朝鲜黑客伪装招聘人员：感染逾3万台设备，窃取1070万美元加密资产

日本、德国、澳大利亚与美国当局联合发布安全公告称，朝鲜黑客组织WaterPlum通过冒充合法加密货币与人工智能公司的招聘人员，至少窃取1070万美元加密货币，全球超过3万台设备遭到感染。

伪装招聘，锁定Web3开发者

公告指出，该组织又名“Contagious Interview”，长期针对全球软件开发人员和IT专业人士。其成员冒充人工智能、加密货币及非同质化代币（NFT）公司的招聘代表，同时也借助第三方招聘服务实施诈骗。主要目标为个人网页设计师、工程师，以及加密货币、区块链与Web3技术领域的专业人员。

WaterPlum通过社交媒体平台、在线招聘网站、零工平台和自由职业市场接触求职者。在“招聘流程”中，受害者被要求下载并运行伪装成编程作业或视频会议故障修复工具的恶意文件。

一旦获得对受害者电脑的后门访问权限，攻击者便使用远程访问木马和信息窃取恶意软件，窃取敏感数据与加密货币。成功感染还为WaterPlum提供了渗透雇佣这些开发者的机构组织的机会。

公告披露，2025年12月至2026年7月期间，WaterPlum至少感染了100多个国家的3万多台设备，并从7000多个加密货币钱包中提取资金或账户凭证。

当局表示，损失并不限于被盗的加密货币。被盗身份文件可让朝鲜IT人员冒用受害者身份赚取收入，而敏感信息还可能被用于勒索。

公告将WaterPlum与朝鲜更广泛的“向海外企业安插IT人员”行动相关联。日本和美国当局评估认为，WaterPlum成员及部分朝鲜IT人员隶属于朝鲜军需工业部。

公告描述了一起案件：一名疑似朝鲜IT人员使用伪造简历应聘日本一家加密货币交易所的工程岗位。该交易所在面试中发现多处疑点，包括应聘者无法详细解释简历中所列技能，最终拒绝录用。

另据Cointelegraph今年7月报道，Consensys曾在不知情的情况下聘请一名与朝鲜有关联的开发者担任顾问。该公司表示，在发现威胁后已终止其访问权限，调查未发现资产或数据被窃、恶意代码部署，也未对用户安全造成影响。

此次行动是朝鲜在多年警告与执法压力下，仍持续利用加密货币盗窃筹集资金的最新例证。美国联邦调查局（FBI）将2025年2月Bybit平台15亿美元失窃案归咎于朝鲜，而美国当局至少自2018年起便对其派遣卧底IT人员的行为发出警告。