Un rapporto afferma che il gruppo di hacker nordcoreano WaterPlum si sia spacciato per un'agenzia di reclutamento prendendo di mira aziende di criptovalute, IA e NFT, infettando 30.000 dispositivi e rubando almeno 10,7 milioni di dollari da oltre 7.000 wallet crypto tra dicembre 2025 e luglio 2026.

Secondo quanto affermato, WaterPlum ha usato falsi approcci di reclutamento per raggiungere sviluppatori software e professionisti IT, presentando file dannosi come esercizi di programmazione o correzioni necessarie per software di videoconferenza. La campagna avrebbe preso di mira lavoratori collegati a società crypto, di IA e NFT.

Il rapporto ha descritto un'ampia operazione transfrontaliera, sostenendo che almeno 30.000 dispositivi in oltre 100 Paesi siano stati infettati. Ha inoltre affermato che fondi o credenziali di account siano stati sottratti da oltre 7.000 wallet di criptovalute tra dicembre 2025 e luglio 2026, per perdite totali di almeno 10,7 milioni di dollari.

Tuttavia, il supporto pubblicamente verificabile per tali affermazioni resta limitato. Le verifiche successive disponibili non hanno identificato un rapporto pubblico corrispondente, un avviso delle forze dell'ordine o un registro di analisi blockchain di rilievo che confermi in modo indipendente il nome WaterPlum, la scala delle vittime riportata o le perdite dichiarate.

Rapporti separati su altri gruppi di hacker legati alla Corea del Nord hanno mostrato tattiche di ingegneria sociale simili, rivolte ai lavoratori dell'industria crypto, tra cui false offerte di lavoro, test tecnici e richieste fraudolente di videoriunioni usate per distribuire malware. Questo contesto supporta il più ampio schema di minaccia, ma non conferma in modo indipendente le specifiche affermazioni su WaterPlum né stabilisce che siano coinvolti gli stessi attori.

Perché è importante

Anche senza una piena verifica pubblica, il rapporto evidenzia un rischio persistente per il settore crypto: gli aggressori non devono violare direttamente una rete blockchain se riescono a compromettere le persone che sviluppano, gestiscono o accedono ai wallet e ai sistemi interni. Le campagne di ingegneria sociale rivolte a sviluppatori e personale tecnico possono esporre chiavi private, credenziali del browser e accessi aziendali privilegiati.

Il caso mette inoltre in luce una sfida ricorrente per il livello istituzionale del settore. Con l'espansione delle assunzioni, della collaborazione da remoto e dei flussi di lavoro con appaltatori da parte delle aziende crypto, le campagne malware basate su falsi reclutamenti e riunioni potrebbero diventare una via d'accesso più efficace agli ambienti di trading, custodia e tesoreria rispetto agli attacchi diretti on-chain.