Falsas entrevistas de emprego da Coreia do Norte drenaram $11M de 7.000 crypto wallets

Um grupo norte-coreano que se passa por recrutadores para comprometer desenvolvedores retirou fundos ou credenciais de mais de 7.000 crypto wallets e transferiu cerca de $10,71M para Pyongyang, informaram sete órgãos de quatro países em um alerta conjunto publicado em 18/09.

O grupo, chamado WaterPlum pela Agência Nacional de Polícia do Japão e conhecido no setor de segurança como Contagious Interview, infectou dispositivos pelo menos 30.000 em mais de 100 países entre aproximadamente 12/2025 e 07/2026. Os alvos eram designers de web, engenheiros e especialistas em criptomoedas, blockchain e Web3.

O grupo cibernético norte-coreano "WaterPlum" está comprometendo as redes de computadores de candidatos a emprego, coletando dados confidenciais e roubando criptomoedas — com profissionais de TI no Japão, nos EUA, na Europa e em outros lugares como alvo. Leia nosso alerta com @FBI e @NPA_KOHO em https://t.co/ugVY5mmo6y pic.twitter.com/Q74qeXWQoP

--- DoD Cyber Crime Center (DC3) (@DC3Forensics) 18/09/2026

O alerta é assinado pela Agência Nacional de Polícia e pelo Escritório Nacional de Cibersegurança do Japão, pelo FBI e pelo Centro de Crimes Cibernéticos do Departamento de Defesa dos EUA, pelo Centro Australiano de Cibersegurança da Diretoria de Sinais da Austrália, além do serviço de inteligência externa BND e da agência de segurança interna BfV, ambos da Alemanha.

A Agência Nacional de Polícia do Japão e o FBI avaliam que tanto a WaterPlum quanto alguns dos trabalhadores de TI remotos da Coreia do Norte respondem ao 313º Bureau Geral do Departamento da Indústria de Munições, subordinado ao comitê central do Partido dos Trabalhadores. As duas operações também usaram os mesmos endereços IP para acessar fazendas de notebooks, utilizar serviços de crowdsourcing e se candidatar a empregos. Para os órgãos, isso é uma evidência de que se trata de uma única operação.

A campanha de hackers da Coreia do Norte

Os criminosos se passam por empresas de IA, criptomoedas ou NFT, abordam desenvolvedores por meio de redes sociais, sites de vagas e plataformas de trabalho freelance e, em seguida, marcam uma entrevista técnica ou propõem uma tarefa de programação. Os candidatos são instruídos a baixar arquivos de plataformas de desenvolvimento, seja para concluir a tarefa, seja para corrigir um suposto problema na videochamada. O alerta cita cinco famílias de malware incluídas nesses pacotes, entre elas BeaverTail, InvisibleFerret e StoatWaffle, que se esconde em repositórios com temas de blockchain.

O alerta também registra o que os investigadores observaram sobre o próprio grupo. Durante as entrevistas, os membros usavam software de troca de rosto por IA e depois desligavam o vídeo e pediam que o candidato fizesse o mesmo, alegando problemas de conexão. Eles praticavam a pronúncia japonesa com ferramentas de conversão de texto em fala, trabalhavam regularmente com planos gratuitos de ferramentas de tradução automática e IA e, nos feriados celebrados na Coreia do Norte, jogavam e assistiam a vídeos de futebol em vez de realizar suas operações habituais.

As autoridades japonesas também identificaram e desmantelaram uma fazenda de notebooks operada por um facilitador local, no primeiro caso do tipo no país, e encontraram evidências de que várias centenas de milhões de ienes em criptomoedas haviam sido transferidos para o exterior. Uma fazenda de notebooks costuma ser a casa de um facilitador, onde computadores de trabalho são operados remotamente por profissionais de TI na Coreia do Norte, na China ou na Rússia.
Hackers norte-coreanos roubaram $2,1B em 2025, 60% de todas as perdas: CertiK

Uma exchange de criptomoedas japonesa rejeitou, em 05/2025, um candidato cujo currículo alegava uma variedade implausivelmente ampla de habilidades e cujo inglês não correspondia às informações apresentadas. Outros sinais de alerta incluem recusar-se a encontrar alguém pessoalmente, pedir pagamento em criptomoedas e olhar repetidamente para uma segunda tela.

Esse roubo faz parte de uma campanha muito maior. A CertiK atribuiu 60% de todas as perdas com roubos de criptomoedas em 2025 — cerca de $2,06B — a grupos ligados à Coreia do Norte. Já o ataque de $285M ao Drift Protocol, em abril, foi precedido por seis meses de tentativas dos invasores de se passar por uma empresa de trading quantitativo.

Este conteúdo é fornecido apenas para fins informativos gerais e não constitui aconselhamento financeiro, de investimento, jurídico ou tributário. Quaisquer eventos, recompensas, promoções online ou informações relacionadas mencionadas neste documento não devem ser consideradas uma recomendação, solicitação ou convite para comprar, vender, negociar ou realizar qualquer outra transação com criptoativos. Criptoativos são altamente voláteis e podem resultar em perdas. A disponibilidade dos serviços, produtos e eventos relacionados da WEEX pode variar conforme a região. É de sua responsabilidade garantir que sua participação esteja em conformidade com as leis e regulamentações locais aplicáveis.