WaterPlum infizierte laut Behörden 30.000 Geräte und erbeutete 10,7 Millionen Dollar über gefälschte Jobs für Softwareentwickler weltweit.
Eine mit Nordkorea verknüpfte Hackergruppe hat Entwickler weltweit mit gefälschten Jobangeboten geködert und dabei mindestens $10,7 Millionen in Kryptowährungen gestohlen. Laut einer gemeinsamen Sicherheitswarnung von Behörden aus Japan, Deutschland, Australien und den USA infizierte die Gruppe WaterPlum mindestens 30.000 Geräte in mehr als 100 Ländern.
WaterPlum machte Entwickler-Recruiting zum Einfallstor
WaterPlum ist auch unter dem Namen Contagious Interview bekannt und zielte laut der Warnung gezielt auf Softwareentwickler und IT-Fachkräfte weltweit ab. Die Behörden ordnen die Aktivität in Nordkoreas breiter angelegte Strategie ein, eigene IT-Arbeiter in ausländische Unternehmen einzuschleusen. US-Behörden warnen nach Angaben der Sicherheitswarnung bereits seit mindestens 2018 vor verdeckt eingesetzten nordkoreanischen IT-Arbeitern.
Die Kampagne zeigt, dass die Ansprache über vermeintliche Karrierechancen zu einem Angriffsweg werden kann. Betroffen waren nach Behördenangaben insbesondere Personen aus Bereichen wie Kryptowährungen, Blockchain und Web3.
Fake-Coding-Aufgaben öffneten die Hintertür
Die Täter gaben sich als Personalverantwortliche legitimer Krypto-, KI- und NFT-Unternehmen aus und nutzten dabei auch Recruiting-Dienste, so die Behörden. Opfer wurden über soziale Medien, Jobplattformen, Gig-Work-Portale oder Freelancer-Marktplätze kontaktiert.
Im Verlauf des vermeintlichen Bewerbungsprozesses sollten die Zielpersonen Dateien herunterladen und ausführen, die als Coding-Aufgaben oder als Fixes für angebliche Videokonferenz-Fehler getarnt waren. Sobald die Angreifer eine Hintertür zum Rechner des Opfers hatten, setzten sie Remote-Access-Trojaner und Infostealer-Malware ein, um sensible Daten und Kryptowährungen abzugreifen. Zwischen Dezember 2025 und Juli 2026 wurden dabei Gelder oder Zugangsdaten aus mehr als 7.000 Krypto-Wallets erbeutet.
Der Schaden reicht über den Krypto-Diebstahl hinaus
Die $10,7 Millionen sind nur die bezifferte Seite des Problems. Gestohlene Identitätsdokumente ermöglichen es nordkoreanischen IT-Arbeitern laut den Behörden, Opfer zu imitieren und darüber Einkommen zu erzielen; sensible Informationen könnten zudem für Erpressung missbraucht werden.
In einem dokumentierten Fall bewarb sich ein mutmaßlich nordkoreanischer IT-Arbeiter mit einem gefälschten Lebenslauf um eine Ingenieursstelle bei einer japanischen Krypto-Börse. Die Börse lehnte ihn nach Unstimmigkeiten im Interview ab. Ein weiterer, separat gemeldeter Fall betrifft Consensys: Das Unternehmen hatte laut Cointelegraph unwissentlich einen mit Nordkorea verknüpften Entwickler als Berater engagiert, entzog ihm nach Entdeckung der Bedrohung den Zugriff, und eine Untersuchung fand keinen Diebstahl von Assets oder Daten.
Ein wiederkehrendes Muster staatlich gestützter Angriffe
Die WaterPlum-Kampagne ist laut Cointelegraph ein weiteres Beispiel für Nordkoreas anhaltenden Einsatz von Krypto-Diebstahl zur Mittelbeschaffung. Das FBI hatte Nordkorea für den $1,5-Milliarden-Diebstahl bei Bybit im Februar 2025 verantwortlich gemacht. Der Fall unterstreicht, dass Recruiting-Prozesse und technisches Onboarding Teil der Sicherheitsvorkehrungen von Unternehmen und Einzelpersonen sein können.
Risikohinweis und Call-to-Action
Krypto-Transaktionen sind pseudonym, aber nicht anonym: Wallet-Adressen und Bewegungen lassen sich On-Chain nachverfolgen, und Börsen unterliegen in der Regel KYC-Pflichten. Wer verdächtige Dateien oder Coding-Aufgaben von unbekannten Auftraggebern erhält, sollte diese nicht ausführen. Bei Bewerbungsprozessen ist es sinnvoll, die Identität des angeblichen Unternehmens und der kontaktierenden Personen sorgfältig zu prüfen.
Quelle: Cointelegraph
next