Gli hacker nordcoreani WaterPlum hanno rubato 10,7 milioni di dollari in criptovalute, dicono Giappone e alleati
- La polizia giapponese, l'FBI e le agenzie di Australia e Germania hanno dichiarato che il gruppo nordcoreano WaterPlum ha rubato circa 10,71 milioni di dollari in criptovaluta.
- La campagna ha infettato oltre 30.000 dispositivi in più di 100 paesi e sottratto credenziali da circa 7.000 account cripto.
- Per sviluppatori e freelancer, è un monito diretto: i test di codifica falsi e i download per colloqui sono una minaccia attiva che finanzia Pyongyang.
L'Agenzia Nazionale di Polizia del Giappone, insieme all'FBI e alle agenzie di sicurezza di Australia e Germania, hanno dato un nome a un gruppo nordcoreano che si fingeva reclutatore tecnologico mentre rubava criptovalute a professionisti IT in tutto il mondo. Hanno dirottato 1,7 miliardi di yen (circa 10,71 milioni di dollari) di attività verso la Corea del Nord.
La squadra è chiamata WaterPlum ma usa "Contagious Interview" come alias, e ha preso di mira vittime in tutto il mondo, tra cui Giappone, Stati Uniti, Europa e oltre, secondo un avviso congiunto delle sette agenzie rilasciato venerdì 18 settembre 2026.
Sette agenzie, un'unica attribuzione pubblica
L'avviso riporta i nomi di sette agenzie: l'Ufficio Nazionale per la Cybersecurity del Giappone, la NPA, l'FBI, il Cyber Crime Center del Dipartimento della Difesa degli Stati Uniti, il Centro di Cyber Security ASD dell'Australia, nonché il BND e il BfV della Germania.
L'annuncio è stato fatto nell'ambito di un quadro di "attribuzione pubblica", una mossa volta a scoraggiare attacchi futuri esponendo lo stato o il gruppo dietro un attacco informatico malevolo.
Sulla base della valutazione della NPA e dell'FBI, gli hacker di WaterPlum, insieme a un gruppo di lavoratori IT nordcoreani, sono sotto il comando del 313 General Bureau of the Munitions Industry Department, un'unità sotto l'egida del Comitato Centrale del Partito dei Lavoratori di Corea. Questo significa che l'operazione faceva parte di un piano più ampio che Pyongyang utilizzava per finanziare il suo programma di armi. Le agenzie di intelligence degli Stati Uniti hanno hanno avanzato la stessa accusa in passato durante un episodio di furto di criptovalute nordcoreano, un'accusa che il regime nordcoreano nega veementemente.
Come ha funzionato lo schema di falso lavoro della Corea del Nord
Lo schema funzionava in questo modo: gli hacker si fingevano responsabili delle assunzioni presso aziende di intelligenza artificiale, venture crypto e startup NFT, offrendo offerte di lavoro irresistibili agli sviluppatori software. I candidati dovevano poi sostenere colloqui tecnici o completare compiti di codifica prima di essere istruiti a scaricare ed eseguire file come parte della valutazione.
I file scaricati erano corrotti da malware. C'erano vari ceppi di malware nei pacchetti Node Package Manager. Includono: BeaverTail, InvisibleFerret, OtterCookie, OtterCandy e StoatWaffle. Dopo l'installazione, il codice creava una backdoor, mantenendo l'accesso tramite trojan di accesso remoto, ed estraeva le password del browser, i tasti premuti, gli screenshot e le chiavi private e le frasi seed utilizzate per accedere ai portafogli crypto
Da dicembre dell'anno scorso a luglio di quest'anno, l'operazione ha corrotto oltre 30.000 dispositivi in più di 100 paesi e informazioni sensibili appartenenti a circa 7.000 account di criptovalute.
Una fattoria di laptop distrutta in Giappone
L'operazione era divisa in due parti, e la seconda parte coinvolgeva il lavoro. Secondo l'annuncio della NPA, alcuni lavoratori IT nordcoreani, residenti in Corea del Nord, Cina e Russia, hanno ottenuto contratti di programmazione remota e sviluppo web di nascosto, mentre inviavano i loro stipendi indietro alla Corea del Nord.
In totale, centinaia di milioni di yen sono stati instradati indietro alla Corea del Nord nel corso degli anni.
Per nascondere l'origine fisica di quel lavoro, la rete ha fatto uso di locali che gestivano fattorie di laptop e server privati virtuali per gli hacker. Le autorità giapponesi hanno individuato, indagato e fermato una fattoria di laptop gestita da un facilitatore in Giappone, un caso del suo genere.
Parte di un'operazione nordcoreana in espansione
L'avviso getta più luce su un modello crescente che si è sviluppato nel corso dei mesi. C'è stato un 420% aumento di malware scritto per blockchain pubbliche. Con un'enorme parte di esso originaria della Corea del Nord e dell'Iran.
Il furto di criptovalute da parte della Corea del Nord è stato classificato come una minaccia alla sicurezza significativa durante un i leader G7 incontro a giugno di quest'anno. Questo dopo che è stato trovato che circa 6,75 miliardi di dollari erano stati rubati dal 2016 da attori con legami nordcoreani.
L'attrattiva del reclutamento è un segno distintivo ricorrente. Il ricercatore di Black Hat Vangelis Stykas ha detto quest'anno di aver tracciato gli hacker nordcoreani in 1.640 aziende in 57 paesi, spesso attirando gli sviluppatori con offerte di lavoro false che installano malware, come riportato da Cryptopolitan.
Non limitarti a leggere le notizie sulle criptovalute. Comprendile. Iscriviti alla nostra newsletter. È gratuita.
Domande frequenti
Cos'è WaterPlum e chi c'è dietro?
WaterPlum, noto anche come "Contagious Interview", è un gruppo cibernetico nordcoreano che, secondo la NPA giapponese e l'FBI, opera sotto la 313ª Direzione Generale del Dipartimento dell'Industria degli Armamenti, parte del Comitato Centrale del Partito dei Lavoratori di Corea.
Quanta criptovaluta ha rubato WaterPlum?
L'avviso congiunto afferma che il gruppo ha trasferito 1,7 miliardi di yen, pari a circa 10,71 milioni di dollari o circa 14,5 miliardi di won sudcoreani, in criptovaluta rubata verso la Corea del Nord, dopo aver compromesso le credenziali di circa 7.000 account criptografici.
Come gli hacker hanno infettato le loro vittime?
Si sono fatti passare per recruiter presso aziende di intelligenza artificiale, criptovalute e NFT, chiedendo agli sviluppatori di completare test di programmazione o colloqui, per poi indurli a scaricare file contenenti malware come BeaverTail, InvisibleFerret e OtterCookie, che hanno rubato le chiavi dei portafogli e i dati di accesso.
Disclaimer. Le informazioni fornite non costituiscono consulenza finanziaria. Cryptopolitan.com non si assume alcuna responsabilità per eventuali investimenti basati sulle informazioni presenti in questa pagina. Si raccomanda vivamente di effettuare ricerche autonome e/o consultare un professionista qualificato prima di prendere qualsiasi decisione di investimento.
Hannah Collymore
Hannah è una scrittrice e redattrice con quasi un decennio di esperienza nella scrittura di blog e nella copertura di eventi nel settore delle criptovalute. Presso Cryptopolitan, Hannah contribuisce alla pagina delle notizie, riportando e analizzando gli ultimi sviluppi nei settori DeFi, RWA, regolamentazione crypto, intelligenza artificiale e tecnologie emergenti. Si è laureata all'Arcadia University con una laurea in Amministrazione Aziendale.
