Die nordkoreanische Hackergruppe WaterPlum stahl mindestens 10,7 Millionen US-Dollar, indem sie sich als Recruiter legitimer Krypto- und KI-Unternehmen ausgab und arglose Arbeitssuchende mit Malware angriff.
Die auch als Contagious Interview bekannte Gruppe nimmt weltweit Softwareentwickler und IT-Fachleute ins Visier, zufolge einer gemeinsamen Warnung aus Japan, Deutschland, Australien und den USA. Nach Angaben der Behörden gaben sich die Fake-Recruiter als legitime Unternehmen aus den Bereichen KI, Kryptowährung oder Non-Fungible Token (NFT) aus und nutzten außerdem Recruiting-Dienste.
„Die primären Ziele waren einzelne Webdesigner, Ingenieure und Spezialisten für Kryptowährungen, Blockchain- und Web3-Technologien, fügten sie hinzu.
Die Warnung bringt WaterPlum außerdem mit Nordkoreas umfassenderer Kampagne in Verbindung, IT-Mitarbeiter in ausländischen Unternehmen zu platzieren. Japanische und US-Behörden bewerten, dass WaterPlum-Akteure und einige nordkoreanische IT-Mitarbeiter unter Nordkoreas Munitionsindustrieabteilung operieren.
Der Warnung zufolge lockte WaterPlum Arbeitssuchende über soziale Netzwerke, Online-Stellenbörsen, Plattformen für Gig-Arbeit oder Freelance-Marktplätze an. Während des Bewerbungsprozesses wurden die Opfer angewiesen, bösartige Dateien herunterzuladen und auszuführen, die als Programmieraufgaben oder Fehlerbehebungen für Videokonferenzprobleme getarnt waren.
Verwandt: Nordkorea nutzt ausländische Fachkräfte zur Infiltration von US-Unternehmen: Bericht
Nachdem die Cyberakteure Backdoor-Zugriff auf den Computer eines Opfers erlangt hatten, nutzten sie Remote-Access-Trojaner und Malware zum Abgreifen von Informationen, um sensible Daten und Kryptowährungen zu exfiltrieren.
Erfolgreiche Infektionen eröffnen WaterPlum-Akteuren außerdem Möglichkeiten, Organisationen zu infiltrieren, die die arglosen Entwickler beschäftigen.
WaterPlum infizierte mindestens 30.000 Geräte in mehr als 100 Ländern. Zwischen Dezember 2025 und Juli 2026 wurden Gelder oder Zugangsdaten aus mehr als 7.000 Kryptowährungs-Wallets abgezogen.
Der Schaden kann jedoch über den Diebstahl von Kryptowährungen hinausgehen. Gestohlene Identitätsdokumente ermöglichen es nordkoreanischen IT-Mitarbeitern, sich als Opfer auszugeben und Einkommen zu erzielen; sensible Informationen könnten für Erpressung verwendet werden, hieß es.
Die Warnung beschreibt einen Fall, in dem sich ein mutmaßlicher nordkoreanischer IT-Mitarbeiter mit einem gefälschten Lebenslauf auf eine Ingenieursstelle bei einer japanischen Kryptobörse bewarb. Die Börse lehnte den Bewerber ab, nachdem sie während des Gesprächs Unstimmigkeiten festgestellt hatte, unter anderem seine Unfähigkeit, die in seinem Lebenslauf aufgeführten Kenntnisse ausführlich zu erklären.
Ein jüngerer Fall ereignete sich im Juli, als Cointelegraph berichtete, dass Consensys unwissentlich einen mit Nordkorea verbundenen Entwickler als Berater engagiert hatte. Das Unternehmen teilte Cointelegraph mit, dass es dessen Zugriff nach Entdeckung der Bedrohung beendet habe. Eine Untersuchung ergab, dass weder Vermögenswerte noch Daten gestohlen, Schadcode eingesetzt oder die Sicherheit der Nutzer beeinträchtigt worden seien.
Die gemeldete Kampagne ist das jüngste Beispiel für Nordkoreas anhaltenden Einsatz von Kryptowährungsdiebstahl zur Beschaffung von Geldern trotz jahrelanger Warnungen und Durchsetzungsmaßnahmen. Das FBI machte Nordkorea für den Diebstahl von 1,5 Milliarden US-Dollar bei Bybit im Februar 2025 verantwortlich, während US-Behörden seit mindestens 2018 vor dessen verdeckt agierenden IT-Mitarbeitern gewarnt haben.
Magazin: Nordkorea treibt den Anstieg von Onchain-Malware voran, CoinEx schließt: Asia Express