FBI warnt: Nordkoreanische Hacker infizierten 30.000 Geräte für Krypto-Diebstahl

Eine nordkoreanische Hackergruppe hat mehr als 30.000 Geräte in über 100 Ländern infiziert, indem sie sich als Recruiter für KI- und Kryptowährungsunternehmen ausgab. Dabei wurden Zugangsdaten von über 7.000 Krypto-Wallets gestohlen und mindestens 10,7 Millionen US-Dollar erbeutet, wie aus einer gemeinsamen Warnmeldung hervorgeht, die am Freitag von Sicherheitsbehörden in den USA, Japan, Australien und Deutschland veröffentlicht wurde.cyberscoop+1

Die Gruppe, die unter dem Namen WaterPlum geführt und auch als Contagious Interview bezeichnet wird, zielte zwischen Dezember 2025 und Juli 2026 auf Softwareentwickler, Webdesigner und Spezialisten für Kryptowährungen, Blockchain und Web3-Technologien ab, so das FBI und die japanische Nationalpolizei.nippon+1

Wie das Schema funktionierte

Die Akteure von WaterPlum kontaktierten ihre Opfer über soziale Medien, Online-Jobplattformen und Freelancer-Marktplätze, wobei sie sich als legitime KI-, Krypto- und NFT-Unternehmen ausgaben. Während gefälschter Interviewprozesse wurden Kandidaten angewiesen, Dateien herunterzuladen, die als Programmieraufgaben oder technische Bewertungen präsentiert wurden. Das Öffnen dieser Dateien installierte Schadsoftware wie BeaverTail, InvisibleFerret, OtterCookie und andere Varianten, die den Angreifern dauerhaften Zugriff über Hintertüren verschafften.pcmag+1

Sobald sie im System waren, ernteten die Angreifer Browser-Zugangsdaten, Tastatureingaben, Zwischenablagedaten, private Schlüssel und Seed-Phrasen für Krypto-Wallets sowie Identitätsdokumente wie Pässe und Führerscheine. Gestohlene Identitäten wurden dann recycelt, um die weitere Identitätsfälschung durch nordkoreanische IT-Arbeiter zu unterstützen, die sich bei legitimen Unternehmen um Fernarbeitsplätze bewarben.crypto+1

Verbindungen zum nordkoreanischen Waffenprogramm

Die Warnmeldung ordnet WaterPlum dem 313 General Bureau des Ministeriums für Munitionsindustrie zu, einer Einrichtung, die mit Nordkoreas Atomwaffen- und Raketenprogrammen in Verbindung steht. Die Behörden erklärten, dass die Überschneidungen zwischen den Cyberoperationen von WaterPlum und dem breiteren Betrugsschema nordkoreanischer IT-Arbeiter erheblich seien, da beide Kampagnen IP-Adressen teilten, die für den Zugriff auf Laptop-Farmen und Crowdsourcing-Dienste genutzt wurden.crypto+2

Japanische Ermittler zerschlugen die erste bekannte inländische Laptop-Farm, die mit nordkoreanischen IT-Arbeitern in Verbindung stand. Dort wartete ein lokaler Helfer Computer, die von Arbeitern im Ausland ferngesteuert wurden. Behörden gaben an, dass durch diese Vereinbarungen hunderte Millionen Yen in Kryptowährung aus Japan transferiert wurden. Ein mutmaßlicher nordkoreanischer Arbeiter versuchte 2025 zudem, eine Ingenieursstelle bei der Krypto-Börse bitFlyer zu ergattern, wurde jedoch vor der Einstellung identifiziert.cyberscoop+1

Breiterer Kontext

Die Warnmeldung erscheint zeitgleich mit einem Bericht eines multilateralen Sanktionsüberwachungsteams, der Tausende nordkoreanische Staatsangehörige aufdeckt, die weltweit in verschiedenen Branchen beschäftigt sind. Forscher schätzen, dass etwa 100.000 nordkoreanische IT-Arbeiter weltweit beschäftigt sind oder Arbeit suchen, wobei die weitverzweigte Betrugsoperation Pjöngjang jährlich schätzungsweise über 500 Millionen US-Dollar einbringt.theregister+1

Das FBI riet IT-Arbeitssuchenden dringend davon ab, Code von nicht vertrauenswürdigen Dritten auszuführen, unbekannten Code nur in Sandboxes oder virtuellen Maschinen zu starten und jedes kompromittierte Gerät sofort vom Internet zu trennen.pcmag