellenangebote weltweit Softwareentwickler und IT-Fachkräfte ins Visier zu nehmen“, erklärten die Nationale Polizeibehörde Japans und das FBI in der gemeinsamen Warnung.

Anschließend werden die Bewerber aufgefordert, an einem technischen Vorstellungsgespräch teilzunehmen oder einen Programmiertest zu absolvieren. Die Gruppe fordert sie auf, Dateien von Plattformen zum Teilen von Quellcode herunterzuladen. Als Vorwand dient ein abgebrochener Videoanruf oder die Aufgabenstellung selbst.

Diese Dateien enthalten Schadsoftware. Die Programme suchen nach Browser-Passwörtern, Bildschirmaufnahmen und Tastatureingaben. Außerdem stehlen sie die geheimen Schlüssel, mit denen eine Krypto-Wallet kontrolliert wird – die Software, mit der Menschen digitales Geld aufbewahren.

BeInCrypto berichtete im August über einen Forscher, der 22 Monate lang Zugang zu den Servern der Gruppe hatte. Er kartierte 1.640 Opfer in 57 Ländern. Die offizielle Zahl vom Freitag ist etwa 18-mal so hoch.

Japan legt seine erste Laptop-Farm lahm

Die Polizei schloss außerdem die erste bekannte Laptop-Farm des Landes. Helfer vor Ort bewahrten die Computer bei sich zu Hause auf. Nordkoreanische Arbeitskräfte im Ausland steuerten sie aus der Ferne und gaben sich als Einwohner Japans aus, um freiberufliche Aufträge zu erhalten.

Die Arbeitskräfte transferierten Kryptowährungen im Wert von mehreren Hundert Millionen Yen ins Ausland, so die Ermittler. Dieselben Internetadressen stellten die Verbindung zwischen der Farm und den Hackern her.

„Die NPA und das FBI gehen davon aus, dass sowohl die Cyberakteure von WaterPlum als auch einige nordkoreanische IT-Arbeitskräfte dem 313. Generalbüro der Abteilung für Munitionsindustrie unterstehen, die dem Zentralkomitee der Partei der Arbeit Koreas untergeordnet ist.“

Ein mutmaßlicher Nordkoreaner bewarb sich im Mai 2025 mit einem gestohlenen Lebenslauf auf eine Stelle als Ingenieur bei der japanischen Kryptobörse bitFlyer. Den Interviewern fiel auf, dass er einen Umzug ablehnte und Bezahlung in Kryptowährung verlangte. Offenbar las er seine Antworten von einem zweiten Bildschirm ab. Er wurde nicht eingestellt.

Frühere Kampagnen setzten auf Deepfake-Videogespräche bei Bewerbungsgesprächen, um Führungskräfte zu erreichen. Ermittler raten Ingenieuren nun, den Code von Recruitern in einer Sandbox auszuführen – einem abgeschotteten Testbereich, der von echten Dateien getrennt ist.

Quelle: BeInCrypto