Los hackers WaterPlum de Corea del Norte robaron $10.7M en cripto, dicen Japón y aliados
- La policía de Japón, el FBI y agencias de Australia y Alemania indicaron que el grupo norcoreano WaterPlum robó aproximadamente 10,71 millones de dólares en criptomonedas.
- La campaña infectó a más de 30.000 dispositivos en más de 100 países y extrajo credenciales de aproximadamente 7.000 cuentas de criptomonedas.
- Para desarrolladores y freelancers, es una advertencia directa de que las pruebas de codificación falsas y las descargas de entrevistas son una amenaza activa que financia a Pyongyang.
La Agencia de Policía Nacional de Japón, junto con el FBI y las agencias de seguridad de Australia y Alemania, han puesto un nombre a un grupo norcoreano que se hacía pasar por reclutadores tecnológicos mientras robaba criptomonedas a profesionales de TI en todo el mundo. Desviaron activos por valor de 1.700 millones de yenes (aproximadamente $10.71 millones) a Corea del Norte.
El grupo se llama WaterPlum pero utiliza “Entrevista Contagiosa” como alias, y atacaron a víctimas en todo el mundo, incluyendo Japón, EE. UU., Europa y más allá, según un aviso conjunto que las siete agencias publicaron el viernes 18 de septiembre de 2026.
Siete agencias, una atribución pública
El aviso tiene en él los nombres de siete agencias: la Oficina Nacional de Ciberseguridad de Japón, la NPA, el FBI, el Centro de Ciberdelitos del Departamento de Defensa de EE. UU., el Centro de Ciberseguridad ASD de Australia, así como el BND y el BfV de Alemania.
El anuncio se hizo bajo un marco de “atribución pública”, un movimiento destinado a disuadir ataques futuros exponiendo al estado o grupo detrás de un ciberataque malicioso.
Basado en la evaluación de la NPA y el FBI, los hackers de WaterPlum, junto con un grupo de trabajadores de TI norcoreanos, están bajo el mando de la 313 Oficina General del Departamento de Industria de Municiones, una unidad bajo los auspicios del Comité Central del Partido de los Trabajadores de Corea. Eso significa que la operación fue parte de un plan más grande que Pyongyang usó para financiar su programa de armas. Las agencias de inteligencia de EE. UU. han presentaron el mismo cargo en el pasado durante un episodio de robo de cripto norcoreano, un cargo que el régimen norcoreano niega vehementemente.
Cómo funcionó el esquema de trabajo falso de Corea del Norte
El esquema funcionó de esta manera: los hackers se hacían pasar por gerentes de contratación en empresas de IA, empresas de cripto y startups de NFT, ofreciendo ofertas de trabajo irresistibles a desarrolladores de software. Los solicitantes luego se sentaban para entrevistas técnicas o completaban asignaciones de codificación antes de ser instruidos para descargar y ejecutar archivos como parte de la evaluación.
Los archivos descargados estaban corrompidos con malware. Había varias cepas de malware en los paquetes de Node Package Manager. Incluyen: BeaverTail, InvisibleFerret, OtterCookie, OtterCandy y StoatWaffle. Después de la instalación, el código creaba una puerta trasera, manteniendo el acceso a través de troyanos de acceso remoto, y extraía contraseñas del navegador, pulsaciones de teclas, capturas de pantalla y las claves privadas y frases semilla que se utilizan para acceder a billeteras de cripto
Desde diciembre del año pasado hasta julio de este año, la operación corrompió más de 30,000 dispositivos en más de 100 países y información sensible perteneciente a aproximadamente 7,000 cuentas de criptomonedas.
Una granja de portátiles destruida en Japón
La operación tuvo dos partes, y la segunda parte involucró trabajo manual. Según el anuncio de la NPA, algunos trabajadores de TI norcoreanos, residentes en Corea del Norte, China y Rusia, obtuvieron contratos de programación remota y desarrollo web de manera encubierta, mientras enviaban sus salarios de vuelta a Corea del Norte.
En total, cientos de millones de yenes fueron redirigidos de vuelta a Corea del Norte a lo largo de los años.
Para ocultar el origen físico de ese trabajo, la red utilizó locales que operaban granjas de portátiles y servidores privados virtuales para los hackers. Las autoridades en Japón han detectado, investigado y detenido una granja de portátiles dirigida por un facilitador en Japón, un caso sin precedentes.
Parte de una operación norcoreana en expansión
El aviso arroja más luz sobre un patrón creciente que se ha desarrollado a lo largo de los meses. Ha habido un 420% de aumento en malware escrito para blockchains públicas. Con una gran parte de esto originado en Corea del Norte e Irán.
El robo de cripto de Corea del Norte fue clasificado como una amenaza de seguridad significativa durante una los líderes de G7 reunión en junio de este año. Esto fue después de que se encontrara que se habían robado aproximadamente $6.75 mil millones desde 2016 por actores con vínculos norcoreanos.
El cebo de reclutamiento es una firma recurrente. El investigador de Black Hat Vangelis Stykas dijo este año que había rastreado hackers norcoreanos en 1,640 empresas en 57 países, a menudo engañando a desarrolladores con ofertas de trabajo falsas que instalan malware, como informó Cryptopolitan.
Si estás leyendo esto, ya vas por delante. Mantente así con nuestro boletín.
Preguntas frecuentes
¿Qué es WaterPlum y quién está detrás de ello?
WaterPlum, también llamado "Entrevista Contagiosa", es un grupo cibernético norcoreano que, según la NPA de Japón y el FBI, opera bajo la Oficina General 313 del Departamento de Industria de Municiones, parte del Comité Central del Partido de los Trabajadores de Corea.
¿Cuánta criptomoneda robó WaterPlum?
El aviso conjunto indica que el grupo transfirió 1.700 millones de yenes, unos 10,71 millones de dólares o aproximadamente 14.500 millones de wones coreanos, en criptomonedas robadas a Corea del Norte, tras comprometer credenciales de alrededor de 7.000 cuentas de criptomonedas.
¿Cómo infectaron los hackers a sus víctimas?
Se hicieron pasar por reclutadores de empresas de IA, criptomonedas y NFT, y pidieron a los desarrolladores que completaran pruebas de programación o entrevistas; luego les hicieron descargar archivos con malware como BeaverTail, InvisibleFerret y OtterCookie, que robaron claves de billeteras y datos de inicio de sesión.
Descargo de responsabilidad. La información proporcionada no constituye asesoramiento financiero. Cryptopolitan.com no asume ninguna responsabilidad por las inversiones realizadas basándose en la información proporcionada en esta página. Recomendamos encarecidamente realizar una investigación independiente y/o consultar con un profesional calificado antes de tomar cualquier decisión de inversión.
Hannah Collymore
Hannah es escritora y editora con casi una década de experiencia en la redacción de blogs y la cobertura de eventos en el ámbito de las criptomonedas. En Cryptopolitan, Hannah contribuye a la página de noticias, informando y analizando los últimos avances en DeFi, RWA, regulación de criptomonedas, inteligencia artificial y tecnologías de vanguardia. Se graduó de la Universidad de Arcadia con una licenciatura en Administración de Empresas.
