Por Canuto  

Una investigación multinacional reveló que el grupo WaterPlum comprometió más de 30.000 dispositivos y sustrajo registros de más de 7.000 billeteras cripto mediante falsas ofertas laborales dirigidas a desarrolladores. Las autoridades también vincularon la operación con trabajadores informáticos norcoreanos y una red de granjas de portátiles en Japón.

***

  • WaterPlum infectó más de 30.000 dispositivos en más de 100 países y regiones, con más de 7.000 registros de billeteras cripto robados.
  • Los atacantes se hicieron pasar por empresas de criptomonedas, inteligencia artificial y NFT para distribuir malware durante entrevistas y pruebas de programación.
  • Japón identificó una granja de portátiles y un intento fallido de contratación en bitFlyer vinculados a presuntas operaciones informáticas norcoreanas.

 

 

Un grupo de hackers vinculado a Corea del Norte comprometió más de 30.000 dispositivos en más de 100 países y regiones, mientras buscaba información relacionada con criptomonedas y activos digitales.

La operación, atribuida al grupo WaterPlum, permitió sustraer registros de más de 7.000 billeteras y puso bajo presión los procesos de contratación remota utilizados por compañías de tecnología, blockchain y Web3.

Según las autoridades de Japón y otras naciones, las infecciones ocurrieron aproximadamente entre diciembre de 2025 y julio de 2026, y afectaron principalmente a diseñadores web, ingenieros y profesionales vinculados con la economía digital.

La Agencia Nacional de Policía de Japón informó el 18 de septiembre que su investigación, coordinada junto con la Oficina Nacional de Ciberseguridad, el FBI, el Centro de Delitos Cibernéticos del Departamento de Defensa de Estados Unidos y agencias de Australia y Alemania, reconstruyó los métodos empleados por los atacantes.

Las autoridades japonesas y estadounidenses evaluaron que WaterPlum, asociado con la actividad conocida como Contagious Interview, mantiene vínculos con la Oficina 313 del Departamento de Industria de Armamento del Partido de los Trabajadores de Corea. Esa misma estructura también habría estado relacionada con algunos trabajadores informáticos norcoreanos que buscaban empleos en el extranjero para generar divisas, aunque la atribución corresponde a la evaluación de los investigadores y no a una sentencia judicial.

Las billeteras controladas por WaterPlum recibieron al menos JPY 1.700 millones, equivalentes a aproximadamente USD $10,7 millones según el tipo de cambio utilizado por las autoridades japonesas. El volumen de dispositivos afectados y la dispersión geográfica de las víctimas muestran que la campaña no se limitó a un objetivo empresarial concreto, sino que utilizó mecanismos de contratación digital para ampliar el alcance del robo.

Falsas ofertas de empleo como puerta de entrada

WaterPlum contactaba a desarrolladores y otros trabajadores de tecnología mediante redes sociales, sitios de empleo, plataformas de trabajos temporales y mercados freelance. Los operadores se presentaban como empresas legítimas de inteligencia artificial, criptomonedas o NFT, o como intermediarios de selección de personal, y ofrecían oportunidades que parecían suficientemente atractivas para superar el primer filtro de los candidatos.

El ataque avanzaba durante entrevistas técnicas o pruebas de programación, cuando los postulantes recibían instrucciones para descargar archivos alojados en plataformas de desarrollo colaborativo y repositorios de código. En algunos casos, los delincuentes afirmaban que el programa servía para diagnosticar fallas en una herramienta de videoconferencias o para completar una tarea exigida por el supuesto empleador.

Los investigadores identificaron paquetes NPM maliciosos que contenían BeaverTail, InvisibleFerret, OtterCookie, OtterCandy y StoatWaffle. Después de infectar el equipo, esas herramientas podían establecer puertas traseras, facilitar el acceso remoto y permitir el movimiento dentro de los sistemas afectados, lo que convertía una interacción aparentemente laboral en una intrusión persistente.

Entre los datos buscados figuraban credenciales almacenadas en navegadores, pulsaciones de teclado, capturas de pantalla y contenido del portapapeles, además de documentos de identidad guardados en los equipos o en carpetas compartidas. Las claves privadas y las frases semilla de billeteras cripto estaban entre los objetivos más sensibles, porque su exposición puede permitir el control directo de los fondos sin necesidad de vulnerar una cadena de bloques.

La conexión con trabajadores informáticos norcoreanos

Los investigadores japoneses afirmaron haber desmantelado la primera granja de portátiles doméstica conocida en el país relacionada con trabajadores informáticos norcoreanos. El esquema consistía en mantener computadoras dentro de la vivienda de un facilitador local, mientras los trabajadores las controlaban a distancia desde otros lugares y utilizaban identidades de personas residentes en Japón para solicitar contratos.

En algunos casos, los pagos llegaban a cuentas bancarias administradas por los facilitadores, quienes después transferían el dinero. La Agencia Nacional de Policía indicó que los trabajadores vinculados a la investigación enviaron al extranjero criptomonedas y otros activos por cientos de millones de yenes, mientras ocultaban que sus actividades se realizaban desde Corea del Norte, China o Rusia, con grupos más pequeños en África y el Sudeste Asiático.

Las granjas de portátiles y los servidores privados virtuales permitían disimular la ubicación real de los trabajadores mientras estos aceptaban empleos mediante servicios de crowdsourcing nacionales y extranjeros. El modelo también dificultaba que una empresa detectara la diferencia entre la ubicación declarada por un candidato, la dirección IP utilizada y el lugar desde donde se ejecutaba realmente el trabajo.

Estados Unidos ha procesado operaciones comparables: dos hombres recibieron sentencias de 18 meses de prisión en 2026 por ayudar a trabajadores norcoreanos a acceder remotamente a portátiles empresariales. El Departamento de Justicia sostuvo que esos esquemas involucraron a casi 70 compañías y generaron más de USD $1,2 millones, mientras otros procesos buscaron confiscar fondos digitales vinculados con los pagos.

El caso de bitFlyer y las señales de alerta

La investigación japonesa también identificó un intento separado de obtener un puesto de ingeniería en el exchange bitFlyer, registrado en mayo de 2025. El solicitante presentó un currículum bajo la identidad de otra persona, utilizó Gmail como contacto y accedió al sistema de postulaciones mediante servicios de VPN y proxy como NETNUT Proxy, Astrill VPN y High Speed Rabbit Proxy.

Durante una entrevista en línea, el candidato afirmó ser malasio y vivir en Finlandia, mientras describía experiencia en programación, blockchain, criptomonedas y servicios en la nube. También incluyó estudios en una universidad europea y empleos en distintas ciudades de Europa y Asia, pero los investigadores observaron que podía responder preguntas sencillas y evitaba o contestaba de forma abstracta las consultas técnicas más detalladas.

La entrevista presentó otras señales inusuales, como revisiones repetidas de otro monitor, voces ocasionales de fondo e interrupciones en la transmisión de video. El candidato además se resistió a mudarse a Japón e insistió en recibir el salario en criptomonedas, factores que ayudaron a bitFlyer a identificar el riesgo antes de formalizar la contratación; la empresa no reportó daños.

Las autoridades encontraron coincidencias entre las direcciones IP utilizadas en los ataques de WaterPlum, las conexiones de trabajadores norcoreanos a granjas de portátiles y el intento de contratación en bitFlyer. La Agencia Nacional de Policía y el FBI evaluaron que la Oficina 313 tuvo un papel central en ambas clases de actividad, aunque el vínculo descrito corresponde a una valoración de inteligencia y no reemplaza la determinación de responsabilidades individuales.

El caso también ilustra por qué los procesos de contratación en sectores cripto requieren controles que vayan más allá de revisar un currículum. Las autoridades japonesas recomendaron comprobar la ubicación, las cualificaciones y los datos de contacto de los candidatos, verificar sus capacidades técnicas durante entrevistas y examinar cualquier discrepancia entre la residencia declarada y la dirección IP de la solicitud.

Fondos confiscados y riesgos para el ecosistema

Las autoridades estadounidenses han seguido la ruta financiera de algunos esquemas de empleo mediante investigaciones de confiscación de criptomonedas. En septiembre, un juez federal ordenó confiscar cerca de USD $212.700 en USDC y USDT rastreados hasta direcciones utilizadas para pagar a trabajadores informáticos norcoreanos, dentro de un esfuerzo más amplio que involucra más de USD $7,74 millones en activos digitales.

Los fiscales señalaron que la billetera confiscada recibió alrededor de USD $158.123 en USDC desde al menos 10 direcciones de pago y USD $54.574 en USDT desde al menos otras cuatro. Según la acusación, los trabajadores ocultaban sus identidades y ubicaciones al aceptar empleos tecnológicos en el extranjero, y después canalizaban parte de las ganancias mediante criptomonedas.

La investigación japonesa se suma a advertencias previas sobre métodos de acercamiento similares dentro de la industria. Taylor Monahan, desarrolladora de MetaMask e investigadora de seguridad, afirmó que desarrolladores vinculados a Corea del Norte habían trabajado durante siete años en más de 40 proyectos DeFi, mientras otros investigadores describieron ofertas laborales, correos, mensajes profesionales, llamadas de Zoom y entrevistas como rutas recurrentes de contacto.

Un intento parecido también fue detectado en Kraken, donde un solicitante sospechoso de tener vínculos con Corea del Norte participó en una entrevista con un nombre distinto al del currículum y aparentemente recibió asistencia en tiempo real. La combinación de identidades inconsistentes, presión por mantener el trabajo remoto, exigencias de pagos en criptomonedas y respuestas técnicas irregulares puede ofrecer a las empresas señales tempranas para detener una intrusión antes de que afecte fondos o infraestructura.

Para las compañías de criptomonedas, el riesgo no se limita al robo de activos en una billetera individual, porque un dispositivo comprometido puede abrir el camino hacia credenciales, repositorios, documentos de clientes y sistemas internos. El caso WaterPlum deja una conclusión concreta: una entrevista laboral puede convertirse en una superficie de ataque cuando la confianza en el candidato sustituye la verificación independiente del software, la identidad y la ubicación.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.

 


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados