Falsas entrevistas de emprego da Coreia do Norte esvaziaram $11M de 7.000 crypto wallets

Um grupo norte-coreano que se faz passar por recrutadores para comprometer programadores roubou fundos ou credenciais de mais de 7.000 crypto wallets e transferiu cerca de $10,71M para Pyongyang, segundo um comunicado conjunto publicado em 18/09 por sete agências de quatro países.

O grupo, a que a Agência Nacional de Polícia do Japão chama WaterPlum e que no setor da segurança é conhecido como Contagious Interview, infetou pelo menos 30 000 dispositivos em mais de 100 países entre, aproximadamente, 12/2025 e 07/2026. Os alvos eram web designers, engenheiros e especialistas em criptomoedas, blockchain e Web3.

O grupo cibernético norte-coreano "WaterPlum" está a comprometer as redes informáticas de candidatos a emprego, a recolher dados confidenciais e a roubar criptomoedas — visando profissionais de TI no Japão, nos EUA, na Europa e noutros locais. Leia o nosso comunicado, elaborado com @FBI e @NPA_KOHO, em https://t.co/ugVY5mmo6y pic.twitter.com/Q74qeXWQoP

--- Centro de Cibercrime do Departamento de Defesa dos EUA (DC3) (@DC3Forensics) 18/09/2026

O comunicado é assinado pela Agência Nacional de Polícia do Japão e pelo Gabinete Nacional de Cibersegurança, pelo FBI e pelo Centro de Cibercrime do Departamento de Defesa dos EUA, pelo Centro Australiano de Cibersegurança da Direção Australiana de Sinais e pelos serviços de informações externas BND e de segurança interna BfV da Alemanha.

A Agência Nacional de Polícia do Japão e o FBI consideram que tanto a WaterPlum como alguns dos trabalhadores de TI norte-coreanos que trabalham remotamente respondem perante o 313.º Gabinete Geral do Departamento da Indústria de Munições, subordinado ao comité central do Partido dos Trabalhadores. As duas operações também utilizaram os mesmos endereços IP para aceder a quintas de portáteis, recorrer a serviços de crowdsourcing e candidatar-se a empregos, o que as agências consideram prova de que se trata de uma única operação.

A campanha de pirataria informática da Coreia do Norte

Os atacantes fazem-se passar por empresas de IA, criptomoedas ou NFT, contactam programadores através das redes sociais, de sites de emprego e de plataformas de trabalho freelance e, em seguida, marcam uma entrevista técnica ou propõem um exercício de programação. Dizem aos candidatos para descarregarem ficheiros de plataformas para programadores, quer para concluírem o exercício, quer para corrigirem uma aparente falha na videochamada. O comunicado identifica cinco famílias de malware incluídas nesses ficheiros, entre elas BeaverTail, InvisibleFerret e StoatWaffle, que se esconde em repositórios relacionados com blockchain.

O comunicado também regista aquilo que os investigadores observaram sobre o próprio grupo. Os membros usavam software de troca de rostos com IA durante as entrevistas e, depois de desligarem o vídeo, pediam ao candidato que fizesse o mesmo, alegando problemas de ligação. Praticavam a pronúncia japonesa com ferramentas de conversão de texto em voz, recorriam regularmente às versões gratuitas de ferramentas de tradução automática e de IA e, nos feriados celebrados na Coreia do Norte, jogavam videojogos e viam vídeos de futebol em vez de realizarem as operações habituais.

As autoridades japonesas também identificaram e desmantelaram uma quinta de portáteis gerida por um facilitador local, no primeiro caso do género no país, encontrando provas de que várias centenas de milhões de ienes em criptomoedas tinham sido transferidos para o estrangeiro. Uma quinta de portáteis é geralmente a casa de um facilitador, onde computadores de trabalho são operados remotamente por trabalhadores de TI na Coreia do Norte, na China ou na Rússia.
Hackers norte-coreanos roubaram $2100M em 2025, 60% de todas as perdas: CertiK

Uma exchange de criptomoedas japonesa rejeitou, em 05/2025, um candidato cujo currículo alegava competências invulgarmente abrangentes e cujo inglês não correspondia ao que constava no currículo. Outros sinais de alerta incluem recusar-se a reunir pessoalmente, pedir para receber em criptomoedas e olhar repetidamente para um segundo ecrã.

Este roubo faz parte de uma campanha muito mais ampla. A CertiK atribuiu 60% de todas as perdas resultantes de roubos de criptomoedas em 2025 — cerca de $2060M — a grupos ligados à Coreia do Norte, e o ataque de $285M ao Drift Protocol, em abril, ocorreu após seis meses de atacantes a fazerem-se passar por uma empresa de negociação quantitativa.

Este conteúdo é disponibilizado apenas para fins informativos gerais e não constitui aconselhamento financeiro, de investimento, jurídico ou fiscal. Quaisquer eventos, recompensas, promoções online ou informações relacionadas aqui mencionados não devem ser interpretados como uma recomendação, solicitação ou convite para comprar, vender, negociar ou realizar quaisquer outras operações com criptoativos. Os criptoativos são altamente voláteis e podem resultar em perdas. A disponibilidade dos serviços, produtos e eventos relacionados da WEEX pode variar consoante a região. O utilizador é responsável por garantir que a sua participação está em conformidade com a legislação e os regulamentos locais aplicáveis.