朝鲜假面试骗局致7000个加密钱包损失1100万美元

日本、美国、澳大利亚和德国的警方与情报机构联合通报称，一个冒充招聘方的朝鲜黑客团伙已感染超过100个国家的至少3万台设备，从7000多个加密货币钱包中窃取资金或凭证，并将约17亿日元（约合1071万美元）转移至朝鲜。

四国七机构联合发布通告

9月18日，来自四个国家的七家机构共同发布联合公告，披露了这一名为"WaterPlum"（安全行业亦称"Contagious Interview"）的朝鲜黑客组织的活动细节。公告签署方包括日本警察厅与国家网络安全办公室、美国联邦调查局（FBI）与国防部网络犯罪中心、澳大利亚信号局下属网络安全中心，以及德国联邦情报局（BND）和国内安全局（BfV）。

据公告披露，该组织在大约2025年12月至2026年7月期间，感染了100多个国家的至少3万台设备。攻击目标集中在网页设计师、工程师以及加密货币、区块链和Web3领域的专业人员。

日本警察厅与FBI评估认为，WaterPlum与部分朝鲜远程IT劳工均隶属于朝鲜劳动党中央委员会下属的军需工业部313总局。调查还发现，两个行动使用了相同的IP地址访问“笔记本农场”、使用众包服务并投递求职申请，机构据此判断两者实为同一体系。

冒充招聘方植入恶意软件

该组织的作案手法具有明显的针对性：成员伪装成AI、加密货币或NFT公司，通过社交媒体、招聘网站和自由职业平台接触开发者，随后安排技术面试或编程测试。候选人会被要求从开发者平台下载文件，用于完成测试任务，或在视频通话中“修复”某个技术故障。公告指出，这些文件中至少携带五个恶意软件家族，其中包括BeaverTail、InvisibleFerret和StoatWaffle——后者专门隐藏在区块链主题的代码仓库中。

调查人员还记录了该团伙成员的异常行为特征：有成员在面试中使用AI换脸软件，随后借口网络问题切断视频，再要求候选人也关闭摄像头；他们借助文本转语音工具练习日语发音；长期只使用免费的机器翻译和AI服务；在朝鲜节日当天，则打游戏、看足球视频，暂停日常攻击活动。

日本首次捣毁境内“笔记本农场”

日本当局首次识别并捣毁了一家由境内协助者运营的“笔记本农场”，这是该国首起同类案件。所谓“笔记本农场”，通常指协助者在家中存放多台工作电脑，供朝鲜、中国或俄罗斯的IT劳工远程操控使用。执法人员在现场发现了数亿日元加密货币流向海外的证据。

此前，日本一家加密货币交易所曾于2025年5月拒绝一名求职者，其简历声称的技能范围广得不合常理，英语水平也与过往经历不符。机构总结的其他可疑信号还包括：拒绝线下面试、要求以加密货币支付报酬、通话时频繁看向第二块屏幕等。

朝鲜关联攻击的更大图景

此次窃取事件只是更大规模攻击行动的一部分。安全机构CertiK的统计显示，2025年全球加密货币被盗损失中，约60%（约20.6亿美元）与朝鲜关联组织有关。今年4月造成的2.85亿美元损失的Drift Protocol攻击事件，其背后攻击者曾伪装成量化交易公司长达六个月。

风险提示： 本文仅为公开信息整理，不构成任何投资建议。加密货币市场波动较大，请谨慎评估自身风险承受能力，并做好资产安全防护。