Los hackers de WaterPlum roban 10,71 millones de dólares con falsos empleos en criptomonedas
El grupo de hackers norcoreano WaterPlum, también conocido como Contagious Interview, supuestamente robó unos 10,71 millones de dólares en criptomonedas o credenciales de más de 7.000 monederos de criptomonedas. La campaña infectó al menos 30.000 dispositivos en más de 100 países entre diciembre de 2025 y julio de 2026.
WaterPlum atacó a desarrolladores, ingenieros, diseñadores web y otros profesionales de los sectores de las criptomonedas, la cadena de bloques, la Web3, la inteligencia artificial y los NFT. Los atacantes se hicieron pasar por reclutadores o empresas tecnológicas en redes sociales, bolsas de trabajo, plataformas de autónomos y servicios de selección. Se animó a las víctimas a descargar malware disfrazado de pruebas de programación, materiales para entrevistas o soluciones para problemas de videoconferencia.
El malware permitía el acceso remoto y el robo de datos, dejando expuestas credenciales de monederos, documentos de identidad y otra información sensible. Las autoridades afirmaron que las identidades robadas también podrían ser utilizadas por trabajadores norcoreanos de TI para conseguir empleos, suplantar a las víctimas o llevar a cabo extorsiones.
Una investigación posterior en Japón identificó la primera granja de portátiles del país presuntamente vinculada a la operación. Los investigadores afirmaron que se habían transferido al extranjero activos criptográficos por valor de cientos de millones de yenes. Creen que WaterPlum y algunos trabajadores norcoreanos de TI en remoto podrían estar vinculados a la Oficina General de Reconocimiento, concretamente a su 313.ª Oficina General, y compartir acceso a granjas de portátiles y servicios de búsqueda de empleo.
La campaña de WaterPlum aumenta la preocupación por el uso que hace Corea del Norte de falsos planes de empleo para atacar al sector de las criptomonedas. Los operadores y las empresas de criptomonedas deberían considerar las solicitudes de empleo no solicitadas con archivos adjuntos, las peticiones para conectar monederos y las herramientas de desarrollo desconocidas como posibles amenazas de seguridad. Es poco probable que el incidente afecte directamente al precio de una criptomoneda concreta, pero nuevas revelaciones podrían aumentar la aversión al riesgo y ejercer presión sobre las empresas relacionadas con las criptomonedas.
Neutral
Los activos robados estaban distribuidos entre varias carteras de criptomonedas y no se identificó ninguna criptomoneda o token específico. Por ello, el incidente no genera un catalizador directo claro para el precio de un activo concreto. A corto plazo, las noticias sobre el robo de carteras y la actividad cibernética de Corea del Norte podrían aumentar la aversión al riesgo, llevar a los operadores a trasladar fondos a servicios de custodia más seguros y lastrar la percepción sobre las empresas relacionadas con las criptomonedas. Sin embargo, divulgaciones similares sobre ciberseguridad suelen haber tenido efectos limitados y temporales sobre los precios generales de las criptomonedas, salvo cuando afectan a un exchange importante, una cadena de bloques o un protocolo de uso generalizado. A más largo plazo, la campaña podría impulsar estándares más estrictos de seguridad para las carteras, controles de cumplimiento y procedimientos de contratación más seguros. Estas medidas podrían mejorar la resiliencia del mercado, aunque nuevos ataques o pruebas de pérdidas mayores podrían desencadenar una nueva presión vendedora.