El FBI alerta que hackers norcoreanos infectaron 30.000 dispositivos para robar criptomonedas

Un grupo de hackers norcoreanos infectó más de 30.000 dispositivos en más de 100 países haciéndose pasar por reclutadores de empresas de IA y criptomonedas, robando credenciales de más de 7.000 billeteras digitales y sustrayendo al menos 10,7 millones de dólares, según un aviso conjunto emitido el viernes por agencias de seguridad de Estados Unidos, Japón, Australia y Alemania.cyberscoop+1

El grupo, rastreado como WaterPlum y también conocido como Contagious Interview, atacó a desarrolladores de software, diseñadores web y especialistas en tecnologías de criptomonedas, blockchain y Web3 entre aproximadamente diciembre de 2025 y julio de 2026, informaron el FBI y la Agencia Nacional de Policía de Japón.nippon+1

Cómo funcionaba el esquema

Los operadores de WaterPlum contactaron a sus víctimas a través de redes sociales, plataformas de empleo y mercados freelance, suplantando a empresas legítimas de IA, criptomonedas y NFT. Durante los procesos de entrevista falsos, se instruía a los candidatos a descargar archivos presentados como tareas de programación o evaluaciones técnicas. Al abrir estos archivos, se instalaba malware como BeaverTail, InvisibleFerret, OtterCookie y otras variantes que otorgaban a los atacantes acceso persistente mediante puertas traseras.pcmag+1

Una vez dentro, los atacantes recolectaban credenciales de navegador, pulsaciones de teclas, datos del portapapeles, claves privadas y frases semilla de billeteras de criptomonedas, además de documentos de identidad como pasaportes y licencias de conducir. Las identidades robadas eran luego recicladas para apoyar la suplantación por parte de trabajadores informáticos norcoreanos que buscaban empleo remoto en empresas legítimas.crypto+1

Vínculos con el programa de armas de Corea del Norte

El aviso atribuyó WaterPlum a la Oficina General 313 del Departamento de Industria de Municiones, un organismo vinculado a los programas nucleares y de misiles de Corea del Norte. Las autoridades señalaron que la superposición entre las operaciones cibernéticas de WaterPlum y el esquema más amplio de fraude de trabajadores informáticos de Corea del Norte era sustancial, compartiendo ambas campañas direcciones IP utilizadas para acceder a granjas de portátiles y servicios de crowdsourcing.crypto+2

Investigadores japoneses desmantelaron la primera granja de portátiles doméstica conocida conectada a trabajadores informáticos norcoreanos, donde un facilitador local mantenía computadoras controladas remotamente por trabajadores en el extranjero. Las autoridades indicaron que cientos de millones de yenes en criptomonedas fueron transferidos fuera de Japón mediante estos acuerdos. Un sospechoso trabajador norcoreano también intentó obtener un puesto de ingeniería en el exchange de criptomonedas en 2025, pero fue identificado antes de ser contratado.cyberscoop+1

Contexto general

El aviso llega junto a un informe del Equipo Multilateral de Monitoreo de Sanciones que expone a miles de ciudadanos norcoreanos empleados en industrias de todo el mundo. Los investigadores estiman que aproximadamente 100.000 trabajadores informáticos norcoreanos están empleados o buscan trabajo a nivel mundial, y se cree que la extensa operación de fraude genera más de 500 millones de dólares anuales para Pyongyang.theregister+1

El FBI instó a los buscadores de empleo en TI a evitar ejecutar código de terceros no confiables, ejecutar código desconocido solo dentro de entornos aislados o máquinas virtuales, y desconectar inmediatamente cualquier dispositivo comprometido de Internet.pcmag