Una oferta de empleo puede convertirse en la puerta de entrada para un ataque contra una wallet de criptomonedas. Eso ocurrió con una campaña atribuida al grupo WaterPlum, también conocido como Contagious Interview, que infectó al menos 30.000 dispositivos en más de 100 países entre diciembre de 2025 y julio de 2026.

Según un aviso conjunto de autoridades de Japón, Estados Unidos, Australia y Alemania, los atacantes obtuvieron fondos o credenciales de más de 7.000 wallets de criptomonedas y transfirieron al menos 1.700 millones de yenes, equivalentes a USD 10,71 millones, a Corea del Norte. Los principales objetivos fueron desarrolladores, diseñadores web y profesionales de tecnología vinculados con criptomonedas y Web3.

Publicidad

El mecanismo comenzaba con una falsa oportunidad laboral. WaterPlum se presentaba como reclutador de compañías de inteligencia artificial, criptomonedas o tokens no fungibles y contactaba a potenciales candidatos mediante redes sociales, plataformas de empleo y mercados freelance.

Durante el proceso, los supuestos empleadores solicitaban entrevistas técnicas o pruebas de programación. En algunos casos, pedían descargar archivos desde repositorios de código o plataformas de colaboración con el argumento de completar una asignación o solucionar un problema durante una videollamada.

Los archivos contenían malware capaz de instalar herramientas de acceso remoto y programas para extraer información. Entre los datos buscados estaban contraseñas almacenadas en navegadores, capturas de pantalla, pulsaciones del teclado, documentos personales y datos de wallets, incluidas claves privadas y frases semilla.

La operación también estuvo vinculada con las llamadas “laptop farms”. Japón identificó y desmanteló por primera vez una de estas instalaciones, donde computadoras ubicadas en viviendas eran controladas remotamente por trabajadores norcoreanos para conseguir contratos y generar ingresos en moneda extranjera. Las autoridades encontraron conexiones entre estas operaciones y WaterPlum mediante direcciones IP compartidas.

Publicidad

El informe señala además que los atacantes han utilizado herramientas de intercambio facial durante entrevistas virtuales. Ante este tipo de campañas, las autoridades recomiendan no ejecutar código de fuentes desconocidas en equipos que manejen criptomonedas y utilizar un entorno aislado, como una máquina virtual o sandbox, para analizar archivos sospechosos.

Una oferta de empleo escondía un malware que comprometió más de 7.000 wallets