Según Japón y sus aliados, los hackers norcoreanos del grupo WaterPlum robaron 10,7 millones de dólares en criptomonedas
- La policía japonesa, el FBI y agencias de Australia y Alemania afirmaron que el grupo norcoreano WaterPlum robó alrededor de 10,71 millones de dólares en criptomonedas.
- La campaña infectó a más de 30.000 dispositivos en más de 100 países y robódentde aproximadamente 7.000 cuentas de criptomonedas.
- Para los desarrolladores y autónomos, es una advertencia directa de que las pruebas de codificación falsas y las descargas de entrevistas representan una amenaza real para la financiación de Pyongyang.
La Agencia Nacional de Policía de Japón, junto con el FBI y las agencias de seguridad de Australia y Alemania, han identificado a un grupo norcoreano que se hacía pasar por reclutadores tecnológicos mientras robaba criptomonedas a profesionales de TI en todo el mundo. Desviaron activos por valor de 1.700 millones de yenes (unos 10,71 millones de dólares) a Corea del Norte.
El grupo se llama WaterPlum, pero usa "Contagious Interview" como alias, y atacaron a víctimas en todo el mundo, incluidos Japón, Estados Unidos, Europa y otros lugares, según un comunicado conjunto publicado por las siete agencias el viernes 18 de septiembre de 2026.
Siete agencias, una atribución pública
El aviso incluye los nombres de siete agencias: la Oficina Nacional de Ciberseguridad de Japón, la NPA, el FBI, el Centro de Delitos Cibernéticos del Departamento de Defensa, el Centro de Ciberseguridad ASD de Australia, así como el BND y el BfV de Alemania.
El anuncio se realizó bajo un marco de "atribución pública", una medida destinada a disuadir futuros ataques al exponer al Estado o grupo responsable de un ciberataque malicioso.
Según la evaluación de la Fiscalía Nacional y el FBI, los hackers de WaterPlum, junto con un grupo de informáticos norcoreanos, estaban bajo el mando de la 313.ª Oficina General del Departamento de la Industria de Municiones, una unidad dependiente del Comité Central del Partido de los Trabajadores de Corea. Esto significa que la operación formaba parte de un plan más amplio que Pyongyang utilizaba para financiar su programa de armamento. Las agencias de inteligencia estadounidenses ya habían formulado esta misma acusación en el pasado durante un episodio de robo de criptomonedas por parte de Corea del Norte, una acusación que el régimen norcoreano niega rotundamente.
Cómo funcionaba el plan de empleos falsos de Corea del Norte
El plan funcionaba así: los hackers se hacían pasar por responsables de contratación en empresas de IA, criptomonedas y startups de NFT, ofreciendo puestos de trabajo irresistibles a desarrolladores de software. Los candidatos debían someterse a entrevistas técnicas o completar ejercicios de programación antes de recibir instrucciones para descargar y ejecutar archivos como parte de la evaluación.
Los archivos descargados estaban infectados con malware. Los paquetes del Administrador de paquetes de Node contenían diversas variantes de malware, entre ellas: BeaverTail, InvisibleFerret, OtterCookie, OtterCandy y StoatWaffle. Tras la instalación, el código creaba una puerta trasera que permitía el acceso mediante troyanos de acceso remoto, ytraccontraseñas del navegador, pulsaciones de teclas, capturas de pantalla, las claves privadas y las frases semilla utilizadas para acceder a las carteras de criptomonedas
Desde diciembre del año pasado hasta julio de este año, la operación corrompió más de 30.000 dispositivos en más de 100 países e información confidencial perteneciente a unas 7.000 cuentas de criptomonedas.
Destruida una granja de ordenadores portátiles en Japón
La operación se dividió en dos partes, y la segunda parte implicó trabajo. Según el anuncio del NPA, algunos trabajadores informáticos norcoreanos,dent en Corea del Norte, China y Rusia, obtuvieron subrepticiamentetracde programación remota y desarrollo web, mientras enviaban sus salarios a Corea del Norte.
En total, a lo largo de los años , cientos de millones de yenes fueron devueltos a Corea del Norte
Para ocultar el origen físico de ese trabajo, la red recurrió a personas locales que operaban granjas de computadoras portátiles y servidores virtuales privados para los hackers. Las autoridades japonesas detectaron, investigaron y desmantelaron una granja de computadoras portátiles operada por un cómplice en Japón, un hecho sin precedentes.
Parte de una operación cada vez más amplia de Corea del Norte
El aviso arroja más luz sobre una tendencia creciente que se ha desarrollado en los últimos meses. Se ha registrado un aumento del 420 % en el malware escrito en cadenas de bloques públicas, gran parte del cual proviene de Corea del Norte e Irán.
El robo de criptomonedas por parte de Corea del Norte fue clasificado como una importante amenaza para la seguridad durante una de líderes del G7 en junio de este año. Esto ocurrió después de que se descubriera que agentes vinculados a Corea del Norte habían robado aproximadamente 6750 millones de dólares desde 2016.
El señuelo para reclutar talento es una táctica recurrente. El investigador de Black Hat, Vangelis Stykas, afirmó que este año había traca hackers norcoreanos en 1640 empresas de 57 países, a menudo engañando a los desarrolladores con ofertas de trabajo falsas que instalaban malware, según informó Cryptopolitan .
No te limites a leer noticias sobre criptomonedas. Entiéndelas. Suscríbete a nuestro boletín. Es gratis.
Preguntas frecuentes
¿Qué es WaterPlum y quién está detrás de este proyecto?
WaterPlum, también conocido como "Contagious Interview", es un grupo cibernético norcoreano que, según la Agencia Nacional de Policía de Japón y el FBI, opera bajo la Oficina General 313 del Departamento de la Industria de Municiones, que forma parte del Comité Central del Partido de los Trabajadores de Corea.
¿Cuántos criptomonedas robó WaterPlum?
Según el informe conjunto, el grupo transfirió 1.700 millones de yenes, unos 10,71 millones de dólares o aproximadamente 14.500 millones de wones coreanos, en criptomonedas robadas a Corea del Norte, tras comprometer lasdentde unas 7.000 cuentas de criptomonedas.
¿Cómo infectaron los piratas informáticos a sus víctimas?
Se hicieron pasar por reclutadores de empresas de IA, criptomonedas y NFT y pidieron a los desarrolladores que completaran pruebas de codificación o entrevistas, para luego hacerles descargar archivos que contenían malware como BeaverTail, InvisibleFerret y OtterCookie, que robaban claves de billetera y datos de inicio de sesión.
Aviso legal. La información proporcionada no constituye asesoramiento comercial. Cryptopolitanconsultar no se responsabiliza de las inversiones realizadas con base en la información proporcionada en esta página. Recomendamostronencarecidamente realizar una investigación independientedent un profesional cualificado antes de tomar cualquier decisión de inversión.
Hannah Collymore
Hannah es escritora y editora con casi una década de experiencia en redacción de blogs y reportajes sobre eventos en el ámbito de las criptomonedas. En Cryptopolitan, colabora en la sección de noticias, informando y analizando las últimas novedades en DeFi, RWA, regulación de criptomonedas, IA y tecnologías de vanguardia. Se graduó en Administración de Empresas por la Universidad de Arcadia.
