Eine Hackergruppe mit Unterstützung aus Nordkorea hat mehr als 30.000 Computer in über 100 Ländern infiziert. Zudem hat sie Daten aus über 7.000 Krypto-Wallets gestohlen, teilten die japanische Nationalpolizei und das FBI am Freitag mit.
Wallets, die von der Gruppe kontrolliert werden, haben zwischen Dezember 2025 und Juli 2026 mindestens 10,71 Millionen USD in digitalen Vermögenswerten erhalten. Die Behörden nennen die Gruppe WaterPlum, auch bekannt als Contagious Interview.
Wie falsche Recruiter 7.000 Krypto-Wallets erreichten
WaterPlum gibt sich als Headhunter für Unternehmen aus den Bereichen künstliche Intelligenz, Kryptowährungen und non-fungible Token aus. Die Gruppe spricht Entwickler in sozialen Netzwerken, auf Jobbörsen und auf Plattformen für Freiberufler an.
„WaterPlum gibt sich als potenzieller Arbeitgeber aus und zielt weltweit auf Softwareentwickler und IT-Experten ab. Dabei nutzt die Gruppe das Angebot attraktiver Jobmöglichkeiten als Vorwand”, erklärten die japanische Nationalpolizei und das FBI in einer gemeinsamen Warnung.
Bewerber werden anschließend gebeten, an einem technischen Interview teilzunehmen oder eine Programmieraufgabe zu lösen. Die Gruppe fordert sie auf, Dateien von Code-Sharing-Websites herunterzuladen, etwa wegen eines kaputten Videoanrufs oder als Teil der Aufgabe.
Diese Dateien enthalten Schadsoftware. Die Programme suchen nach Passwörtern im Browser, fertigen Screenshots an und protokollieren Eingaben auf der Tastatur. Zudem stehlen sie die geheimen Schlüssel, mit denen eine Krypto-Wallet kontrolliert wird. In dieser Software bewahren Menschen ihr digitales Geld auf.
BeInCrypto berichtete im August über einen Forscher, der 22 Monate Zugang zu den Servern der Gruppe hatte. Er identifizierte 1.640 Opfer in 57 Ländern. Die am Freitag genannte offizielle Zahl ist etwa 18 Mal höher.
Japan schließt seinen ersten Laptop-Farm
Polizisten haben zudem den ersten bekannten Laptop-Farm des Landes geschlossen. Lokale Helfer bewahrten die Computer zu Hause auf. Im Ausland beschäftigte nordkoreanische Arbeiter steuerten die Geräte aus der Ferne und gaben sich als japanische Staatsbürger aus, um Aufträge als Freiberufler zu erhalten.
Laut Ermittlern schickten diese Arbeiter Kryptogeld im Wert von mehreren hundert Millionen Yen ins Ausland. Dieselben Internetadressen stellten eine Verbindung zwischen der Farm und den Hackern her.
„Die Nationalpolizei und das FBI gehen davon aus, dass sowohl WaterPlum-Cyberakteure als auch einige nordkoreanische IT-Arbeiter unter dem Generalbüro 313 des Ministeriums für Munitionsindustrie arbeiten, das dem Zentralkomitee der Arbeiterpartei Koreas untergeordnet ist.”
Ein mutmaßlicher Nordkoreaner bewarb sich im Mai 2025 mit einem gestohlenen Lebenslauf auf eine Stelle als Ingenieur bei der japanischen Exchange bitFlyer. Im Vorstellungsgespräch fiel auf, dass er nicht umziehen wollte und die Bezahlung in Krypto forderte. Zudem las er offenbar seine Antworten von einem zweiten Bildschirm ab. Daher erhielt er keine Anstellung.
Frühere Angriffe nutzten Deepfake-Bewerbungsgespräche per Video, um Führungskräfte zu erreichen. Ermittler raten heute Ingenieuren, den Code von Recruitern nur in einer Sandbox auszuführen, also einer abgeschotteten Testumgebung, die vom echten System getrennt ist.
