FBI Açıkladı: WaterPlum Hackerları Bitcoin (BTC) ve Kripto Cüzdanlarından 10,71 Milyon Dolar Boşalttı

30.000 Cihaz, 7.000 Cüzdan Ele Geçirildi

Kuzey Kore bağlantılı olduğu tespit edilen WaterPlum adlı siber suç grubu, kripto kullanıcılarından en az 10,71 milyon dolar değerinde dijital varlık çaldı. Buna dair resmi bilgilendirme, Cuma günü Japonya Ulusal Polis Teşkilatı (NPA) ile ABD Federal Soruşturma Bürosu'nun (FBI) ortak duyurusuyla geldi. Teşkilatların aktardığı tablo çarpıcı: WaterPlum — başka bir adla Contagious Interview olarak da takip ediliyor — 100'den fazla ülkede 30.000'den fazla bilgisayara sızdı ve 7.000'den fazla kripto cüzdanından veri dışarı sızdırdı; çalınan fonların toplandığı cüzdan kümesi Aralık 2025 ile Temmuz 2026 arasında bu transferleri aldı. Danışma notu, tam da yazılım geliştiricileri hedefleyen bir işe alım dolandırıcılığını anlatıyor. Operatörler kendilerini yapay zeka, kripto ve altcoin girişimlerinin headhunter'ları olarak tanıtıp kurbanlara sosyal medya, iş ilanı siteleri ve freelance platformları üzerinden ulaşıyor. Adaylar teknik mülakata ya da kodlama testine yönlendiriliyor ve dosyaları kod paylaşım sitelerinden indirmeleri isteniyor — bahse ya bozuk bir görüntülü görüşme ya da görevin kendisi konuluyor. Bu dosyaların içindeki infostealer (bilgi çalan zararlı yazılım) sessizce tarayıcı şifrelerini, ekran görüntülerini ve tuş vuruşlarını topluyor; en kritik adım ise bir kripto cüzdanını — yani dijital parayı saklamaya yarayan yazılımı — kontrol eden gizli anahtarları çekiyor.

Japon ve ABD makamları, Kuzey Kore bağlantılı hackerların 30.000'den fazla cihaza ve 7.000'den fazla cüzdana sızdığını söylüyor

Danışma notundaki ifadeler net: “WaterPlum aktörleri, cazip iş fırsatları gerekçesiyle dünya genelinde yazılım geliştiricilerini ve BT profesyonellerini hedeflemek için potansiyel işveren kılığına giriyor.” Zira bu maskeler, yapay zeka patlamasının güvenilirliğini ödünç alıyor — Worldcoin (WLD) gibi yüksek profilli token projelerinin sürekli geliştiriciyle iletişimi normal işe alım pratiğinin parçası yaptığı bir sektörden söz ediyoruz. Daha önceki bir soruşturmada, bir araştırmacının grubun sunucularında 22 ay geçirip 57 ülkede 1.640 kurbanı haritalandırması, grubun ayak izini Cuma günkü resmi sayımın çok altında göstermişti — resmi rakam kabaca 18 kat daha büyük. Danışma notu 10,71 milyon doları varlık türüne göre ayırmasa da, Bitcoin (BTC) ve diğer likit coinlerle çekilen fonların tipik olarak mixer (karıştırıcı) ve zincirler arası takas (cross-chain swap) üzerinden nihai varış noktalarına ulaşmadan aklandığı biliniyor.

Tokyo'nun İlk Dizüstü Çiftliği Baskını

Japonya'da bilinen ilk dizüstü çiftliğinin (laptop farm) çökertilmesi, danışma notuna operasyonel bir boyut kazandırıyor. Soruşturmacılara göre yerel güvenilir kişiler dizüstü bilgisayarları kendi evlerinde tutarken, yurtdışındaki Kuzey Koreli BT işçileri makineleri uzaktan kontrol edip Japon sakini gibi görünerek freelance sözleşmeler kazanıyordu. Bu işçiler birkaç yüz milyon yen değerinde kripto parayı yurt dışına taşıdı ve aynı internet adresleri çiftliği WaterPlum'ın altyapısına bağladı. NPA ve FBI'ın değerlendirmesi, WaterPlum siber aktörlerinin ve bazı Kuzey Koreli BT işçilerinin, Kore İşçi Partisi Merkez Komitesi'ne bağlı Sanayi Dairesi'nin altındaki 313 Genel Büro bünyesinde çalıştığı yönünde — yani kampanya, devletin yaptırıma tabi gelir aygıtının içinde yer alıyor. Analistler uzun zamandır Pyongyang'ın kripto hırsızlığı ile proof-of-work (iş kanıtı) madencilik faaliyetini silah finansmanına bağlıyor; Cuma günkü danışma notu bu komuta zincirini resmiyete döktü.

Personel dolandırıcılığı, Japonya'nın borsa sektörüne de uzanıyor. Mayıs 2025'te şüpheli bir Kuzey Koreli operatör, çalıntı bir özgeçmişle bitFlyer'da mühendislik pozisyonuna başvurdu — borsa, en iyi kripto borsaları rehberimizde de yer alan bir platform. Mülakat yapanlar birkaç ipucu yakaladı: aday nakil kabul etmiyor, kripto para ile ödeme istiyor ve cevapları ikinci bir ekrandan okuyor gibi görünüyordu. İşe alınmadı. Daha önceki kampanyalar üst düzey personele ulaşmak için deepfake mülakat çağrılarına yaslanıyordu; aynı sosyal mühendislik el kitabı bireysel yatırımcıya yönelik tuzaklarda da karşımıza çıkıyor — pasif gelir vaatlerinden kullanıcıları Pi Network'e çeken mobil madencilik anlatısına kadar. Soruşturmacılar artık mühendislik ekiplerine, işe alım sürecinde gelen kodları bir sandbox — üretim dosyalarından ve cüzdan yazılımından tamamen izole edilmiş kapalı bir test ortamı — içinde çalıştırmalarını öneriyor. Piyasayı anlık izlemek isteyen okurlar, spot ve vadeli fiyatları Binance üzerinden canlı takip edebilir.

Protokol Kusuru Değil, Uç Nokta Ele Geçirme

Danışma notu ile dizüstü çiftliği baskını yan yana okunduğunda tek bir makine ortaya çıkıyor: sahte iş tekliflerini cüzdan anahtarlarına, cüzdan anahtarlarını da yaptırım altındaki bir rejim için sert paraya çeviren devlet destekli bir boru hattı. Dosyayı incelediğimizde COINOTAG'ın okuması şudur: kök neden bir protokol kusuru değil, uç nokta ele geçirmesi — infostealer'ların geliştirici makinelerinden özel anahtarları çekmesi. Çözüm de teknolojikten çok prosedürel: işe alım sürecinden gelen her aracı sandbox'ta test etmek, imzalama anahtarlarını günlük kullanım sistemlerinden ayırmak ve istek dışı hiring testlerini düşmanca kod olarak ele almak. 10,71 milyon doların boşaltıldığının doğrulanması ve 7.000'den fazla cüzdanın sızdırılmış olmasıyla, geliştirici topluluğunun tehdit modeli artık şu varsayımla kurulmalı: işe alım çağrısının kendisi saldırıdır.