Hackers norcoreanos roban criptomonedas con falsas ofertas laborales

El currículum perfecto y la entrevista impecable pueden ser la parte más cara de un ataque informático.

Qué pasó

El 18 de septiembre de 2026, siete agencias de Japón, Estados Unidos, Australia y Alemania —entre ellas la Policía Nacional de Japón (NPA) y el FBI— publicaron un aviso conjunto atribuyendo a un grupo norcoreano, llamado “WaterPlum” y conocido también como “Contagious Interview” (entrevista contagiosa), una campaña de robo de criptomonedas mediante falsas ofertas de trabajo.

Según el aviso, entre diciembre de 2025 y julio de 2026 el grupo infectó al menos 30.000 dispositivos en más de 100 países y sustrajo fondos o credenciales de más de 7.000 billeteras de criptomonedas, por un total de al menos 1.700 millones de yenes japoneses, unos US$10,71 millones, transferidos a Corea del Norte.

El método: los atacantes se hacen pasar por reclutadores de empresas de inteligencia artificial, criptomonedas o NFT (token no fungible, un certificado digital de propiedad sobre un archivo) en LinkedIn, portales de empleo y plataformas freelance. Durante una “prueba técnica” o para “arreglar un error” en la videollamada, piden descargar un archivo de un repositorio de código. Es un paquete de NPM —el gestor con el que los programadores instalan librerías ajenas— con malware oculto, es decir, software diseñado para dañar o espiar sin permiso, que abre una puerta trasera y roba contraseñas, capturas de pantalla y las claves privadas o frases semilla de las billeteras cripto del equipo infectado.

La NPA y el FBI evalúan que WaterPlum opera bajo la Oficina General 313 del Departamento de Industria Militar del Partido del Trabajo de Corea.

El antecedente que ya costó US$620 millones

Este guion no es nuevo. En marzo de 2022, un ingeniero de Sky Mavis —la empresa detrás del videojuego Axie Infinity— aceptó una oferta laboral de una compañía que resultó no existir y descargó, durante el proceso de entrevistas, un documento con software espía. Eso le permitió comprometer cinco de los nueve validadores del puente Ronin y retirar cerca de US$620 millones en criptomonedas, el mayor robo cripto de la historia hasta entonces. En abril de ese año, el Departamento del Tesoro de Estados Unidos atribuyó el ataque al Lazarus Group norcoreano.

Lo que cambia: de un blanco a miles

La diferencia con Ronin no es el gancho, es la escala. Ahí hubo un objetivo de altísimo valor —las llaves de un puente entre cadenas de bloques— y un solo empleado engañado. Acá el objetivo son programadores freelance comunes, uno por uno, con montos individuales mucho menores pero multiplicados por miles de víctimas. Tampoco hay protocolo comprometido: nadie vulneró un contrato inteligente ni un puente. Lo que se vulneró fue la computadora personal de cada programador, y con ella, la billetera que tenía adentro.

Los dos disfraces del mismo país

El aviso describe una segunda operación que la cobertura en español —incluida la nota de origen de esta pieza— no menciona. Además de WaterPlum haciéndose pasar por empleador, el documento dedica media docena de páginas a trabajadores norcoreanos que se hacen pasar por empleados: consiguen contratos remotos con identidad falsa, operan desde “granjas de laptops” —viviendas donde un cómplice local mantiene encendidas las computadoras que ellos controlan a distancia— y giran el salario hacia Corea del Norte. Esa operación movió “varios cientos de millones de yenes” al exterior, cifra que el aviso no convierte a dólares y que es distinta de los US$10,71 millones de WaterPlum.

Es el mismo país jugando los dos lados de una entrevista: en un caso finge contratar, en el otro finge ser contratado. El aviso conecta ambas porque comparten direcciones IP al acceder a las granjas de laptops y al postular a un puesto en un exchange japonés, un vínculo que ninguna nota en español revisada para esta pieza recogió.

Lo que el aviso no prueba, solo afirma

Vale decirlo con la misma claridad con la que se cuenta lo anterior: es una evaluación de inteligencia de siete gobiernos, no una sentencia judicial. La vinculación con la Oficina 313 se presenta como una “evaluación” de la NPA y el FBI, sin publicar la evidencia que la sostiene. Y “Contagious Interview” es un nombre que Unit 42, de Palo Alto Networks, acuñó en noviembre de 2023 para una actividad similar, así que parte de esto puede ser la confirmación oficial, tardía, de ataques ya identificados por separado, y no una ola enteramente nueva.

Qué significa para quien mira desde afuera

El riesgo no depende de vivir en Japón, Estados Unidos o Europa: cualquier programador freelance que trabaje con cadenas de bloques es un blanco posible, sin importar el país. Tampoco depende de ser ingenuo: el aviso describe entrevistas con software de intercambio de rostro por inteligencia artificial y currículums fabricados para parecer creíbles. Ante la sospecha de un dispositivo infectado, la recomendación de las agencias no es “cambiar la contraseña”: es asumir la billetera comprometida, crear una nueva en otro equipo y mover ahí los fondos cuanto antes, porque una clave privada que pasó por una máquina infectada no vuelve a ser confiable y, a diferencia de una transferencia bancaria, una transacción cripto enviada a la dirección equivocada no se puede revertir.

Lo que todavía no sabemos

No hay forma de saber, con lo publicado, cuánto suman en dólares los “varios cientos de millones de yenes” de la operación de trabajadores remotos, porque el aviso no lo convierte. Tampoco si hubo víctimas en América Latina: el documento habla de “más de 100 países” sin nombrarlos todos. Y no está claro cuánto del dinero robado sigue rastreable en la cadena de bloques o si alguna agencia obtuvo una orden para congelarlo, algo que en el caso de Ronin sí ocurrió parcialmente.