Os hackers do grupo WaterPlum, da Coreia do Norte, roubaram 10,7 milhões de dólares em criptomoedas, segundo o Japão e aliados
- A polícia japonesa, o FBI e agências da Austrália e da Alemanha afirmaram que o grupo norte-coreano WaterPlum roubou cerca de 10,71 milhões de dólares em criptomoedas.
- A campanha infetou mais de 30.000 dispositivos em mais de 100 países e drenou asdentde aproximadamente 7.000 contas de criptomoedas.
- Para os programadores e freelancers, é um alerta direto de que os testes de programação falsos e os downloads de materiais para entrevistas representam uma ameaça real que financia Pyongyang.
A Agência Nacional de Polícia do Japão, juntamente com o FBI e agências de segurança da Austrália e da Alemanha, identificaram um grupo norte-coreano que se fazia passar por recrutadores de profissionais de tecnologia enquanto roubava criptomoedas de profissionais de TI em todo o mundo. Desviaram 1,7 mil milhões de ienes (cerca de 10,71 milhões de dólares) em ativos para a Coreia do Norte.
O gangue chama-se WaterPlum, mas usa o pseudónimo "Contagious Interview" e teve como alvo vítimas em todo o mundo, incluindo Japão, Estados Unidos, Europa e outros países, de acordo com um alerta conjunto divulgado pelas sete agências na sexta-feira, 18 de setembro de 2026.
Sete agências, uma atribuição pública
O alerta contém os nomes de sete agências: o Gabinete Nacional de Cibersegurança do Japão, a NPA (Agência Nacional de Polícia), o FBI (Departamento Federal de Investigação), o Centro de Cibercrime do Departamento de Defesa, o Centro de Cibersegurança ASD da Austrália, bem como o BND (Serviço Federal de Investigação Criminal da Alemanha) e o BfV (Serviço Federal de Investigação e Vigilância).
O anúncio foi feito no âmbito de um programa de "atribuição pública", uma medida que visa impedir futuros ataques, expondo o Estado ou grupo por detrás de um ciberataque malicioso.
Com base na avaliação da NPA e do FBI, os hackers da WaterPlum, juntamente com um grupo de trabalhadores de TI norte-coreanos, estão sob o comando do 313º Departamento Geral da Indústria de Munições, uma unidade subordinada ao Comité Central do Partido dos Trabalhadores da Coreia. Isto significa que a operação fazia parte de um plano mais vasto utilizado por Pyongyang para financiar o seu programa de armamento. As agências de informação norte-americanas já fizeram a mesma acusação no passado, durante um episódio de roubo de criptomoedas por parte da Coreia do Norte, acusação que o regime norte-coreano nega veementemente.
Como funcionava o esquema de falsos empregos da Coreia do Norte
O esquema funcionava assim: os hackers fingiam ser gestores de contratação em empresas de IA, empreendimentos de criptomoedas e startups de NFTs, oferecendo vagas irrecusáveis para programadores de software. Os candidatos participavam então em entrevistas técnicas ou realizavam tarefas de programação antes de serem instruídos para descarregar e executar ficheiros como parte da avaliação.
Os ficheiros descarregados estavam corrompidos por malware. Existiam várias variantes de malware nos pacotes do Node Package Manager. Entre elas: BeaverTail, InvisibleFerret, OtterCookie, OtterCandy e StoatWaffle. Após a instalação, o código criou uma porta traseira, mantendo o acesso através de trojans de acesso remoto, etracpalavras-passe do browser, sequências de teclas digitadas, capturas de ecrã e as chaves privadas e frases de semente utilizadas para aceder às carteiras de criptomoedas
De dezembro do ano passado a julho deste ano, a operação corrompeu mais de 30.000 dispositivos em mais de 100 países e informações sensíveis pertencentes a cerca de 7.000 contas de criptomoedas.
Uma quinta de computadores portáteis foi destruída no Japão
A operação foi dividida em duas partes, sendo que a segunda envolvia mão-de-obra. Com base no anúncio do NPA, alguns trabalhadores de TI norte-coreanos,dent na Coreia do Norte, China e Rússia, obtiveramtracremotos de programação e desenvolvimento web de forma clandestina, enquanto enviavam os seus salários de volta para a Coreia do Norte.
No total, centenas de milhões de ienes foram desviados de volta para a Coreia do Norte ao longo dos anos.
Para ocultar a origem física do trabalho, a rede utilizou os habitantes locais que operavam quintas de computadores portáteis e servidores virtuais privados para os hackers. As autoridades japonesas identificaram, investigaram e desmantelaram uma quinta de computadores portáteis gerida por um cúmplice no Japão, a primeira deste tipo.
Parte de uma operação norte-coreana em expansão
O alerta esclarece um padrão crescente que se desenvolveu ao longo dos meses. Houve um aumento de 420% de malware gravado em blockchains públicas, com uma grande parte originária da Coreia do Norte e do Irão.
O roubo de criptomoedas pela Coreia do Norte foi classificado como uma ameaça significativa à segurança durante uma de líderes do G7 em junho deste ano. Isto ocorreu após a descoberta de que aproximadamente 6,75 mil milhões de dólares foram roubados desde 2016 por agentes com ligações à Coreia do Norte.
A tática de recrutamento é uma característica recorrente. O investigador da Black Hat, Vangelis Stykas, afirmou este ano ter trachackers norte-coreanos até 1.640 empresas em 57 países, atraindo frequentemente programadores com falsas ofertas de emprego que instalam malware, como relata Cryptopolitan .
Não se limite a ler notícias sobre criptomoedas. Compreenda-as. Assine nossa newsletter. É grátis.
Perguntas frequentes
O que é o WaterPlum e quem está por trás?
O WaterPlum, também chamado de "Entrevista Contagiosa", é um grupo cibernético norte-coreano que, segundo avaliações da Agência Nacional de Proteção Ambiental do Japão (NPA) e do FBI, opera sob a 313ª Divisão Geral do Departamento da Indústria de Munições, que faz parte do Comité Central do Partido dos Trabalhadores da Coreia.
Quanto em criptomoedas roubou a WaterPlum?
O comunicado conjunto refere que o grupo transferiu 1,7 mil milhões de ienes, cerca de 10,71 milhões de dólares ou aproximadamente 14,5 mil milhões de won coreanos, em criptomoedas roubadas para a Coreia do Norte, após comprometer asdentde cerca de 7.000 contas de criptomoedas.
Como é que os hackers infetaram as suas vítimas?
Fizeram-se passar por recrutadores de empresas de IA, criptomoedas e NFTs e pediram aos programadores que realizassem testes de programação ou entrevistas, para depois os induzirem a descarregar ficheiros contendo malware como o BeaverTail, InvisibleFerret e OtterCookie, que roubavam chaves de carteira e dados de login.
Aviso Legal. As informações fornecidas não constituem aconselhamento de investimento. CryptopolitanO não se responsabiliza por quaisquer investimentos realizados com base nas informações fornecidas nesta página. Recomendamostrona realização de pesquisas independentesdent /ou a consulta a um profissional qualificado antes de tomar qualquer decisão de investimento.
Hannah Collymore
Hannah é escritora e editora com quase uma década de experiência em redação para blogs e cobertura de eventos no universo das criptomoedas. No Cryptopolitan, Hannah contribui para a página de notícias, reportando e analisando os últimos desenvolvimentos em DeFi, RWA, regulamentação de criptomoedas, IA e tecnologias de ponta. Ela se formou em Administração de Empresas pela Universidade Arcadia.
