I falsi colloqui di lavoro nordcoreani hanno sottratto 11 mln $ a 7.000 crypto wallet

Un gruppo nordcoreano che si finge reclutatore per compromettere gli sviluppatori ha sottratto fondi o credenziali da oltre 7.000 crypto wallet e trasferito circa 10,71 mln $ a Pyongyang, secondo quanto riferito da sette agenzie di quattro Paesi in un avviso congiunto pubblicato il 18/09.

Il gruppo, che l'Agenzia nazionale di polizia giapponese chiama WaterPlum e che nel settore della sicurezza è noto come Contagious Interview, ha infettato dispositivi almeno 30.000 in oltre 100 Paesi tra circa 12/2025 e 07/2026. I bersagli erano web designer, ingegneri e specialisti che lavorano nel settore delle criptovalute, della blockchain e del Web3.

Il gruppo informatico nordcoreano "WaterPlum" compromette le reti informatiche di chi cerca lavoro, raccoglie dati sensibili e ruba criptovalute, prendendo di mira professionisti IT in Giappone, negli Stati Uniti, in Europa e altrove. Leggete il nostro avviso con @FBI e @NPA_KOHO su https://t.co/ugVY5mmo6y pic.twitter.com/Q74qeXWQoP

--- DoD Cyber Crime Center (DC3) (@DC3Forensics) 18/09/2026

L’avviso è firmato dall’Agenzia nazionale di polizia e dall’Ufficio nazionale per la cybersicurezza del Giappone, dall’FBI e dal Cyber Crime Center del Dipartimento della Difesa degli Stati Uniti, dall’Australian Cyber Security Centre dell’Australian Signals Directorate e dai servizi tedeschi di intelligence estera BND e di sicurezza interna BfV.

L’NPA e l’FBI ritengono che WaterPlum e alcuni dei lavoratori IT nordcoreani da remoto facciano capo entrambi al 313° Ufficio generale del Dipartimento dell’industria degli armamenti, che dipende dal comitato centrale del Partito dei lavoratori. Le due operazioni hanno inoltre usato gli stessi indirizzi IP per accedere a laptop, utilizzare servizi di crowdsourcing e candidarsi a posti di lavoro: per le agenzie, questo dimostra che si tratta di un’unica operazione.

La campagna di hacking della Corea del Nord

Gli autori degli attacchi si spacciano per aziende di IA, criptovalute o NFT, contattano gli sviluppatori tramite social media, bacheche di annunci di lavoro e marketplace freelance, quindi organizzano un colloquio tecnico o assegnano un esercizio di programmazione. Ai candidati viene chiesto di scaricare file da piattaforme per sviluppatori, per completare l’esercizio o correggere un presunto problema durante la videochiamata. L’avviso individua cinque famiglie di malware distribuite attraverso questi pacchetti, tra cui BeaverTail, InvisibleFerret e StoatWaffle, quest’ultimo nascosto in repository a tema blockchain.

L’avviso documenta anche ciò che gli investigatori hanno osservato del gruppo stesso. Durante i colloqui i membri usavano software di IA per lo scambio dei volti, poi interrompevano il video e chiedevano al candidato di fare altrettanto, dando la colpa alla connessione. Si esercitavano nella pronuncia giapponese con strumenti di sintesi vocale, utilizzavano regolarmente i piani gratuiti degli strumenti di traduzione automatica e di IA e, durante le festività celebrate in Corea del Nord, giocavano e guardavano video di calcio anziché svolgere le consuete operazioni.

Le autorità giapponesi hanno inoltre individuato e smantellato un parco di laptop gestito da un facilitatore locale, nel primo caso del genere nel Paese, e hanno trovato prove del trasferimento all’estero di diverse centinaia di milioni di yen in criptovalute. Di solito, un parco di laptop si trova nell’abitazione di un facilitatore, dove i computer di lavoro vengono gestiti da remoto da lavoratori IT in Corea del Nord, Cina o Russia.
Gli hacker crypto nordcoreani hanno rubato 2,1 mld $ nel 2025: 60% di tutte le perdite, secondo CertiK

Nel 05/2025 un exchange di criptovalute giapponese ha respinto la candidatura di una persona il cui curriculum vantava competenze inverosimilmente ampie e il cui inglese non corrispondeva a quanto riportato. Tra gli altri segnali d’allarme figurano il rifiuto di incontrarsi di persona, la richiesta di essere pagati in criptovalute e il guardare ripetutamente un secondo schermo.

Il furto rientra in una campagna molto più ampia. CertiK ha attribuito ai gruppi legati alla Corea del Nord 60% di tutte le perdite dovute a furti di criptovalute nel 2025, pari a circa 2,06 mld $, mentre l’hack di aprile di Drift Protocol, da 285 mln $, è avvenuto dopo sei mesi durante i quali gli aggressori si erano spacciati per una società di trading quantitativo.

Questo contenuto è fornito a solo scopo informativo generale e non costituisce consulenza finanziaria, di investimento, legale o fiscale. Qualsiasi evento, ricompensa, promozione online o informazione correlata menzionata nel presente documento non deve essere considerata una raccomandazione, una sollecitazione o un invito ad acquistare, vendere, fare trading o altrimenti negoziare criptovalute. Le criptovalute sono altamente volatili e possono comportare perdite. La disponibilità dei servizi, dei prodotti e degli eventi correlati di WEEX può variare a seconda della regione. È tua responsabilità assicurarti che la tua partecipazione sia conforme alle leggi e ai regolamenti locali applicabili.