朝鲜假招聘者感染3万台设备，窃取1070万美元加密货币

据日本、德国、澳大利亚和美国四国有关部门联合发布的公告，朝鲜黑客组织 WaterPlum 通过伪装成正规加密货币与人工智能企业的招聘人员，向求职者投放恶意软件，非法窃取的资金至少达到 1070 万美元。该组织也被称为"Contagious Interview"，主要攻击目标是全球范围内的软件开发者和 IT 从业人员。

假招聘真陷阱：恶意文件藏在“编程测试”里

公告指出，WaterPlum 的成员会假冒人工智能、加密货币或 NFT 领域的正规公司招聘人员，也借助各类招聘服务开展活动。有关部门表示，其主要针对的是网页设计师、工程师以及加密货币、区块链和 Web3 技术领域的专业人才。

该组织通过社交媒体、在线求职平台、零工平台或自由职业市场接触求职者。在“招聘流程”中，受害者会被要求下载并运行伪装成编程测试题或视频会议故障修复工具的恶意文件。

一旦攻击者获得了受害者电脑的后门权限，便会部署远程访问木马和信息窃取类恶意软件，窃取敏感数据与加密资产。此外，成功入侵个人设备后，还为该组织渗透受害者所在公司创造了条件。

规模惊人：波及百余国三万台设备

公告披露，从 2025 年 12 月至 2026 年 7 月间，WaterPlum 在全球 100 多个国家感染了至少 3 万台设备，并从超过 7000 个加密货币钱包中转走了资金或账户凭证。

损失并不止于加密资产本身。公告称，被盗的身份证明文件可让朝鲜 IT 人员冒充受害者身份赚取收入，敏感信息还可能被用于敲诈勒索。

与朝鲜“外派 IT 人员”计划相关联

公告将 WaterPlum 与朝鲜在外国企业内部安插 IT 人员的整体行动联系起来。日本和美国有关部门评估认为，WaterPlum 的成员与部分朝鲜 IT 工作者均在朝鲜军需工业部的管理下运作。

公告中提到一个案例：一名疑似朝鲜 IT 人员持伪造简历应聘日本一家加密货币交易所的工程师职位，交易所在面试中发现其无法详细解释简历所列技能，存在明显矛盾后拒绝了该申请。另一起较近的案例发生在今年 7 月，据媒体报道，Consensys 曾在不知情的情况下聘请了一名与朝鲜有关联的开发者担任顾问。该公司表示，发现威胁后已终止其访问权限，经调查未发现资产或数据失窃、恶意代码部署或影响用户安全的情况。

尽管多年来各方不断发出警告并加强执法，朝鲜仍持续通过窃取加密货币获取资金，本次曝光的行动只是最新一例。美国联邦调查局（FBI）曾认定朝鲜应对 2025 年 2 月 Bybit 交易所 15 亿美元失窃案负责，而美国有关部门早在 2018 年就对其“潜伏”IT 人员发出过警告。