Falsos recrutadores norte-coreanos infectam 30 mil dispositivos e roubam US$ 10,7 milhões em criptomoedas

O grupo de hackers norte-coreano WaterPlum roubou pelo menos US$ 10,7 milhões ao se passar por recrutadores de empresas legítimas de cripto e IA e atacar candidatos a emprego desavisados com malware. 

O grupo, também conhecido como Contagious Interview, tem como alvo desenvolvedores de software e profissionais de TI em todo o mundo, segundo um comunicado conjunto do Japão, da Alemanha, da Austrália e dos EUA. As autoridades disseram que os falsos recrutadores também se passaram por empresas de tokens não fungíveis (NFTs) e usaram serviços de recrutamento.

“Os principais alvos eram designers de páginas da web, engenheiros e especialistas individuais em criptomoedas, blockchain e tecnologias Web3”, acrescentaram. 

O comunicado também vincula o WaterPlum à campanha mais ampla da Coreia do Norte de inserir trabalhadores de TI em empresas estrangeiras, com autoridades japonesas e americanas avaliando que agentes do WaterPlum e alguns trabalhadores norte-coreanos de TI atuam sob o Departamento da Indústria de Munições da Coreia do Norte. 

Segundo o comunicado, o WaterPlum atraía candidatos a emprego por meio de plataformas de redes sociais, plataformas de emprego on-line, plataformas de trabalho temporário ou mercados de freelancers. Durante o processo de recrutamento, as vítimas eram instruídas a baixar e executar arquivos maliciosos disfarçados de tarefas de programação ou correções para erros de videoconferência.

Relacionado: Coreia do Norte usa talentos estrangeiros para ajudar a se infiltrar em empresas dos EUA: relatório

Depois que os ciberatores obtinham acesso por meio de backdoor ao computador da vítima, usavam trojans de acesso remoto e malware de roubo de informações para exfiltrar dados confidenciais e criptomoedas. 

As infecções bem-sucedidas também criavam oportunidades para que agentes do WaterPlum se infiltrassem nas organizações que empregavam os desenvolvedores desavisados. 

O WaterPlum infectou pelo menos 30.000 dispositivos em mais de 100 países, com fundos ou credenciais de contas extraídos de mais de 7.000 carteiras de criptomoedas entre dezembro de 2025 e julho de 2026.

No entanto, os danos podem ir além das criptomoedas roubadas. Documentos de identidade roubados permitem que trabalhadores norte-coreanos de TI se passem pelas vítimas e obtenham renda, e informações confidenciais podem ser usadas para extorsão, segundo o comunicado.

O comunicado descreveu um caso em que um suposto trabalhador norte-coreano de TI se candidatou a uma vaga de engenharia em uma corretora japonesa de criptomoedas usando um currículo falsificado. A corretora rejeitou o candidato após encontrar discrepâncias durante a entrevista, incluindo a incapacidade de explicar em detalhes as habilidades listadas em seu currículo.

Um caso mais recente ocorreu em julho, quando a Cointelegraph informou que a Consensys havia contratado como consultor um desenvolvedor ligado à Coreia do Norte sem saber. A empresa disse à Cointelegraph que encerrou o acesso dele após descobrir a ameaça, e uma investigação não encontrou roubo de ativos ou dados, implantação de código malicioso nem impacto na segurança dos usuários.

A campanha relatada é o exemplo mais recente do uso persistente, pela Coreia do Norte, do roubo de criptomoedas para levantar fundos, apesar de anos de alertas e medidas de fiscalização. O FBI responsabilizou a Coreia do Norte pelo roubo de US$ 1,5 bilhão da Bybit em fevereiro de 2025, enquanto as autoridades americanas têm alertado sobre seus trabalhadores de TI disfarçados desde pelo menos 2018. 

Revista: Coreia do Norte impulsiona aumento de malware on-chain, CoinEx encerra operações: Asia Express