FBI varnar: Nordkoreanska hackare infekterade 30 000 enheter för att stjäla krypto

En nordkoreansk hackergrupp har infekterat över 30 000 enheter i mer än 100 länder genom att utge sig för att vara rekryterare för AI- och kryptovalutaföretag. De har stulit inloggningsuppgifter från över 7 000 kryptoplånböcker och kommit över minst 10,7 miljoner dollar, enligt en gemensam varning som utfärdades på fredagen av säkerhetsmyndigheter i USA, Japan, Australien och Tyskland.cyberscoop+1

Gruppen, som spåras under namnet WaterPlum och även är känd som Contagious Interview, riktade in sig på mjukvaruutvecklare, webbdesigners och specialister inom kryptovaluta, blockkedjeteknik och Web3 mellan december 2025 och juli 2026, uppger FBI och Japans nationella polismyndighet.nippon+1

Så fungerade upplägget

WaterPlum-operatörer kontaktade offer via sociala medier, jobbplattformar och frilansmarknader där de utgav sig för att representera legitima AI-, krypto- och NFT-företag. Under falska intervjuprocesser instruerades kandidater att ladda ner filer som presenterades som kodningsuppgifter eller tekniska bedömningar. Genom att öppna dessa filer installerades skadlig kod som BeaverTail, InvisibleFerret, OtterCookie och andra varianter, vilket gav angriparna ihållande åtkomst via bakdörrar.pcmag+1

När de väl var inne skördade angriparna webbläsaruppgifter, tangenttryckningar, urklippsdata, privata nycklar och seed-fraser för kryptoplånböcker, samt identitetshandlingar som pass och körkort. Stulna identiteter återanvändes sedan för att stödja vidare utgivning som nordkoreanska IT-arbetare som söker distansarbete hos legitima företag.crypto+1

Kopplingar till Nordkoreas vapenprogram

Varningen kopplar WaterPlum till 313 General Bureau under avdelningen för ammunitionsindustri, ett organ med kopplingar till Nordkoreas kärnvapen- och missilprogram. Myndigheterna uppger att överlappningen mellan WaterPlums cyberoperationer och Nordkoreas bredare bedrägeriverksamhet med IT-arbetare är betydande, då båda kampanjerna delar IP-adresser som används för att komma åt laptop-farmer och crowdsourcing-tjänster.crypto+2

Japanska utredare monterade ned den första kända inhemska laptop-farmen kopplad till nordkoreanska IT-arbetare, där en lokal facilitator underhöll datorer som fjärrstyrdes av arbetare utomlands. Myndigheterna uppger att hundratals miljoner yen i kryptovaluta har förts ut ur Japan genom dessa arrangemang. En misstänkt nordkoreansk arbetare försökte även säkra en ingenjörstjänst hos kryptobörsen bitFlyer 2025, men identifierades innan anställning.cyberscoop+1

Bredare kontext

Varningen kommer i samband med en rapport från ett multilateralt sanktionsövervakningsteam som avslöjar tusentals nordkoreanska medborgare anställda i industrier världen över. Forskare uppskattar att cirka 100 000 nordkoreanska IT-arbetare är anställda eller söker arbete globalt, och den omfattande bedrägeriverksamheten antas generera över 500 miljoner dollar årligen till Pyongyang.theregister+1

FBI uppmanar IT-arbetssökande att undvika att köra kod från okända tredje parter, att endast köra okänd kod i sandlådor eller virtuella maskiner, samt att omedelbart koppla bort enheter som misstänks vara komprometterade från internet.pcmag