主要洞察：
- 在今天的 加密骗局 新闻中，与朝鲜有关的 WaterPlum 感染了超过 3 万台设备。
- 该攻击活动窃取了 7,000 多个加密货币钱包的数据。
- 受控钱包收到了至少 1,071 万美元的加密货币。
2025年12月至2026年7月期间，与朝鲜有关联的黑客感染了全球 100 多个国家和地区的 3 万多台设备。据日本警察厅称，这个名为 WaterPlum 的组织泄露了超过 7,000 个 加密钱包.
调查人员还发现，约有 1,071 万美元被转入该团伙管理的钱包中。这次恶意攻击将数字资产盗窃与针对技术专业人员的欺诈性招聘计划结合在一起。
这项全球联合调查汇集了日本警察厅、国家网络安全办公室、联邦调查局（FBI）、DC3、ASD、ACSC、BND 以及 BfV。官员们还对参与国际就业和外汇获取的朝鲜 IT 人员进行了调查。
加密货币黑客攻击利用虚假招聘活动
WaterPlum 通过自由职业平台、求职网站和社交媒体网络，将软件工程师、开发人员和 Web3 专家作为攻击目标。这些攻击者伪装成正规的招聘、人工智能、加密货币和 NFT 公司来发布职位空缺。
在任务阶段，WaterPlum引导求职者从代码库和协作开发平台下载软件软件包。在某些情况下，攻击者将这些文件伪装成用于解决视频会议故障的实用工具。
与此同时，WaterPlum 部署了有害的 NPM 库，包括 BeaverTail、InvisibleFerret、OtterCookie、OtterCandy 和 StoatWaffle。这些特定的恶意软件变体能够实现远程系统访问、凭证窃取和数据收集。
搜集到的详细信息包括浏览器登录信息、剪贴板内容、击键记录、屏幕截图 私钥以及钱包恢复助记词。作案人员还搜寻护照和驾照等个人身份证明文件。
与笔记本电脑农场相连的加密货币骗局
日本执法部门破获了该国首个与朝鲜 IT 劳工直接相关的国内笔记本电脑农场。警方查获了设置在当地协助者家中的硬件。
海外工人通过虚拟专用服务器（VPS）远程连接到这些机器，同时申请外包技术职位，以隐瞒其真实的地理位置。
一些工人利用窃取的第三方身份证明文件来获取合同，而另一些工人则通过由当地同伙控制的银行账户转移其收入。
调查人员发现，朝鲜技术工人将数亿日元的加密货币和资金汇往海外。特工们的活动范围包括朝鲜、中国和俄罗斯。
部分 WaterPlum 参与者甚至为位于美国和日本的企业承接了网页开发和设计委托。当局将部分基础设施与 313 局联系起来。
此外，部分个人 杠杆 视频面试期间使用的 Magicam 换脸程序，以及用于润色日语表述的 NaturalReader 和标准生成式 AI 工具。
黑客将目标瞄准日本加密货币交易所的工作岗位
调查结果显示，2025 年 5 月提交的一份求职申请发送给了一家日本数字资产 交易所 公司 bitFlyer，疑似源自一名朝鲜 IT 特工。
该候选人使用了化名，直接通过 bitFlyer’s 的招聘门户网站申请，并使用 Gmail 搭配多个 VPN 服务来路由网络连接。
随附的简历展示了广泛的云计算、加密货币、区块链和编程技能，以及所谓的欧洲学术资历和国际工作经历。
然而，bitFlyer 在整个虚拟面试过程中发现了多处疑点。候选人声称拥有马来西亚国籍，目前居住在芬兰。
求职者还拒绝搬迁至日本，并要求全部以加密代币形式支付薪酬。面试官注意到此人频频瞥向另一台显示器，且背景有噪音。
会议期间视频画面出现定期中断。bitFlyer 最终拒绝了该申请，并且 得到确认 未发生任何安全漏洞或资金损失。
美国联邦调查局（FBI）和日本警察厅确定，313 局（Bureau 313）驱动了这两个运营领域。313 局隶属于朝鲜劳动党军需工业部。
NTT Security Japan 和 bitFlyer 为 支撑 该公开预警提供了支持。日本执法官员在调查期间还纳入了来自私营行业合作伙伴的数据。
常见问题解答
- 什么是 WaterPlum？
WaterPlum 是一个与朝鲜有关联的黑客组织，通过虚假工作机会将目标对准科技工作者，以窃取加密货币和敏感数据。 - 有多少个加密钱包遭到破坏？
该攻击活动成功窃取了来自 100 多个国家和地区的 7,000 多个加密钱包的信息。 - 黑客偷走了多少钱？
当局发现至少有 1,071 万美元直接转移到了由该黑客网络控制的加密钱包中。 - 黑客使用了什么恶意软件？
该组织分发了包含 BeaverTail、InvisibleFerret、OtterCookie、OtterCandy 和 StoatWaffle 等恶意软件的恶意 NPM 软件包。
Michael Gachihi Nderitu 
Arnold Kirimi 