Nordkoreas WaterPlum-Hacker haben laut Japan und seinen Verbündeten Kryptowährungen im Wert von 10,7 Millionen US-Dollar gestohlen
- Die japanische Polizei, das FBI sowie Behörden in Australien und Deutschland gaben an, dass die nordkoreanische Gruppe WaterPlum Kryptowährungen im Wert von etwa 10,71 Millionen Dollar gestohlen habe.
- Die Kampagne infizierte mehr als 30.000 Geräte in über 100 Ländern und entwendetedentvon rund 7.000 Krypto-Konten.
- Für Entwickler und Freiberufler ist dies eine direkte Warnung, dass gefälschte Programmiertests und heruntergeladene Bewerbungsunterlagen eine akute Bedrohung für die Finanzierung Pjöngjangs darstellen.
Die japanische Nationale Polizeibehörde hat gemeinsam mit dem FBI und Sicherheitsbehörden in Australien und Deutschland eine nordkoreanische Gruppe identifiziert, die sich als Personalvermittler im IT-Bereich ausgab und weltweit Kryptowährungen von IT-Fachkräften stahl. Sie schleusten Vermögenswerte im Wert von 1,7 Milliarden Yen (etwa 10,71 Millionen US-Dollar) nach Nordkorea.
Die Crew nennt sich WaterPlum, verwendet aber den Decknamen „Contagious Interview“ als Alias. Laut einer gemeinsamen Warnung der sieben Behörden vom Freitag, dem 18. September 2026, hatte sie Opfer auf der ganzen Welt im Visier, darunter in Japan, den USA, Europa und darüber hinaus.
Sieben Behörden, eine öffentliche Zuordnung
In der Empfehlung werden sieben Behörden genannt : das japanische Nationale Büro für Cybersicherheit, die NPA, das FBI, das Cyberkriminalitätszentrum des Verteidigungsministeriums, das australische ASD Cybersicherheitszentrum sowie der deutsche BND und das BfV.
Die Bekanntgabe erfolgte im Rahmen eines „öffentlichen Zuordnungsmodells“, einer Maßnahme, die darauf abzielt, künftige Angriffe abzuschrecken, indem der Staat oder die Gruppe hinter einem bösartigen Cyberangriff offengelegt wird.
Nach Einschätzung der NPA und des FBI unterstehen die Hacker von WaterPlum, zusammen mit einer Gruppe nordkoreanischer IT-Fachkräfte, dem 313. Hauptbüro des Rüstungsministeriums, einer Einheit des Zentralkomitees der Arbeiterpartei Koreas. Dies deutet darauf hin, dass die Operation Teil eines größeren Plans Pjöngjangs zur Finanzierung seines Waffenprogramms war. US-Geheimdienste erhoben in der Vergangenheit bereits ähnliche Vorwürfe im Zusammenhang mit einem Kryptodiebstahl in Nordkorea – Vorwürfe, die das nordkoreanische Regime vehement zurückweist.
Wie Nordkoreas Scheinbeschäftigungsprogramm funktionierte
Die Masche funktionierte folgendermaßen: Die Hacker gaben sich als Personalverantwortliche von KI-Firmen, Krypto-Unternehmen und NFT-Startups aus und unterbreiteten Softwareentwicklern verlockende Jobangebote. Die Bewerber mussten sich dann technischen Interviews unterziehen oder Programmieraufgaben bearbeiten, bevor sie im Rahmen der Eignungsprüfung Dateien herunterladen und ausführen sollten.
Die heruntergeladenen Dateien waren mit Schadsoftware infiziert. Die Pakete des Node Package Managers enthielten verschiedene Schadsoftware-Varianten, darunter BeaverTail, InvisibleFerret, OtterCookie, OtterCandy und StoatWaffle. Nach der Installation öffnete der Schadcode eine Hintertür, die den Zugriff über Remote-Access-Trojaner aufrechterhielt und Browserpasswörter, Tastatureingaben, Screenshots sowie die privaten Schlüssel und Seed-Phrasen für den Zugriff auf Krypto-Walletstrac
Von Dezember letzten Jahres bis Juli dieses Jahres wurden im Rahmen der Operation über 30.000 Geräte in mehr als 100 Ländern kompromittiert und sensible Daten von rund 7.000 Kryptowährungskonten gestohlen.
Eine Laptop-Farm in Japan wurde zerstört
Die Operation war zweigeteilt, wobei der zweite Teil Arbeitskräfte betraf. Laut einer Mitteilung der nordkoreanischen Volksarmee (NPA) erhielten einige nordkoreanische IT-Fachkräfte mitdent in Nordkorea, China und Russland heimlichtracfür Fernprogrammierung und Webentwicklung und überwiesen ihre Gehälter nach Nordkorea.
Insgesamt wurden im Laufe der Jahre Hunderte Millionen Yen nach Nordkorea zurückgeleitet
Um den physischen Ursprung dieser Aktivitäten zu verschleiern, nutzte das Netzwerk lokale Helfer, die Laptop-Farmen und virtuelle private Server für die Hacker betrieben. Die japanischen Behörden haben eine solche Laptop-Farm, die von einem Helfer in Japan betrieben wurde, aufgedeckt, untersucht und gestoppt – ein Novum.
Teil einer sich ausweitenden nordkoreanischen Operation
Die Warnung wirft ein neues Licht auf ein sich in den letzten Monaten abzeichnendes Muster: Die Anzahl der auf öffentlichen Blockchains gespeicherten Schadprogramme ist um 420 % gestiegen . Ein Großteil davon stammt aus Nordkorea und dem Iran.
Der Kryptowährungsdiebstahl in Nordkorea wurde im Juni dieses Jahres während eines G7- Gipfels als erhebliche Sicherheitsbedrohung eingestuft. Dies geschah, nachdem bekannt wurde, dass seit 2016 rund 6,75 Milliarden US-Dollar von Akteuren mit Verbindungen nach Nordkorea gestohlen worden waren.
Die Anwerbung per Lockmittel ist ein wiederkehrendes Muster. Der Black-Hat-Forscher Vangelis Stykas gab dieses Jahr an, nordkoreanische Hacker in 1.640 Unternehmen in 57 Ländern traczu haben, oft indem sie Entwickler mit gefälschten Stellenangeboten köderten, die Schadsoftware installierten, wie Cryptopolitan berichtete.
Lesen Sie Krypto-News nicht nur, sondern verstehen Sie sie. Abonnieren Sie unseren Newsletter. Er ist kostenlos.
Häufig gestellte Fragen
Was ist WaterPlum und wer steckt dahinter?
WaterPlum, auch „Contagious Interview“ genannt, ist eine nordkoreanische Cybergruppe, die nach Einschätzung der japanischen NPA und des FBI unter dem Generalbüro 313 der Munitionsindustrieabteilung operiert, das Teil des Zentralkomitees der Arbeiterpartei Koreas ist.
Wie viel Kryptowährung hat WaterPlum gestohlen?
In der gemeinsamen Mitteilung heißt es, die Gruppe habe 1,7 Milliarden Yen, etwa 10,71 Millionen US-Dollar oder rund 14,5 Milliarden koreanische Won, in gestohlenen Kryptowährungen nach Nordkorea überwiesen, nachdem sie diedentfür rund 7.000 Kryptowährungskonten kompromittiert hatte.
Wie haben die Hacker ihre Opfer infiziert?
Sie gaben sich als Personalvermittler von KI-, Krypto- und NFT-Unternehmen aus und forderten Entwickler auf, Programmieraufgaben oder Vorstellungsgespräche zu absolvieren. Anschließend ließen sie die Entwickler Dateien herunterladen, die Schadsoftware wie BeaverTail, InvisibleFerret und OtterCookie enthielten, welche Wallet-Schlüssel und Anmeldedaten stahlen.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan/ übernimmt keine Haftung für Investitionen, die auf Grundlage der Informationen auf dieser Seite getätigt werden. Wirtronempfehlen dringend, vor jeder Anlageentscheidung eigene Recherchen durchzuführendent oder einen qualifizierten Fachmann zu konsultieren
Hannah Collymore
Hannah ist Autorin und Redakteurin mit fast zehn Jahren Erfahrung im Bloggen und der Eventberichterstattung im Kryptobereich. Bei Cryptopolitanschreibt sie für die Nachrichtenseite und berichtet und analysiert die neuesten Entwicklungen in den Bereichen DeFi, RWA, Kryptoregulierung, KI und Zukunftstechnologien. Sie hat an der Arcadia University Betriebswirtschaftslehre studiert.
