Nordkorea-Hacker: 30.000 Geräte infiziert, 7.000 Wallets geplündert

Die japanische Polizeibehörde NPA warnt gemeinsam mit internationalen Partnerorganisationen vor einer großangelegten Cyberspionage- und Diebstahlkampagne der nordkoreanischen Hackergruppe WaterPlum.

Nach aktuellen Erkenntnissen infizierten die auch unter dem Namen „Contagious Interview“ bekannten Akteure mehr als 30.000 Geräte in über 100 Ländern und Regionen. Das Hauptziel der Angriffe war der Diebstahl von Kryptowährungen, wobei Daten aus über 7.000 digitalen Wallets entwendet wurden.

Gezielte Täuschung durch gefälschte Bewerbungsprozesse

Der Kern der Strategie von WaterPlum bestand darin, potenzielle Opfer über fingierte Vorstellungsgespräche zu ködern. Die Angreifer gaben sich als Personalvermittler oder Vertreter von Unternehmen aus den Bereichen Kryptowährungen, Künstliche Intelligenz (KI) und Non-Fungible Tokens (NFT) aus.

Im Rahmen dieser vermeintlichen Bewerbungsprozesse wurden die Zielpersonen dazu verleitet, präparierte Software herunterzuladen, die als technische Testumgebung oder Kommunikationsanwendung getarnt war.

Der aktivste Zeitraum dieser Kampagne wird von den Behörden auf die Monate zwischen Dezember 2025 und Juli 2026 datiert. In dieser Zeit flossen mindestens 1,7 Mrd. Yen (rund 10,71 Mio. US-Dollar) in Kryptowährungen an Wallets, die von der Gruppe kontrolliert werden.

Angesichts der weltweit massiv steigenden Zahl gehackter Konten ist der Schutz der eigenen digitalen Identität wichtiger denn je. Dieser kostenlose Report zeigt, wie Sie moderne Sicherheits-Technologien bei Diensten wie Amazon oder WhatsApp sofort einrichten und Hackern keine Chance mehr lassen. Kostenlosen Sicherheits-Report jetzt herunterladen

Die eingesetzte Malware ermöglichte es den Hackern, umfassende Informationen von den infizierten Systemen zu sammeln. Dazu gehörten neben Zugangsdaten und Tastatureingaben auch Screenshots und sogenannte Seed Phrases, die den direkten Zugriff auf Krypto-Vermögen erlauben.

Technisches Arsenal und organisatorischer Hintergrund

Die Ermittler identifizierten mehrere Malware-Familien, die bei den Angriffen zum Einsatz kamen, darunter BeaverTail, InvisibleFerret, OtterCookie, OtterCandy und StoatWaffle. Diese Werkzeuge dienten nicht nur dem Diebstahl von Währungen, sondern auch der langfristigen Überwachung der betroffenen Systeme.

Die Aktivitäten von WaterPlum werden dem 313. General Bureau des Munitions Industry Department des Zentralkomitees der Arbeiterpartei Koreas zugeordnet. Demnach agieren nordkoreanische IT-Arbeiter von Standorten in Nordkorea, China und Russland aus, um Devisen für das Regime zu erwirtschaften. Ein Teil dieser Aktivitäten wurde offenbar über lokale Infrastrukturen in den Zielländern verschleiert.

In Japan gelang es der NPA erstmals, eine sogenannte „Laptop Farm“ (auch „Notebook Farm“) zu zerschlagen. Diese Farmen dienen dazu, den tatsächlichen Standort der Hacker zu verbergen, indem sie lokale Netzwerke für die Angriffe nutzen. Allein in Japan sollen dadurch Schäden in Höhe von hunderten Millionen Yen entstanden sein.

Wer sich vor den immer raffinierteren Methoden der Cyberkriminellen schützen möchte, sollte auf eine passwortlose Anmeldung setzen, um Phishing und Datenklau wirksam zu verhindern. Erfahren Sie in diesem gratis Ratgeber, wie Sie künftig sicher, schnell und ohne Passwort-Stress auf Ihre Online-Konten zugreifen können. Sichere Alternative zu Passwörtern gratis nachlesen

Internationale Kooperation und globale Bedrohungslage

Angesichts der globalen Reichweite der Angriffe veröffentlichten sieben Organisationen aus vier Ländern eine gemeinsame Warnung. Neben der japanischen NPA beteiligten sich unter anderem das FBI aus den USA, die australische ASD/ACSC sowie das Bundesamt für Verfassungsschutz (BfV) und der Bundesnachrichtendienst (BND) aus Deutschland an dem Aufruf.

Ziel ist es, Unternehmen für die Methoden der Gruppe zu sensibilisieren. Die NPA stellte hierzu detaillierte Informationen über die Angriffsmethoden sowie entsprechende Gegenmaßnahmen zur Verfügung.

Die Aktivitäten von WaterPlum reihen sich in eine Serie umfangreicher Cyber-Operationen Nordkoreas ein. Bereits in einer früheren Kampagne im April konnten Schätzungen zufolge bis zu 12 Mio. US-Dollar erbeutet werden. Lediglich in Einzelfällen, wie dem bitFlyer-Fall im Jahr 2025, blieben die Angriffsversuche ohne finanziellen Schaden für die Betroffenen.

Insgesamt verdeutlichen die Zahlen die Dimension der staatlich gelenkten Cyberkriminalität: Im Jahr 2025 stahl Nordkorea laut Branchenberichten Kryptowährungen im Gesamtwert von 2,02 Mrd. USD (ca. 1,8 Mrd. €). Dies entsprach rund 60 % aller weltweit gemeldeten Diebstähle in diesem Sektor. Die Erlöse dienen nach Einschätzung von Experten unter anderem der Finanzierung nationaler Rüstungsprogramme.