WaterPlum 黑客从 7,000 个钱包中窃取 10.7M 美元 [2026]

朝鲜的加密货币窃取行动刚刚翻开了新篇章，而这一篇章是通过招聘公告栏而非交易所的热钱包展开的。一份发布于 2026 年 9 月 18 日左右、并在 9 月 26 日期间被广泛报道的联合执法建议书命名了一场名为 WaterPlum（也被追踪为 Contagious Interview）的活动。该活动感染了 100 多个国家的至少 30,000 台设备，并从 7,000 多个加密货币钱包中提取了资金或账户凭据。战利品：在 2025 年 12 月至 2026 年 July 之间，约 17 亿日元（约合 1,071 万美元）被汇回平壤。

与 2025 年 2 月震惊行业的 15 亿美元 Bybit 窃案相比，这个美元数字显得微不足道。但其运作机制值得研究。WaterPlum 并没有破解智能合约或对交易所进行暴力破解。它让开发人员、设计师和加密行业的员工在完全看起来像正常的面试过程中，自愿在自己的机器上运行代码。这既是一个助记词安全和终端安全问题，也是一个加密货币问题，且其传播速度超过了大多数公司的招聘流程所能适应的速度。

联合执法建议书的实际内容

据 CyberSecurityNews 和 CryptoTimes 报道，该建议书是由日本警察厅、FBI、美国国防部网络犯罪中心、澳大利亚网络安全中心和德国当局共同努力的结果。该文件直言不讳地描述了规模。引用自 BleepingComputer 的原文：“WaterPlum 攻击者已感染了 100 多个国家的至少 30,000 台设备，并从 7,000 多个加密货币钱包中外泄了资金或账户凭据。”第二行指出，WaterPlum 攻击者“将 17 亿日元 (JPY)（相当于 1,071 万美元）的加密货币资产转移到了朝鲜民主主义人民共和国 (DPRK)。”

措辞中有两点值得注意。首先，建议书在描述 7,000 多个受影响钱包时，将“资金”与“账户凭据”分开。这意味着受损钱包的真实数量可能包括那些攻击者已获取登录详情或助记词片段、但在编写建议书时尚未清空余额的账户。其次，1,071 万美元的数字仅涵盖已确认转移到朝鲜控制地址的资金。尚未变现的被盗凭据不计入该总额，因此一旦法医跟进调查追上案件进展，受害者的真实损失可能会更高。

虚假工作面试剧本内部探秘

WaterPlum 的方法完全依赖于社会工程而非技术漏洞。操作者冒充招聘人员或招聘经理，通常以软件开发人员、网页设计师以及已经在加密货币、区块链或 Web3 领域工作的人员为目标。推销过程遵循熟悉的路线：关于高薪远程合同的入境消息、友好的视频通话，然后是应聘者必须完成的“技术评估”以推进流程。

该评估就是载荷交付机制。受害者被要求克隆一个代码库、安装一个包或运行“招聘人员”提供的脚本来完成编码挑战。一旦执行，代码就会安装能够采集凭据、浏览器会话数据和任何类似钱包访问权限的恶意软件，然后悄悄将其发回 WaterPlum 的基础设施，随后将价值路由至朝鲜。没有人需要点击网络钓鱼链接或落入虚假登录页面的陷阱。他们只需要有足够强烈的求职欲望去运行别人的代码，而这正是真实的面试本身就会要求应聘者做的事情。