Ein scheinbar attraktives Jobangebot kann zur Falle für Krypto-Wallets werden. Sicherheitsbehörden aus Deutschland, Japan, den USA und Australien warnen vor der nordkoreanischen Hackergruppe WaterPlum. Sie soll Bewerber mit gefälschten IT-Interviews zum Ausführen schädlicher Dateien gebracht und dadurch mindestens 30.000 Geräte in mehr als 100 Ländern kompromittiert haben.
Nach der gemeinsamen Warnung wurden Guthaben oder Zugangsdaten von mehr als 7.000 Kryptowallets abgegriffen. Rund 1,7 Milliarden Yen, umgerechnet etwa 10,7 Millionen US-Dollar, seien nach Nordkorea transferiert worden. Die Zahlen beziehen sich auf den von den Behörden untersuchten Zeitraum von Dezember 2025 bis Juli 2026. Sie sind keine Schätzung aller jemals durch die Gruppe verursachten Schäden.
Der Angriff beginnt mit einem Bewerbungsgespräch
WaterPlum, auch unter dem Namen „Contagious Interview“ bekannt, gibt sich nach Angaben der Behörden als Personalvermittler oder Mitarbeiter seriöser KI-, Krypto- und NFT-Unternehmen aus. Die Täter kontaktieren Entwickler über soziale Netzwerke, Jobportale und Freelancer-Plattformen. Das Angebot soll glaubwürdig und fachlich passend wirken.
Im angeblichen Auswahlverfahren folgt dann ein technischer Test. Bewerber sollen ein Projekt herunterladen, Programmcode ausführen oder ein vorgebliches Problem mit einer Videokonferenz beheben. In Wirklichkeit können solche Dateien Schadsoftware enthalten. Wer sie auf dem eigenen Rechner startet, öffnet den Angreifern unter Umständen den Zugang zu Passwörtern, Wallet-Daten und Arbeitsunterlagen.
Die Behörden nennen unter anderem BeaverTail, InvisibleFerret und OtterCookie als eingesetzte Schadprogramme. Sie können Informationen aus Browsern auslesen, Tastatureingaben erfassen, Screenshots erstellen und aus der Ferne auf Systeme zugreifen. Nicht jede infizierte Maschine bedeutet automatisch einen Verlust an Kryptowerten. Bereits gestohlene Zugangsdaten können aber spätere Angriffe ermöglichen.
Deutschland warnt ausdrücklich mit
An der internationalen Mitteilung sind auf deutscher Seite Bundesnachrichtendienst und Bundesamt für Verfassungsschutz beteiligt. Das macht den Fall auch für hiesige Entwickler, Krypto-Unternehmen und Freelancer relevant. Die Warnung nennt Opfer in Europa, weist aber keine gesonderte Zahl für Deutschland aus. Aus der weltweiten Gesamtzahl lässt sich deshalb keine deutsche Schadenssumme ableiten.
Die Behörden ordnen WaterPlum einem nordkoreanischen Staatsapparat zu. Ihre Zuschreibung stützt sich auf gemeinsame Erkenntnisse der beteiligten Sicherheitsstellen. Der Fall zeigt, wie gezielt Angreifer dort ansetzen, wo Menschen mit Wallets und Unternehmenssystemen zugleich arbeiten.
Die zweite Gefahr trifft ganze Unternehmen
Ein infizierter Privat- oder Arbeitsrechner kann mehr als nur eine einzelne Wallet gefährden. Entwickler besitzen häufig Zugang zu Quellcode, Cloud-Diensten, internen Chats und Schlüsseln für Produktionssysteme. Gelingt der Einstieg über eine Bewerbung, kann daraus ein Angriff auf Arbeitgeber oder Kunden werden.
Die gemeinsame Warnung beschreibt zudem Überschneidungen mit einem weiteren nordkoreanischen Muster. Personen mit gefälschter Identität bewerben sich selbst als IT-Kräfte bei ausländischen Unternehmen. Entwendete Ausweisdaten aus dem WaterPlum-Angriff können für solche Identitätswechsel missbraucht werden. Damit wird aus einem Wallet-Diebstahl auch ein Risiko für Personalprüfung und Lieferkette.
Was Anleger und Entwickler daraus lernen können
Der Angriff nutzt nicht eine Schwäche von Bitcoin oder einer bestimmten Blockchain. Er nutzt Vertrauen in einen vermeintlichen Arbeitgeber. Für private Anleger heißt das, Wallet-Zugänge und Seed-Phrases nicht auf einem Rechner aufzubewahren, auf dem unbekannte Testprojekte ausgeführt werden. Wer beruflich Code prüft, sollte Aufgaben in isolierten Umgebungen öffnen und die Identität eines Unternehmens über unabhängig recherchierte Kontakte verifizieren.
Warnzeichen sind ungewöhnliche Aufforderungen zum Starten fremder Programme, Druck während eines Video-Interviews und Links zu Projekten, deren Herkunft sich nicht überprüfen lässt. Ein seriöser Bewerbungsprozess verlangt keine Wallet-Freigabe und keine Seed-Phrase. Ist ein verdächtiges Projekt bereits gestartet worden, sollten Betroffene das Gerät vom Netz trennen, Passwörter von einem sauberen Gerät ändern und ihre Wallet-Sicherheit fachkundig prüfen lassen.
Der eigentliche Aufreger ist die Tarnung als Chance
Die Täter nutzen den Berufseinstieg und die Suche nach besseren Aufträgen als Einfallstor. Gerade in der Krypto-Branche, wo Fernarbeit und technische Tests üblich sind, kann eine überzeugend inszenierte Bewerbung besonders wirksam sein. Die behördlich dokumentierten Zahlen machen deutlich, dass diese Masche kein Einzelfall ist. Sicherheit beginnt hier vor dem ersten Download, nicht erst beim Schutz der Wallet.
Quellen
- Gemeinsame Behördenwarnung zu WaterPlum, veröffentlicht vom Australian Cyber Security Centre
- Japanisches Außenministerium – Gemeinsame Zuschreibung und Warnung
Disclaimer
Keine Anlageberatung: Dieser Beitrag dient ausschließlich der journalistischen Information und Sicherheitseinordnung. Kryptowährungen können erheblich im Wert schwanken; ein Totalverlust ist möglich.
Schreibe einen Kommentar
Du musst angemeldet sein, um einen Kommentar abzugeben.