O grupo hacker norte-coreano WaterPlum roubou pelo menos US$ 10,7 milhões ao se passar por recrutadores de empresas legítimas de criptomoedas e IA, atacando candidatos a emprego desavisados com malware.
O grupo, também conhecido como Contagious Interview, tem como alvo desenvolvedores de software e profissionais de TI em todo o mundo, de acordo com um alerta conjunto do Japão, da Alemanha, da Austrália e dos EUA. As autoridades afirmaram que os falsos recrutadores se passaram por empresas legítimas de IA, criptomoedas ou tokens não fungíveis (NFTs) e também usaram serviços de recrutamento.
“Os principais alvos eram designers de sites, engenheiros e especialistas individuais em criptomoedas, blockchain e tecnologias Web3”, acrescentaram.
O alerta também vincula o WaterPlum à campanha mais ampla da Coreia do Norte de inserir trabalhadores de TI em empresas estrangeiras, com as autoridades japonesas e americanas avaliando que os agentes do WaterPlum e alguns trabalhadores norte-coreanos de TI operam sob o Departamento da Indústria de Munições da Coreia do Norte.
Segundo o alerta, o WaterPlum atraía candidatos a emprego por meio de plataformas de redes sociais, plataformas de emprego online, plataformas de trabalho sob demanda ou marketplaces de freelancers. Durante o processo de recrutamento, as vítimas eram instruídas a baixar e executar arquivos maliciosos disfarçados de tarefas de programação ou correções para erros de videoconferência.
Relacionado: Coreia do Norte usa talentos estrangeiros para ajudar a se infiltrar em empresas dos EUA: relatório
Depois que os agentes cibernéticos obtinham acesso por meio de uma porta dos fundos ao computador da vítima, usavam trojans de acesso remoto e malware de roubo de informações para exfiltrar dados confidenciais e criptomoedas.
As infecções bem-sucedidas também criam oportunidades para que os agentes do WaterPlum se infiltrem em organizações que empregam os desenvolvedores desavisados.
O WaterPlum infectou pelo menos 30 mil dispositivos em mais de 100 países, com fundos ou credenciais de contas extraídos de mais de 7 mil carteiras de criptomoedas entre dezembro de 2025 e julho de 2026.
No entanto, os danos podem ir além das criptomoedas roubadas. Documentos de identidade roubados permitem que trabalhadores norte-coreanos de TI se passem pelas vítimas e obtenham renda, e informações confidenciais poderiam ser usadas para extorsão, afirmou o alerta.
O alerta descreveu um caso em que um suposto trabalhador norte-coreano de TI se candidatou a uma vaga de engenharia em uma exchange japonesa de criptomoedas usando um currículo falsificado. A exchange rejeitou o candidato depois de encontrar discrepâncias durante a entrevista, incluindo a incapacidade de explicar detalhadamente as habilidades listadas em seu currículo.
Um caso mais recente ocorreu em julho, quando a Cointelegraph informou que a Consensys havia contratado, sem saber, um desenvolvedor ligado à Coreia do Norte como consultor. A empresa disse à Cointelegraph que encerrou o acesso do consultor depois de descobrir a ameaça, e uma investigação não encontrou roubo de ativos ou dados, implantação de código malicioso nem impacto na segurança dos usuários.
A campanha relatada é o exemplo mais recente do uso persistente, pela Coreia do Norte, do roubo de criptomoedas para levantar fundos, apesar de anos de alertas e medidas de repressão. O FBI responsabilizou a Coreia do Norte pelo roubo de US$ 1,5 bilhão da Bybit em fevereiro de 2025, enquanto as autoridades americanas têm alertado sobre seus trabalhadores de TI infiltrados desde pelo menos 2018.
Revista: Coreia do Norte impulsiona alta de malware on-chain, CoinEx fecha: Asia Express