Nordkoreas gefälschte Vorstellungsgespräche: 11 M $ aus 7.000 Krypto Wallets abgezogen

Eine nordkoreanische Gruppe, die sich als Personalvermittler ausgibt, um Entwickler zu kompromittieren, hat Gelder oder Zugangsdaten von mehr als 7.000 Kryptowährungs-Wallets erlangt und rund 10,71 M $ nach Pjöngjang transferiert. Das erklärten sieben Behörden aus vier Ländern in einer gemeinsamen Warnung, die am 18.09 veröffentlicht wurde.

Die Gruppe, die Japans Nationale Polizeibehörde als WaterPlum bezeichnet und in der Sicherheitsbranche als Contagious Interview bekannt ist, infizierte zwischen etwa 12.2025 und 07.2026 mindestens 30.000 Geräte in mehr als 100 Ländern. Zu den Zielen gehörten Webdesigner, Ingenieure und Fachkräfte aus den Bereichen Krypto, Blockchain und Web3.

Die nordkoreanische Cybergruppe „WaterPlum“ kompromittiert die Computernetzwerke von Arbeitssuchenden, sammelt sensible Daten und stiehlt Kryptowährungen – im Visier sind IT-Fachkräfte in Japan, den USA, Europa und darüber hinaus. Lesen Sie unsere Warnung gemeinsam mit @FBI und @NPA_KOHO unter https://t.co/ugVY5mmo6y pic.twitter.com/Q74qeXWQoP

--- DoD Cyber Crime Center (DC3) (@DC3Forensics) 18.09.2026

Unterzeichnet wurde die Warnung von Japans Nationaler Polizeibehörde und Nationalem Cybersicherheitsbüro, dem FBI und dem Cyber Crime Center des US-Verteidigungsministeriums, dem Australian Cyber Security Centre der Australian Signals Directorate sowie dem Auslandsnachrichtendienst BND und dem Inlandsnachrichtendienst BfV.

Die japanische Polizeibehörde und das FBI gehen davon aus, dass sowohl WaterPlum als auch einige der nordkoreanischen IT-Fachkräfte im Ausland dem 313. Generalbüro des Ministeriums für Munitionsindustrie unterstehen, das dem Zentralkomitee der Arbeiterpartei unterstellt ist. Die beiden Operationen nutzten außerdem dieselben IP-Adressen, um auf Laptop-Farmen zuzugreifen, Crowdsourcing-Dienste zu nutzen und sich auf Stellen zu bewerben. Die Behörden werten dies als Beleg dafür, dass es sich um eine einzige Operation handelt.

Nordkoreas Hacker-Kampagne

Die Akteure geben sich als Unternehmen aus den Bereichen KI, Krypto oder NFT aus und kontaktieren Entwickler über soziale Medien, Jobbörsen und Freelancer-Marktplätze. Anschließend vereinbaren sie ein technisches Vorstellungsgespräch oder eine Programmieraufgabe. Die Bewerber sollen Dateien von Entwicklerplattformen herunterladen – entweder, um die Aufgabe zu erledigen, oder um einen vermeintlichen Fehler im Videoanruf zu beheben. Die Warnung nennt fünf Schadsoftware-Familien, die in diesen Dateien enthalten waren, darunter BeaverTail, InvisibleFerret und StoatWaffle. Letztere versteckt sich in Repositorys mit Blockchain-Themen.

Die Warnung hält auch fest, was die Ermittler über die Gruppe selbst beobachtet haben. Mitglieder nutzten bei Vorstellungsgesprächen KI-Software zum Gesichtertausch, schalteten dann das Video aus und baten die Bewerber, dasselbe zu tun – angeblich wegen der Verbindung. Sie übten mit Text-to-Speech-Tools die japanische Aussprache, arbeiteten durchgehend mit kostenlosen Angeboten für maschinelle Übersetzung und KI und spielten an nordkoreanischen Feiertagen Spiele oder sahen Fußballvideos, anstatt ihre üblichen Operationen durchzuführen.

Japanische Behörden identifizierten und zerschlugen außerdem eine Laptop-Farm, die von einem inländischen Unterstützer betrieben wurde – der erste Fall dieser Art im Land. Dabei fanden sie Hinweise darauf, dass mehrere hundert Millionen Yen in Kryptowährungen ins Ausland transferiert worden waren. Eine Laptop-Farm ist meist das Zuhause eines Unterstützers, von wo aus Arbeitscomputer von IT-Fachkräften in Nordkorea, China oder Russland ferngesteuert werden.
Nordkoreanische Krypto-Hacker stahlen 2025 2,1 Md $, 60% aller Verluste: CertiK

Eine japanische Krypto Börse lehnte im 05.2025 einen Bewerber ab, dessen Lebenslauf eine unglaubwürdig breite Palette an Fähigkeiten aufführte und dessen Englischkenntnisse nicht zu den Angaben passten. Weitere Warnzeichen sind die Weigerung, sich persönlich zu treffen, die Bitte um Bezahlung in Kryptowährungen und wiederholte Blicke auf einen zweiten Bildschirm.

Der Diebstahl ist Teil einer weitaus größeren Kampagne. CertiK schrieb nordkoreanischen Gruppen 60% aller Verluste durch Kryptodiebstahl im Jahr 2025 zu – rund 2,06 Md $. Dem Drift-Protocol-Hack im April in Höhe von 285 M $ waren sechs Monate vorausgegangen, in denen sich Angreifer als quantitative Handelsfirma ausgaben.

Dieser Inhalt wird nur zu allgemeinen Informationszwecken bereitgestellt und stellt keine finanzielle, Anlage-, Rechts- oder Steuerberatung dar. Alle erwähnten Ereignisse, Prämien, Online-Aktionen oder zugehörige Informationen sollten nicht als Empfehlung, Aufforderung oder Einladung zum Kauf, Verkauf, Handel oder anderweitigem Umgang mit Krypto-Assets betrachtet werden. Krypto-Assets sind sehr volatil und können zu Verlusten führen. Die Verfügbarkeit von WEEX Services, Produkten und zugehörigen Aktionen kann je nach Region unterschiedlich sein. Sie sind dafür verantwortlich sicherzustellen, dass Ihre Teilnahme mit geltenden lokalen Gesetzen und Vorschriften übereinstimmt.