BTC 81 386 $ 
ETH 2 638 $ 
BNB 770,83 $ 
XRP 1,44 $ 
SOL 111,60 $ 
TRX 0,3380 $ 
ZEC 1 530 $ 
HYPE 92,43 $ 
DOGE 0,0891 $ 
XMR 576,62 $ 
FBI i japońska Agencja Policji Narodowej (NPA) formalnie przypisały 18 września 2026 r. kampanię malware WaterPlum północnokoreańskiemu 313 General Bureau. Według wspólnego ostrzeżenia obu służb atak objął ponad 30 000 urządzeń w ponad 100 krajach, a dane z ponad 7000 portfeli kryptowalut zostały skradzione; portfele kontrolowane przez grupę otrzymały co najmniej 1,7 mld jenów japońskich, czyli około 10,71 mln dolarów.
Wspólny komunikat służb, opublikowany jako biuletyn na stronie IC3, stanowi, że zarówno hakerzy WaterPlum, jak i część północnokoreańskich pracowników IT działają podlegle 313 General Bureau, czyli wydziałowi przemysłu zbrojeniowego podległemu Komitetowi Centralnemu Partii Pracy Korei. To pierwsze formalne połączenie obu schematów: kampanii szpiegowskiej i infiltracji rynku pracy.
„Aktorzy WaterPlum podszywają się pod potencjalnych pracodawców, aby atakować programistów i specjalistów IT na całym świecie pod pretekstem atrakcyjnych ofert pracy”, napisali autorzy biuletynu.
Fałszywi rekruterzy i kradzione klucze
Kampania trwała od grudnia 2025 r. do lipca 2026 r. Grupa tworzyła fałszywe profile rekruterów firm AI, kryptowalut i NFT na portalach społecznościowych, tablicach ofert pracy i giełdach freelancerów. Ofiary zapraszano do pozornych rozmów kwalifikacyjnych lub zadań programistycznych zawierających malware. Według biuletynu oprogramowanie kradło hasła przeglądarki, zrzuty ekranu, naciśnięcia klawiszy oraz klucze prywatne portfeli krypto. Używane odmiany złośliwego oprogramowania to m.in. BeaverTail, InvisibleFerret, OtterCookie, OtterCandy i StoatWaffle.
Laptop farm w Japonii
Śledczy podają też, że japońska policja zamknęła pierwszy znany w tym kraju tzw. laptop farm: komputery trzymane były w domach lokalnych pomagierów i zdalnie kontrolowane przez północnokoreańskich pracowników udających japońskich rezydentów, aby zdobywać kontrakty freelancerskie. Jak podają śledczy, ci pracownicy wysłali za granicę krypto o wartości kilkuset milionów jenów. Te informacje pochodzą od śledczych, nie z samego biuletynu.
Co to oznacza dla posiadaczy krypto
Atak nie wymagał podatności w portfelu czy giełdzie, wystarczyło otworzyć plik z fałszywej oferty pracy. Klucze prywatne trzymane w przeglądarce lub na dysku były celem numer jeden, więc ostrożność wobec nieznanych rekruterów i zadań testowych to obecnie podstawowa higiena bezpieczeństwa dla każdego, kto przechowuje krypto na komputerze. Nie ogłoszono żadnych aresztowań ani odzyskania środków.
