डेवलपर्स से समझौता करने के लिए रिक्रूटर्स का रूप धारण करने वाले एक उत्तर कोरियाई समूह ने 7,000 से अधिक क्रिप्टोकरेंसी वॉलेट्स से फंड या क्रेडेंशियल्स हासिल किए और लगभग $10.71 मिलियन प्योंगयांग भेजे, ऐसा 18 सितंबर को प्रकाशित एक संयुक्त एडवाइजरी में चार देशों की सात एजेंसियों ने कहा.

इस समूह को जापान की नेशनल पुलिस एजेंसी WaterPlum कहती है, जबकि सुरक्षा उद्योग इसे Contagious Interview के नाम से जानता है। इसने लगभग दिसंबर 2025 से जुलाई 2026 के बीच 100 से अधिक देशों में कम से कम 30,000 डिवाइस संक्रमित किए। इसके निशाने पर वेब डिज़ाइनर, इंजीनियर और क्रिप्टो, ब्लॉकचेन व Web3 से जुड़े विशेषज्ञ थे.

इस पर जापान की नेशनल पुलिस एजेंसी और नेशनल साइबरसिक्योरिटी ऑफिस, FBI और अमेरिकी रक्षा विभाग का साइबर क्राइम सेंटर, ऑस्ट्रेलियन सिग्नल्स डायरेक्टरेट का ऑस्ट्रेलियन साइबर सिक्योरिटी सेंटर, तथा जर्मनी की BND विदेशी खुफिया सेवा और BfV घरेलू सुरक्षा एजेंसी के हस्ताक्षर हैं.

NPA और FBI का आकलन है कि WaterPlum और उत्तर कोरिया के कुछ रिमोट IT वर्कर्स दोनों ही Munitions Industry Department के 313 General Bureau को रिपोर्ट करते हैं, जो Workers' Party की केंद्रीय समिति के अधीन है। दोनों अभियानों ने लैपटॉप फार्म्स तक पहुंचने, क्राउडसोर्सिंग सेवाओं का उपयोग करने और नौकरियों के लिए आवेदन करने में समान IP पते भी इस्तेमाल किए, जिसे एजेंसियां इस बात का प्रमाण मानती हैं कि दोनों वास्तव में एक ही ऑपरेशन हैं.

उत्तर कोरिया का हैकिंग अभियान

ऑपरेटर्स AI, क्रिप्टो या NFT कंपनियों का रूप धरते हैं, सोशल मीडिया, जॉब बोर्ड्स और फ्रीलांस मार्केटप्लेस के जरिए डेवलपर्स से संपर्क करते हैं, फिर एक टेक्निकल इंटरव्यू या कोडिंग टास्क तय करते हैं। उम्मीदवारों से कहा जाता है कि वे डेवलपर प्लेटफॉर्म्स से फाइलें डाउनलोड करें, या तो असाइनमेंट पूरा करने के लिए या वीडियो कॉल में दिख रही किसी कथित गड़बड़ी को ठीक करने के लिए। एडवाइजरी में उन पैकेजों के जरिए फैलने वाले पांच मैलवेयर परिवारों का नाम दिया गया है, जिनमें BeaverTail, InvisibleFerret और StoatWaffle शामिल हैं; इनमें से आखिरी ब्लॉकचेन-थीम वाले रिपॉजिटरीज़ में छिपा रहता है.

एडवाइजरी में इस समूह के बारे में जांचकर्ताओं द्वारा देखी गई गतिविधियों को भी दर्ज किया गया है। सदस्य इंटरव्यू के दौरान AI फेस-स्वैपिंग सॉफ्टवेयर का इस्तेमाल करते थे, फिर वीडियो बंद कर उम्मीदवार से भी ऐसा ही करने को कहते थे और इसका कारण कनेक्शन को बताते थे। वे टेक्स्ट-टू-स्पीच टूल्स से जापानी उच्चारण का अभ्यास करते थे, लगातार मुफ्त मशीन-ट्रांसलेशन और AI टियर्स पर काम करते थे, और उत्तर कोरिया में मनाई जाने वाली छुट्टियों पर अपनी सामान्य गतिविधियां चलाने के बजाय गेम खेलते और फुटबॉल वीडियो देखते थे.

जापानी अधिकारियों ने एक घरेलू सहयोगी द्वारा संचालित लैपटॉप फार्म की भी पहचान कर उसे ध्वस्त किया, जो देश में इस तरह का पहला मामला है। जांच में ऐसे सबूत मिले कि क्रिप्टो में कई सौ मिलियन येन विदेश भेजे गए थे। लैपटॉप फार्म आमतौर पर किसी सहयोगी का घर होता है, जहां कार्यस्थल के कंप्यूटर उत्तर कोरिया, चीन या रूस में मौजूद IT वर्कर्स द्वारा रिमोट तरीके से चलाए जाते हैं.

मई 2025 में एक जापानी क्रिप्टो एक्सचेंज ने एक आवेदक को ठुकरा दिया, जिसके रिज़्यूमे में अविश्वसनीय रूप से व्यापक कौशल का दावा था और जिसकी अंग्रेज़ी उसके रिकॉर्ड से मेल नहीं खाती थी। अन्य संकेतों में आमने-सामने मिलने से इनकार करना, क्रिप्टो में भुगतान मांगना, और बार-बार दूसरी स्क्रीन की ओर देखना शामिल है.

यह चोरी एक कहीं बड़े अभियान का हिस्सा है। CertiK ने 2025 में हुई सभी क्रिप्टो चोरी के नुकसान का 60%, यानी लगभग $2.06 बिलियन, उत्तर कोरिया से जुड़े समूहों के खाते में डाला, और अप्रैल में हुए $285 मिलियन के Drift Protocol हैक से पहले हमलावर छह महीनों तक खुद को एक quantitative trading firm के रूप में पेश करते रहे.