Hacker Korea Utara Bobol 7.000 Dompet Kripto, Modusnya Lowongan Kerja Palsu

Liputan6.com, Jakarta - Hacker yang dikaitkan dengan Korea Utara menggunakan modus tawaran pekerjaan palsu untuk menyusup ke perangkat korban. Serangan ini disebut telah menginfeksi sedikitnya 30.000 komputer di lebih dari 100 negara.

Dikutip dari CoinMarketCap, Senin (21/9/2026), peringatan mengenai serangan tersebut diterbitkan melalui advisori bersama pada 18 September 2026 oleh tujuh lembaga dari empat negara, termasuk FBI Amerika Serikat dan Badan Kepolisian Nasional Jepang.

Dari serangan tersebut, saldo atau kredensial dari lebih dari 7.000 dompet kripto berhasil dicuri. Total dana yang mengalir keluar diperkirakan sedikitnya 1,7 miliar yen Jepang, setara sekitar US$ 10,71 juta.

Kelompok tersebut dikenal sebagai WaterPlum. Di industri keamanan siber, kelompok yang sama juga kerap disebut Contagious Interview, merujuk pada modus mereka yang memanfaatkan proses wawancara kerja untuk menginfeksi perangkat.

Serangan berlangsung sekitar Desember 2025 hingga Juli 2026. Karena menyasar pengguna yang menyimpan aset kripto sendiri, kerugian dapat langsung ditanggung korban.

Serangan WaterPlum bermula dari pesan yang terlihat seperti tawaran pekerjaan biasa. Pelaku menyamar sebagai perekrut dari perusahaan di sektor kecerdasan buatan, kripto, hingga NFT.

Target dihubungi melalui media sosial, situs lowongan kerja, platform gig, maupun marketplace pekerja lepas. Setelah korban merespons, proses rekrutmen dibuat menyerupai perekrutan normal, mulai dari pemeriksaan CV hingga wawancara video.

Dalam beberapa kasus, pelaku disebut menggunakan perangkat lunak AI untuk mengganti wajah saat wawancara. Setelah beberapa menit, kamera kemudian dimatikan dengan alasan masalah koneksi.

Tahap berikutnya adalah tes teknis atau coding. Korban diminta mengunduh dan menjalankan file dari platform pengembang atau repositori kode yang umum digunakan.

File tersebut dapat diklaim sebagai bagian dari tugas atau digunakan untuk memperbaiki masalah pada aplikasi konferensi video.

Begitu kode dijalankan, malware memperoleh akses ke perangkat korban dan dapat digunakan untuk mencuri data maupun kredensial.

Dalam advisori tersebut, lembaga keamanan menyebut sejumlah malware yang digunakan dalam serangan, termasuk BeaverTail, InvisibleFerret, OtterCookie, OtterCandy, dan StoatWaffle.

BeaverTail merupakan malware berbasis JavaScript yang disembunyikan dalam paket NPM. Sementara InvisibleFerret merupakan backdoor berbasis Python yang memberikan akses ke perangkat korban.

Ada pula OtterCookie yang dapat mencuri data sekaligus memberikan akses jarak jauh. Sementara StoatWaffle merupakan malware modular berbasis Node.js yang menggabungkan fungsi pemuat malware, pencuri kredensial, dan trojan akses jarak jauh.

StoatWaffle menjadi salah satu yang perlu diperhatikan karena menyamar sebagai folder proyek bertema blockchain.

Di dalamnya terdapat file konfigurasi Visual Studio Code yang telah dimanipulasi. Ketika folder dibuka dan ditandai sebagai tepercaya, kode berbahaya dapat berjalan secara otomatis.

Artinya, korban bahkan tidak selalu perlu menjalankan program secara sengaja. Setelah akses diperoleh, pelaku dapat mempertahankan koneksi ke perangkat, mencuri data, lalu mengirimkannya ke server yang digunakan untuk mengendalikan perangkat korban.