FBI advarer: Nordkoreanske hackere infiserte 30 000 enheter for å stjele krypto

En nordkoreansk hackergruppe har infisert over 30 000 enheter i mer enn 100 land ved å utgi seg for å være rekrutterere for AI- og kryptovalutaselskaper. De har stjålet påloggingsinformasjon fra over 7 000 kryptolommebøker og tappet minst 10,7 millioner dollar, ifølge en felles advarsel utstedt fredag av sikkerhetsmyndigheter i USA, Japan, Australia og Tyskland.cyberscoop+1

Gruppen, som spores under navnet WaterPlum og også er kjent som Contagious Interview, rettet seg mot programvareutviklere, webdesignere og spesialister innen kryptovaluta, blokkjede og Web3-teknologi mellom desember 2025 og juli 2026, opplyser FBI og Japans nasjonale politimyndighet.nippon+1

Slik fungerte svindelen

WaterPlum-operatører kontaktet ofre via sosiale medier, jobbplattformer og frilansmarkeder, hvor de utga seg for å representere legitime AI-, krypto- og NFT-selskaper. Under falske intervjuprosesser ble kandidater instruert i å laste ned filer presentert som kodeoppgaver eller tekniske vurderinger. Ved å åpne disse filene ble skadevare som BeaverTail, InvisibleFerret, OtterCookie og andre varianter installert, noe som ga angriperne vedvarende tilgang via bakdører.pcmag+1

Når de først var inne, høstet angriperne nettleserdata, tastetrykk, utklippstavledata, private nøkler og «seed»-fraser for kryptolommebøker, samt identitetsdokumenter som pass og førerkort. Stjålne identiteter ble deretter gjenbrukt for å støtte videre utgivelse som nordkoreanske IT-arbeidere som søker fjernarbeid hos legitime selskaper.crypto+1

Koblinger til Nord-Koreas våpenprogram

Advarselen knytter WaterPlum til 313 General Bureau under avdelingen for ammunisjonsindustri, et organ med bånd til Nord-Koreas atomvåpen- og missilprogrammer. Myndighetene uttaler at overlappet mellom WaterPlums cyberoperasjoner og Nord-Koreas bredere svindelvirksomhet med IT-arbeidere er betydelig, da begge kampanjene deler IP-adresser som brukes til å få tilgang til «laptop-farmer» og crowdsourcing-tjenester.crypto+2

Japanske etterforskere avviklet den første kjente innenlandske «laptop-farmen» knyttet til nordkoreanske IT-arbeidere, der en lokal tilrettelegger vedlikeholdt datamaskiner som ble fjernstyrt av arbeidere i utlandet. Myndighetene opplyser at hundrevis av millioner yen i kryptovaluta har blitt overført ut av Japan gjennom disse ordningene. En mistenkt nordkoreansk arbeider forsøkte også å sikre seg en ingeniørstilling hos kryptobørsen bitFlyer i 2025, men ble identifisert før ansettelse.cyberscoop+1

Bredere kontekst

Advarselen kommer samtidig med en rapport fra et multilateralt sanksjonsovervåkingsteam som avslører tusenvis av nordkoreanske statsborgere ansatt i industrier over hele verden. Forskere anslår at rundt 100 000 nordkoreanske IT-arbeidere er ansatt eller søker arbeid globalt, og den omfattende svindeloperasjonen antas å generere over 500 millioner dollar årlig for Pyongyang.theregister+1

FBI oppfordrer IT-jobbsøkere til å unngå å kjøre kode fra ukjente tredjeparter, kun kjøre ukjent kode i sandkasser eller virtuelle maskiner, og umiddelbart koble enhver kompromittert enhet fra internett.pcmag