Nordkoreas WaterPlum-Hacker stahlen 10,7 Mio. USD an Krypto, sagen Japan und Verbündete
- Die japanische Polizei, das FBI sowie Behörden in Australien und Deutschland gaben bekannt, dass die nordkoreanische Gruppe WaterPlum etwa 10,71 Millionen USD an Kryptowährungen gestohlen hat.
- Die Kampagne infizierte mehr als 30.000 Geräte in über 100 Ländern und entwendete Zugangsdaten von rund 7.000 Krypto-Konten.
- Für Entwickler und Freelancer ist dies eine direkte Warnung: Fälschliche Coding-Tests und herunterladbare Interviewmaterialien stellen eine reale Bedrohung dar, die Pjöngjang finanziert.
Die Nationale Polizeibehörde Japans, zusammen mit dem FBI und Sicherheitsbehörden in Australien und Deutschland, haben einer nordkoreanischen Gruppe einen Namen gegeben, die sich als Tech-Rekrutierer ausgegeben hat, während sie Kryptowährungen von IT-Profis weltweit stahl. Sie leiteten Vermögenswerte im Wert von 1,7 Milliarden Yen (etwa 10,71 Millionen US-Dollar) nach Nordkorea um.
Die Crew heißt WaterPlum, verwendet aber „Contagious Interview“ als Alias, und sie zielte auf Opfer auf der ganzen Welt ab, einschließlich Japan, den USA, Europa und darüber hinaus, laut einer gemeinsamen Warnung der sieben Behörden, die am Freitag, dem 18. September 2026, veröffentlicht wurde.
Sieben Behörden, eine öffentliche Zuordnung
Die Warnung enthält die Namen von sieben Behörden: Japans Nationalem Cybersicherheitsamt, der NPA, dem FBI, dem Cyber Crime Center des US-Verteidigungsministeriums, dem ASD Cyber Security Centre Australiens sowie dem BND und BfV Deutschlands.
Die Ankündigung erfolgte im Rahmen eines „Public Attribution“-Rahmens, ein Schritt, der darauf abzielt, zukünftige Angriffe abzuschrecken, indem der Staat oder die Gruppe hinter einem bösartigen Cyberangriff offengelegt wird.
Basierend auf der Einschätzung der NPA und des FBI stehen die WaterPlum-Hacker zusammen mit einer Gruppe nordkoreanischer IT-Arbeiter unter dem Kommando des 313. Generalbüros der Abteilung für Rüstungsindustrie, einer Einheit unter der Schirmherrschaft des Zentralkomitees der Arbeiterpartei Koreas. Das bedeutet, dass die Operation Teil eines größeren Plans war, den Pjöngjang zur Finanzierung seines Waffenprogramms nutzte. US-Geheimdienste haben stellten die gleiche Anklage in der Vergangenheit während eines Vorfalls nordkoreanischer Krypto-Diebstähle erhoben, eine Anklage, das nordkoreanische Regime bestreitet vehement.
Wie Nordkoreas falsches Jobschema funktionierte
Das Schema funktionierte so: Die Hacker gaben sich als Einstellungsmanager bei KI-Firmen, Krypto-Unternehmen und NFT-Startups aus und boten Softwareentwicklern unwiderstehliche Jobangebote an. Die Bewerber würden dann technischen Interviews unterziehen oder Coding-Aufgaben absolvieren, bevor sie angewiesen wurden, Dateien als Teil der Bewertung herunterzuladen und auszuführen.
Die heruntergeladenen Dateien waren mit Malware infiziert. Es gab verschiedene Stämme von Malware in den Node-Package-Manager-Paketen. Dazu gehören: BeaverTail, InvisibleFerret, OtterCookie, OtterCandy und StoatWaffle. Nach der Installation erstellte der Code eine Hintertür, behielt den Zugriff über Remote-Access-Trojans bei und extrahierte Browser-Passwörter, Tastatureingaben, Screenshots sowie die privaten Schlüssel und Seed-Phrases, die zum Zugriff auf Krypto-Wallets verwendet werden.
Von Dezember letzten Jahres bis Juli dieses Jahres infizierte die Operation über 30.000 Geräte in mehr als 100 Ländern und sensible Informationen von etwa 7.000 Kryptowährungs-Konten.
Eine in Japan zerstörte Laptop-Farm
Die Operation bestand aus zwei Teilen, und der zweite Teil umfasste Arbeitskraft. Laut der Ankündigung der NPA erlangten einige nordkoreanische IT-Arbeiter, die in Nordkorea, China und Russland ansässig sind, heimlich Remote-Programmierungs- und Web-Entwicklungsverträge, während sie ihre Gehälter nach Nordkorea schickten.
Insgesamt wurden Hunderte von Millionen Yen zurückgeleitet nach Nordkorea über die Jahre.
Um den physischen Ursprung dieser Arbeit zu verschleiern, nutzte das Netzwerk Einheimische, die Laptop-Farms und virtuelle Private Server für die Hacker betrieben. Die Behörden in Japan haben eine Laptop-Farm entdeckt, untersucht und gestoppt, die von einem Mittäter in Japan betrieben wurde, ein erster Fall dieser Art.
Teil einer sich ausweitenden nordkoreanischen Operation
Die Warnung wirft mehr Licht auf ein wachsendes Muster, das sich über die Monate entwickelt hat. Es gab einen 420% Anstieg Anstieg von Malware, die in öffentliche Blockchains geschrieben wurde. Mit einem großen Teil davon, der aus Nordkorea und dem Iran stammt.
Der Krypto-Diebstahl Nordkoreas wurde während eines F7-Führer Treffens im Juni dieses Jahres als erhebliche Sicherheitsbedrohung eingestuft. Dies geschah, nachdem festgestellt wurde, dass seit 2016 etwa 6,75 Milliarden US-Dollar von Akteuren mit nordkoreanischen Verbindungen gestohlen wurden.
Der Rekrutierungslockvogel ist ein wiederkehrendes Merkmal. Der Black-Hat-Forscher Vangelis Stykas sagte in diesem Jahr, er habe nordkoreanische Hacker in 1.640 Unternehmen in 57 Ländern zurückverfolgt, oft indem er Entwickler mit falschen Jobangeboten lockte, die Malware installieren, wie Cryptopolitan berichtete.
Wenn Sie dies lesen, sind Sie bereits einen Schritt voraus. Bleiben Sie mit unserem Newsletter auf dem Laufenden.
Häufig gestellte Fragen
Was ist WaterPlum und wer steckt dahinter?
WaterPlum, auch bekannt als „Contagious Interview
Wie viel Kryptowährung hat WaterPlum gestohlen?
Der gemeinsame Warnhinweis besagt, dass die Gruppe 1,7 Milliarden Yen, also etwa 10,71 Millionen USD oder rund 14,5 Milliarden südkoreanische Won, an gestohlenen Kryptowährungen nach Nordkorea transferierte, nachdem sie Zugangsdaten für etwa 7.000 Krypto-Konten kompromittiert hatte.
Wie haben die Hacker ihre Opfer infiziert?
Sie gaben sich als Recruiter von KI-, Krypto- und NFT-Unternehmen aus und baten Entwickler, Code-Tests oder Vorstellungsgespräche zu absolvieren. Anschließend ließen sie sie Dateien mit Malware wie BeaverTail, InvisibleFerret und OtterCookie herunterladen, die Wallet-Schlüssel und Login-Daten stahlen.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan.com übernimmt keine Haftung für Investitionen, die auf den auf dieser Seite bereitgestellten Informationen basieren. Wir empfehlen dringend, vor der Entscheidung für eine Anlage unabhängige Recherchen durchzuführen und/oder sich mit einem qualifizierten Fachmann beraten zu lassen.
Hannah Collymore
Hannah ist Autorin und Redakteurin mit fast einem Jahrzehnt Erfahrung im Bloggen und in der Berichterstattung über Events im Krypto-Bereich. Bei Cryptopolitan arbeitet sie an der News-Seite und berichtet sowie analysiert die neuesten Entwicklungen in den Bereichen DeFi, RWA, Krypto-Regulierung, KI und Zukunftstechnologien. Sie hat ihr Studium an der Arcadia University mit einem Abschluss in Betriebswirtschaft abgeschlossen.
