El hackeo de wallets cripto a escala industrial ya tiene autor identificado. Un grupo vinculado a Corea del Norte ha infectado más de 30.000 dispositivos repartidos en 100 países y ha comprometido los datos de 7.000 carteras de criptomonedas, según el comunicado conjunto que la Agencia Nacional de Policía de Japón y el FBI publicaron el viernes. Las direcciones controladas por los atacantes recibieron al menos 10,71 millones de dólares en activos digitales entre diciembre de 2025 y julio de 2026.
La cifra impresiona, pero el método inquieta más. Los investigadores llaman al grupo WaterPlum, también conocido como Contagious Interview, y su especialidad no consiste en reventar la seguridad de una red. Nada de fuerza bruta: consiste en convencer a un desarrollador para que abra él mismo la puerta.
El anzuelo es una oferta de trabajo. Los atacantes se hacen pasar por reclutadores de empresas de inteligencia artificial, de criptomonedas y de tokens no fungibles (los NFT, certificados digitales de propiedad que se popularizaron hace unos años). Contactan a programadores y a profesionales de sistemas por redes sociales, portales de empleo y mercados de trabajo freelance.
Después llega la prueba técnica. Al candidato le piden una entrevista o un ejercicio de programación y le indican que descargue un archivo desde una web para compartir código. El pretexto es una videollamada que se corta o el propio enunciado del ejercicio. El archivo esconde malware, un programa que busca contraseñas guardadas en el navegador, graba las pulsaciones del teclado y toma capturas de pantalla. Con ese material, roba la clave privada que controla la cartera, el código que da poder total sobre el dinero digital.
7.000 carteras comprometidas: qué dicen el FBI y la policía japonesa
Las dos agencias describen una campaña sostenida, no un golpe único. Fueron ocho meses de infecciones silenciosas acumulando accesos a carteras ajenas. Ocho meses dan para mucho: al atacante no le hace falta que la víctima tenga dinero ese día, le basta con que la puerta siga abierta el día que lo tenga.
Por eso los 10,71 millones de dólares se quedan cortos como medida del daño. Las 7.000 carteras comprometidas pueden recibir fondos más adelante, y una clave privada robada no se invalida sola. Quien haya sido víctima necesita mover sus fondos a una cartera nueva, algo que solo hará si antes sabe que está afectado.
Una clave privada robada no caduca: el atacante no necesita el saldo de hoy, le basta con el descuido de mañana.
Ahí asoma otro problema: las agencias han publicado cifras agregadas, sin lista de equipos afectados ni reparto por países. La diferencia entre recuentos lo confirma. Un investigador que pasó 22 meses dentro de los servidores del grupo documentó 1.640 víctimas en 57 países, según el trabajo publicado en agosto. El recuento oficial es aproximadamente 18 veces mayor.
La granja de portátiles de Japón y la 313ª Oficina
El caso va más allá del robo de carteras. La policía japonesa desmanteló la primera granja de portátiles conocida en el país: ordenadores repartidos por casas de colaboradores locales y controlados en remoto por trabajadores norcoreanos que se hacían pasar por residentes japoneses para conseguir contratos freelance. Enviaron al exterior cientos de millones de yenes en criptomonedas, y las direcciones de internet de esos equipos conectaron la granja con WaterPlum.
La atribución oficial es explícita: según ambas agencias, los responsables de WaterPlum y algunos de esos trabajadores norcoreanos operan bajo la 313ª Oficina General del Departamento de la Industria de Municiones, dependiente del Comité Central del Partido de los Trabajadores de Corea. Dicho de otro modo, la frontera entre el espionaje estatal y el robo de dinero se difumina.
En el informe aparece un caso revelador. Un sospechoso norcoreano solicitó en mayo de 2025 un puesto de ingeniería en el exchange japonés bitFlyer con un currículum robado. Los entrevistadores notaron que se negaba a mudarse, que pedía cobrar en criptomonedas y que parecía leer las respuestas de una segunda pantalla. No fue contratado. En campañas anteriores, el grupo ya había usado videollamadas con deepfakes para contactar a personal de alto nivel.
Qué cambia para quien guarda cripto o busca trabajo en el sector
Este caso rompe un patrón. Durante años, los grandes robos atribuidos a grupos norcoreanos apuntaron a puentes entre redes y a exchanges, infraestructuras con miles de millones acumulados. Ahora el objetivo es el eslabón más débil: el ordenador de un desarrollador que, además, suele tener acceso a las claves de los proyectos para los que trabaja.
Corea del Norte lleva años financiándose con criptomonedas robadas, y gobiernos e investigadores han señalado a grupos como Lazarus en campañas de este tipo. Lo nuevo es la mezcla: piratas informáticos, y trabajadores de tecnología desplazados al extranjero, operando bajo la misma estructura estatal.
Conviene leer las cifras con prudencia. 30.000 dispositivos infectados no equivale a 30.000 carteras saqueadas ni a 30.000 personas con pérdidas confirmadas. Un ordenador contaminado es un indicio, no una prueba de robo, y esa distancia es la misma que separa recibir un correo fraudulento de picar en él.
Para el usuario corriente, las recomendaciones de los investigadores caben en dos frentes. El técnico: ejecutar cualquier archivo que llegue de un supuesto reclutador en un entorno aislado o sandbox, un espacio de pruebas separado del resto del ordenador. El de sentido común: mover los fondos importantes a una cartera de hardware, no fiarlo todo a las contraseñas que guarda el navegador y desconfiar de las ofertas que empiezan pidiendo descargar algo.
Tampoco hay que dramatizar el riesgo en España: las agencias no han detallado el reparto geográfico de los equipos y las carteras comprometidas no apuntan a un fallo de Bitcoin o de Ethereum. El agujero estaba en los ordenadores, no en las redes.
La próxima pieza del caso depende de otros gobiernos. Japón ya ha desmantelado su granja y ha identificado a la unidad responsable; falta por ver si más países publican sus propias cifras y si los exchanges endurecen la verificación de los candidatos que contratan en remoto. Mientras tanto, la lección cabe en una frase incómoda: la clave privada no se protege con un antivirus, se protege no ejecutando lo que llega con prisa.
