Sju myndigheter i fyra länder bakom varningen

Japans nationella polismyndighet NPA, Japans nationella cybersäkerhetskontor NCO, amerikanska FBI, det amerikanska försvarsdepartementets it-brottscenter DC3, Australiens cybersäkerhetscenter ACSC inom Australian Signals Directorate samt tyska underrättelsetjänsten BND och författningsskyddet BfV står bakom en gemensam varning daterad den 18 september om en nordkoreansk aktörsgrupp som myndigheterna kallar WaterPlum, enligt dokumentet.

Gruppen är sedan tidigare känd under namnet Contagious Interview. NPA och FBI bedömer att både WaterPlums aktörer och en del nordkoreanska it-arbetare lyder under 313:e generalbyrån i munitionsindustridepartementet, underställt arbetarpartiets centralkommitté, skriver myndigheterna.

Angreppet börjar med ett jobberbjudande

Måltavlan är utvecklare, webbfrilansare och specialister på krypto, blockkedjor och Web3. Aktörerna utger sig för att vara arbetsgivare inom AI, krypto eller NFT, ibland genom rekryteringsfirmor, och kontaktar jobbsökande via sociala medier, jobbplattformar, gig-plattformar och frilansmarknadsplatser, skriver myndigheterna.

Nästa steg är en teknisk videointervju eller ett kodtest. Där instrueras den sökande att ladda ner och köra filer som ligger på utvecklarplattformar och kodarkiv — antingen som en del av uppgiften eller för att felsöka ett påstått problem med videomötet. Filerna innehåller skadlig kod, enligt varningen.

Varningen namnger fem skadekodsfamiljer: BeaverTail, InvisibleFerret, OtterCookie, OtterCandy och StoatWaffle. De läggs in i paket för Node.js-pakethanteraren npm. StoatWaffle använder dessutom kodprojekt med blockkedjetema som lockbete, där en förberedd konfigurationsfil för Visual Studio Code kör kod automatiskt så snart mappen öppnas och litas på, står det i dokumentet.

Det som förs ut är inloggningsuppgifter sparade i webbläsaren, urklipp, tangenttryckningar, skärmbilder, plånboksdata som privata nycklar (private keys) och seed-fraser, samt bilder på id-handlingar som pass och körkort, enligt myndigheterna.

Omfattningen

Från omkring december 2025 till juli 2026 utnyttjades minst 30 000 datorer i över 100 länder. Medel eller kontouppgifter fördes bort från över 7 000 kryptoplånböcker, och minst 1,7 miljarder yen — motsvarande 10,71 miljoner dollar — i kryptotillgångar fördes över till Nordkorea, enligt NPA:s uppgifter i varningen.

Myndigheterna beskriver också angränsande verksamhet: nordkoreanska it-arbetare som tar uppdrag under falsk identitet via så kallade laptop farms hos medhjälpare i andra länder. I maj 2025 sökte en person som bedöms vara en nordkoreansk it-arbetare en ingenjörstjänst hos en japansk kryptobörs med ett förfalskat cv. Börsen reagerade på avvikelserna, anställde inte personen och ingen skada uppstod, skriver myndigheterna.

Vad det betyder för dig med krypto på egen plånbok

Poängen med angreppet är att det aldrig behöver ta sig förbi plånbokens egen säkerhet. Det räcker att skadlig kod får köra på samma dator som håller den privata nyckeln eller seed-frasen. En programvaruplånbok på en arbetsdator som också används för jobbsök, kodtest och nedladdade projekt delar alltså skyddsnivå med resten av maskinen.

Det är därför separationen är det som gör skillnad. En hårdvaruplånbok (hardware wallet) håller nyckeln i en egen enhet och kräver att varje transaktion bekräftas på enhetens egna knappar eller skärm, så en infekterad dator kan varken läsa nyckeln eller signera i tysthet. Vi går igenom alternativen i vår guide till kryptoplånböcker, där Ledger, Trezor och Tangem är de hårdvaruenheter vi recenserat.

Den som ändå använder en programvaruplånbok som MetaMask eller Phantom till vardags har nytta av att hålla sparandet på en annan enhet än den som öppnar okända projekt.

Myndigheternas konkreta råd

Varningen listar en rad åtgärder riktade till utvecklare och jobbsökande, och de går att sammanfatta så här:

  • Kör aldrig kod från okända tredje parter på en dator som hanterar kryptotillgångar eller personuppgifter. Kör okänd kod bara i en sandlåda eller virtuell maskin, och kontrollera först att den inte innehåller oläsbara eller obfuskerade avsnitt.
  • Var särskilt vaksam på kommandon och skript som innehåller strängar som curl, base64, -enc, mshta, iwr -uri eller hidden. Kör dem inte om du inte förstår exakt vad de gör.
  • Öppna inte okända projekt i Visual Studio Code, eller öppna dem i Restricted Mode genom att svara nej på frågan om du litar på upphovspersonen till filerna i mappen. Läs igenom projektets tasks-fil innan du litar på den.
  • Koppla omedelbart bort en enhet från internet om antivirusprogrammet slår larm eller du misstänker intrång.
  • Utgå från att plånboksuppgifter kan ha förts ut redan innan koden upptäcktes. Skapa en ny plånbok på en annan enhet, flytta över tillgångarna och förvara den nya seed-frasen offline.
  • Säkerhetskopiera det som behövs och installera om operativsystemet helt, eftersom ouptäckt skadekod kan ligga kvar.

Rådet om en ny plånbok är det som är lättast att skjuta upp och sämst att skjuta upp. Har en nyckel legat på en dator där okänd kod har körts är nyckeln att betrakta som röjd, oavsett om något har försvunnit än. Fler fall av samma typ samlar vi under säkerhet och bedrägerier.