Secondo quanto affermano il Giappone e i suoi alleati, gli hacker nordcoreani del programma WaterPlum hanno rubato 10,7 milioni di dollari in criptovalute
- La polizia giapponese, l'FBI e le agenzie investigative di Australia e Germania hanno affermato che il gruppo nordcoreano WaterPlum ha rubato circa 10,71 milioni di dollari in criptovalute.
- La campagna ha infettato oltre 30.000 dispositivi in più di 100 paesi e ha sottratto ledentda circa 7.000 conti di criptovalute.
- Per sviluppatori e freelance, si tratta di un avvertimento diretto: i falsi test di programmazione e i download di simulazioni di colloqui di lavoro rappresentano una minaccia concreta per il finanziamento di Pyongyang.
L'Agenzia nazionale di polizia giapponese, insieme all'FBI e alle agenzie di sicurezza di Australia e Germania, ha identificato un gruppo nordcoreano che si spacciava per un'agenzia di reclutamento nel settore tecnologico, rubando criptovalute a professionisti IT di tutto il mondo. Il gruppo ha dirottato verso la Corea del Nord beni per un valore di 1,7 miliardi di yen (circa 10,71 milioni di dollari).
Il gruppo si chiama WaterPlum ma usa lo pseudonimo di "Contagious Interview" e ha preso di mira vittime in tutto il mondo, tra cui Giappone, Stati Uniti, Europa e altri paesi, secondo un avviso congiunto diffuso venerdì 18 settembre 2026 dalle sette agenzie.
Sette agenzie, un'attribuzione pubblica
L'avviso riporta i nomi di sette agenzie: l'Ufficio nazionale per la sicurezza informatica del Giappone, la NPA, l'FBI, il Centro per la criminalità informatica del Dipartimento della Difesa, il Centro australiano per la sicurezza informatica ASD, nonché il BND e il BfV tedeschi.
L'annuncio è stato fatto nell'ambito di un quadro di "attribuzione pubblica", una mossa volta a scoraggiare futuri attacchi smascherando lo stato o il gruppo responsabile di un attacco informatico malevolo.
Secondo le valutazioni della Procura Nazionale e dell'FBI, gli hacker di WaterPlum, insieme a un gruppo di informatici nordcoreani, sarebbero sotto il comando del 313° Ufficio Generale del Dipartimento dell'Industria delle Munizioni, un'unità che dipende dal Comitato Centrale del Partito dei Lavoratori di Corea. Ciò significa che l'operazione faceva parte di un piano più ampio utilizzato da Pyongyang per finanziare il suo programma di armamenti. Le agenzie di intelligence statunitensi hanno già mosso la stessa accusa in passato, in relazione a un episodio di furto di criptovalute da parte della Corea del Nord, accusa che il regime nordcoreano nega con veemenza.
Come funzionava il piano della Corea del Nord per creare posti di lavoro fittizi
Il piano funzionava così: gli hacker si fingevano responsabili delle assunzioni presso aziende di intelligenza artificiale, imprese nel settore delle criptovalute e startup NFT, offrendo proposte di lavoro irresistibili agli sviluppatori di software. I candidati dovevano poi sostenere colloqui tecnici o completare esercizi di programmazione prima di ricevere l'ordine di scaricare ed eseguire dei file come parte della valutazione.
I file scaricati erano corrotti da malware. Nei pacchetti di Node Package Manager erano presenti diverse varianti di malware, tra cui: BeaverTail, InvisibleFerret, OtterCookie, OtterCandy e StoatWaffle. Dopo l'installazione, il codice creava una backdoor, mantenendo l'accesso tramite trojan di accesso remoto, edtracpassword del browser, sequenze di tasti, screenshot, chiavi private e frasi di recupero utilizzate per accedere ai portafogli di criptovalute
Da dicembre dello scorso anno a luglio di quest'anno, l'operazione ha compromesso oltre 30.000 dispositivi in più di 100 paesi e informazioni sensibili appartenenti a circa 7.000 account di criptovalute.
Una piantagione di computer portatili distrutta in Giappone
L'operazione si è articolata in due fasi, la seconda delle quali ha coinvolto il lavoro. Secondo quanto annunciato dall'NPA, alcuni informatici nordcoreani,dent in Corea del Nord, Cina e Russia, hanno ottenuto clandestinamentetracdi programmazione e sviluppo web da remoto, inviando i loro stipendi in Corea del Nord.
Complessivamente, centinaia di milioni di yen sono stati reindirizzati verso la Corea del Nord nel corso degli anni.
Per nascondere l'origine fisica di tale attività, la rete si avvaleva di persone del posto che gestivano "farm" di computer portatili e server virtuali privati per gli hacker. Le autorità giapponesi hanno individuato, indagato e smantellato una "farm" di computer portatili gestita da un facilitatore in Giappone, un caso senza precedenti.
Parte di un'operazione nordcoreana in espansione
L'avviso fa maggiore luce su una tendenza in crescita che si è sviluppata negli ultimi mesi. Si è registrato un aumento del 420% di malware scritti su blockchain pubbliche, con una gran parte di essi proveniente dalla Corea del Nord e dall'Iran.
Il furto di criptovalute da parte della Corea del Nord è stato classificato come una grave minaccia alla sicurezza durante un dei leader del G7 tenutosi a giugno di quest'anno. Ciò è avvenuto dopo che è emerso che circa 6,75 miliardi di dollari erano stati rubati dal 2016 da soggetti con legami con la Corea del Nord.
L'esca per il reclutamento è un elemento ricorrente. Il ricercatore di Black Hat Vangelis Stykas ha affermato di aver tracquest'anno hacker nordcoreani in 1.640 aziende in 57 paesi, spesso attirando gli sviluppatori con false offerte di lavoro che installano malware, come riportato Cryptopolitan .
Non limitarti a leggere le notizie sulle criptovalute. Cerca di capirle. Iscriviti alla nostra newsletter. È gratis.
Domande frequenti
Cos'è WaterPlum e chi c'è dietro?
WaterPlum, noto anche come "Intervista Contagiosa", è un gruppo informatico nordcoreano che, secondo le valutazioni della NPA giapponese e dell'FBI, opera sotto l'egida del 313° Ufficio Generale del Dipartimento dell'Industria delle Munizioni, a sua volta parte del Comitato Centrale del Partito dei Lavoratori di Corea.
Quanta criptovaluta ha rubato WaterPlum?
Secondo il comunicato congiunto, il gruppo ha trasferito 1,7 miliardi di yen, circa 10,71 milioni di dollari o all'incirca 14,5 miliardi di won coreani, in criptovalute rubate alla Corea del Nord, dopo aver compromesso ledentdi circa 7.000 conti di criptovalute.
Come hanno fatto gli hacker a infettare le loro vittime?
Si spacciavano per reclutatori di aziende di intelligenza artificiale, criptovalute e NFT e chiedevano agli sviluppatori di completare test di programmazione o colloqui, per poi fargli scaricare file contenenti malware come BeaverTail, InvisibleFerret e OtterCookie, che rubavano le chiavi private e i dati di accesso ai portafogli digitali.
Disclaimer. Le informazioni fornite non costituiscono consulenza di trading. Cryptopolitan/ non si assume alcuna responsabilità per gli investimenti effettuati sulla base delle informazioni fornite in questa pagina. Consigliamotronvivamente di effettuare ricerche indipendentident di consultare un professionista qualificato prima di prendere qualsiasi decisione di investimento.
Hannah Collymore
Hannah è una scrittrice e redattrice con quasi dieci anni di esperienza nella scrittura di blog e nella cronaca di eventi nel settore delle criptovalute. Collabora con Cryptopolitan, occupandosi della pagina notizie e analizzando gli ultimi sviluppi in ambito DeFi, RWA, regolamentazione delle criptovalute, intelligenza artificiale e tecnologie all'avanguardia. Si è laureata in Economia aziendale presso l'Università di Arcadia.
