Las falsas entrevistas de trabajo de Corea del Norte sustrajeron 11 M $ de 7.000 wallets de criptomonedas

Un grupo norcoreano que se hace pasar por reclutadores para comprometer a desarrolladores ha obtenido fondos o credenciales de más de 7.000 wallets de criptomonedas y ha transferido alrededor de 10,71 M $ a Pionyang, según informaron siete organismos de cuatro países en un aviso conjunto publicado el 18/09.

El grupo, al que la Agencia Nacional de Policía de Japón denomina WaterPlum y que el sector de la seguridad conoce como Contagious Interview, infectó dispositivos al menos 30.000 en más de 100 países entre aproximadamente 12/2025 y 07/2026. Sus objetivos eran diseñadores web, ingenieros y especialistas en criptomonedas, blockchain y Web3.

El grupo cibernético norcoreano "WaterPlum" está comprometiendo las redes informáticas de personas que buscan empleo, recopilando datos sensibles y robando criptomonedas; sus objetivos son profesionales de TI en Japón, EE. UU., Europa y otros lugares. Lee nuestro aviso, elaborado junto con @FBI y @NPA_KOHO, en https://t.co/ugVY5mmo6y pic.twitter.com/Q74qeXWQoP

--- DoD Cyber Crime Center (DC3) (@DC3Forensics) 18/09/2026

El aviso está firmado por la Agencia Nacional de Policía y la Oficina Nacional de Ciberseguridad de Japón, el FBI y el Centro contra el Ciberdelito del Departamento de Defensa de EE. UU., el Centro Australiano de Ciberseguridad de la Dirección de Señales de Australia, y el servicio de inteligencia exterior BND y la agencia de seguridad interior BfV de Alemania.

La Agencia Nacional de Policía de Japón y el FBI consideran que tanto WaterPlum como algunos de los trabajadores de TI norcoreanos que trabajan a distancia dependen de la Oficina General 313 del Departamento de Industria de Municiones, que está bajo el Comité Central del Partido de los Trabajadores. Las dos operaciones también utilizaron las mismas direcciones IP para acceder a portátiles de granjas, usar servicios de crowdsourcing y solicitar empleos; los organismos consideran que esto demuestra que ambas forman parte de una misma operación.

La campaña de hackeo de Corea del Norte

Los responsables se hacen pasar por empresas de IA, criptomonedas o NFT y contactan con desarrolladores a través de redes sociales, portales de empleo y plataformas para autónomos; después, organizan una entrevista técnica o una prueba de programación. Piden a los candidatos que descarguen archivos de plataformas para desarrolladores, ya sea para completar la prueba o para solucionar un supuesto problema durante la videollamada. El aviso identifica cinco familias de malware incluidas en esos paquetes, entre ellas BeaverTail, InvisibleFerret y StoatWaffle, que se oculta en repositorios relacionados con blockchain.

El aviso también documenta lo que los investigadores observaron del propio grupo. Sus miembros utilizaron software de intercambio de rostros con IA durante las entrevistas y, después, cortaron el vídeo y pidieron al candidato que hiciera lo mismo, alegando problemas de conexión. Practicaban la pronunciación japonesa con herramientas de conversión de texto a voz, trabajaban de forma constante con versiones gratuitas de herramientas de traducción automática y de IA y, durante las festividades de Corea del Norte, jugaban y veían vídeos de fútbol en lugar de llevar a cabo sus operaciones habituales.

Las autoridades japonesas también identificaron y desmantelaron una granja de portátiles gestionada por un facilitador local, el primer caso de este tipo en el país, y encontraron indicios de que varios cientos de millones de yenes en criptomonedas habían sido transferidos al extranjero. Una granja de portátiles suele ser la vivienda de un facilitador, donde trabajadores de TI de Corea del Norte, China o Rusia manejan ordenadores de trabajo a distancia.
Hackers norcoreanos robaron 2.100 M $ en 2025, 60% de todas las pérdidas: CertiK

Un exchange de criptomonedas japonés rechazó en 05/2025 a un candidato cuyo currículum afirmaba que tenía una variedad inverosímilmente amplia de habilidades y cuyo nivel de inglés no concordaba con sus antecedentes. Otras señales de alerta son negarse a reunirse en persona, pedir que se pague en criptomonedas y mirar repetidamente una segunda pantalla.

El robo forma parte de una campaña mucho más amplia. CertiK atribuyó a grupos vinculados a Corea del Norte 60% de todas las pérdidas por robos de criptomonedas en 2025, unos 2.060 M $, y el hackeo del protocolo Drift en abril, de 285 M $, se produjo tras seis meses en los que los atacantes se hicieron pasar por una empresa de trading cuantitativo.

Este contenido se ofrece únicamente con fines informativos generales y no constituye un asesoramiento financiero, de inversión, legal ni fiscal. Cualquier evento, recompensa, promoción en línea o información relacionada que se mencione en el presente documento no debe considerarse como una recomendación, solicitud o invitación a comprar, vender, operar o de negociar de otra manera con cualquier criptoactivo. Los criptoactivos son sumamente volátiles y pueden provocar pérdidas. La disponibilidad de los servicios, productos y eventos relacionados de WEEX puede variar según la región. Tienes la responsabilidad de asegurarte de que tu participación esté de acuerdo con las leyes y regulaciones locales vigentes.