简述
- 日本、美国、澳大利亚和德国的警方及情报机构表示，该团伙已感染100多个国家至少3万台设备。
- 该团伙从7000多个加密钱包中窃取资金或凭据，并将17亿日元（约1071万美元）转移至朝鲜。
- 日本当局首次捣毁国内一处“笔记本电脑农场”。

一个伪装成招聘人员以入侵开发者的朝鲜团伙，已从7000多个加密货币钱包中窃取资金或凭据，并将约1071万美元转移至平壤。四国七机构在9月18日发布的联合公告中如此表示。

日本警察厅称该团伙为WaterPlum，安全行业则称其为Contagious Interview。在约2025年12月至2026年7月期间，该团伙感染了100多个国家至少3万台设备。目标群体是网页设计师、工程师以及从事加密货币、区块链和Web3工作的专家。

朝鲜网络团伙“WaterPlum”正在入侵求职者的计算机网络，窃取敏感数据并盗取加密货币——目标覆盖日本、美国、欧洲及其他地区的IT专业人士。请阅读我们与@FBI和@NPA_KOHO联合发布的公告：https://t.co/ugVY5mmo6y pic.twitter.com/Q74qeXWQoP
——美国国防部网络犯罪中心（DC3）(@DC3Forensics) 2026年9月18日

该公告由日本警察厅和国家网络安全办公室、联邦调查局（FBI）及美国国防部网络犯罪中心、澳大利亚信号局下属的澳大利亚网络安全中心、德国联邦情报局（BND）和德国联邦宪法保卫局（BfV）联合签署。

日本警察厅和FBI评估认为，WaterPlum及部分朝鲜远程IT工作者均向军需工业部第313总局汇报，该局隶属于朝鲜劳动党中央委员会。两个行动还使用了相同的IP地址访问笔记本电脑农场、使用众包服务并申请工作，各机构将此视为两者属于同一行动的证据。

朝鲜的黑客行动

行动者冒充AI、加密货币或NFT公司，通过社交媒体、招聘网站和自由职业市场接触开发者，然后安排技术面试或编码任务。应聘者被告知从开发者平台下载文件，要么是为了完成任务，要么是为了修复视频通话中出现的明显故障。公告列出了这些软件包中携带的五种恶意软件家族，其中包括BeaverTail、InvisibleFerret和StoatWaffle，后者隐藏在区块链主题的代码库中。

公告还记录了调查人员对该团伙本身的观察。成员在面试中使用AI换脸软件，随后关闭视频并要求应聘者也这样做，借口是网络连接问题。他们使用文本转语音工具练习日语发音，持续使用免费的机器翻译和AI免费套餐，并在朝鲜节假日玩游戏、看足球视频，而不是进行日常行动。

日本当局还识别并捣毁了一处由国内协助者运营的笔记本电脑农场，这是该国首例此类案件，并发现了数亿日元加密货币已转移至海外的证据。笔记本电脑农场通常是协助者的住所，由位于朝鲜、中国或俄罗斯的IT工作者远程操作工作电脑。

2025年5月，一家日本加密货币交易所拒绝了一名求职者，其简历声称拥有难以置信的广泛技能，且英语水平与记录不符。其他可疑迹象包括拒绝当面会面、要求以加密货币支付报酬，以及反复瞥向第二块屏幕。

这起盗窃案隶属于一个规模更大的行动。CertiK将2025年所有加密货币盗窃损失的60%（约20.6亿美元）归因于与朝鲜有关的团伙，而4月发生的2.85亿美元Drift Protocol遭黑客攻击事件之前，攻击者已假冒量化交易公司行动了六个月。

来源：https://decrypt.co/379032/north-koreas-fake-job-interviews-drained-11m-from-7000-crypto-wallets