Nordkoreanische Hacker leeren 7.000 Krypto-Wallets: Was du bei Jobangeboten und Code-Tests jetzt prüfst

Sieben Behörden aus vier Ländern haben am 18. September 2026 eine gemeinsame Warnmeldung veröffentlicht, und darin steht ein Befund, der jeden angeht, der seine Schlüssel selbst verwahrt: Eine nordkoreanische Angreifergruppe hat über gefälschte Jobangebote mindestens 30.000 Rechner in mehr als 100 Ländern infiziert und dabei Guthaben oder Zugangsdaten aus über 7.000 Krypto-Wallets abgezogen. Unterschrieben haben die Meldung neben der japanischen Polizeibehörde NPA und dem FBI auch der Bundesnachrichtendienst und das Bundesamt für Verfassungsschutz.

Die kurze Antwort auf die Frage, was du daraufhin tun solltest, passt in einen Satz: Halte die Maschine, auf der du fremden Code ausführst, strikt getrennt von der Maschine, auf der deine Schlüssel liegen. Der Rest dieses Artikels erklärt, warum ausgerechnet diese Trennung wirkt, welche Schadsoftware die Behörden namentlich benennen und woran du den Köder erkennst, bevor du etwas öffnest.

Was die gemeinsame Warnmeldung vom 18. September 2026 belegt

Die Behörden führen die Gruppe unter dem Namen „WaterPlum“. In der Sicherheitsbranche läuft dieselbe Gruppe meist unter „Contagious Interview“, benannt nach ihrer Masche: dem ansteckenden Bewerbungsgespräch. Die Meldung ist keine Einschätzung eines einzelnen Dienstleisters, sondern eine abgestimmte Feststellung von sieben staatlichen Stellen.

Unterzeichnet haben die japanische National Police Agency, das japanische National Cybersecurity Office, das FBI, das Department of Defense Cyber Crime Center der USA, das Australian Cyber Security Centre der Australian Signals Directorate sowie aus Deutschland der Bundesnachrichtendienst und das Bundesamt für Verfassungsschutz. Dass zwei deutsche Dienste mitzeichnen, ist der Grund, warum diese Warnung nicht am anderen Ende der Welt bleibt: Die Behörden sehen Betroffene ausdrücklich auch in Europa.

Die Zahlen in der Meldung beziehen sich auf den Zeitraum von etwa Dezember 2025 bis Juli 2026. In diesen rund acht Monaten wurden nach Feststellung der NPA mindestens 30.000 PCs in über 100 Ländern kompromittiert. Aus mehr als 7.000 Krypto-Wallets flossen Guthaben oder Zugangsdaten ab. Die Behörden beziffern den Abfluss auf mindestens 1,7 Milliarden japanische Yen, umgerechnet 10,71 Millionen US-Dollar. Die Gruppe und ein Teil der nordkoreanischen IT-Arbeiter unterstehen nach übereinstimmender Einschätzung von NPA und FBI dem 313. Generalbüro der Rüstungsindustrieabteilung beim Zentralkomitee der Arbeiterpartei Koreas.

Gemessen an den großen Börsen-Einbrüchen der vergangenen Jahre ist diese Summe klein. Sie verteilt sich allerdings auf mehr als 7.000 einzelne Geschädigte, und genau darin liegt der Unterschied: Hier trifft es nicht Unternehmen mit Versicherung und Rücklagen, sondern Einzelpersonen, deren Verlust niemand ersetzt. Zur Einordnung der Größenordnung: Bitcoin notierte am 19. September 2026 um 18:45 UTC laut CoinGecko bei rund 81.500 US-Dollar. Die abgeflossene Summe entspricht damit etwa 130 Bitcoin.

WaterPlum und „Contagious Interview“: Wie der Angriff über den Code-Test abläuft

Am Anfang steht keine Schwachstelle in deiner Wallet. Am Anfang steht eine freundliche Nachricht. Die Akteure geben sich als Personalvermittler aus und treten dabei im Namen echter Unternehmen aus den Bereichen künstliche Intelligenz, Kryptowährungen und NFT auf. Sie sprechen Entwicklerinnen und Entwickler gezielt über soziale Netzwerke, Jobbörsen, Gig-Plattformen und Freelancer-Marktplätze an.

Der Einstieg über die vermeintliche Bewerbung

Wer antwortet, durchläuft einen Bewerbungsprozess, der zunächst völlig normal wirkt. Es gibt einen Lebenslauf-Abgleich, ein Video-Gespräch, freundliche Rückmeldungen. Die Behörden beschreiben, dass die Akteure für diese Gespräche teilweise KI-gestützte Software zum Gesichtstausch einsetzen. Nach wenigen Minuten schalten sie ihre Kamera ab und bitten die Gegenseite unter Verweis auf angebliche Netzprobleme, das Gleiche zu tun.

Der Moment, in dem die Schadsoftware startet

Im Lauf des Verfahrens verlangen die Akteure ein technisches Gespräch oder eine Programmieraufgabe. Dabei fordern sie die Bewerber auf, Dateien herunterzuladen und auszuführen, die auf gängigen Entwicklerplattformen und in Code-Verzeichnissen liegen. Der Vorwand ist harmlos formuliert: Entweder gehört die Datei zur Aufgabe, oder sie soll einen angeblichen Fehler in der Videokonferenz beheben. In dem Augenblick, in dem dieser Code startet, ist das Gerät offen.

BeaverTail, InvisibleFerret und OtterCookie: Welche Schadsoftware die Behörden benennen

Die Warnmeldung nennt fünf Schadsoftware-Familien beim Namen, die in manipulierten Paketen des Paketmanagers NPM stecken. NPM ist der Standard-Paketmanager für die JavaScript-Umgebung Node.js, über den Entwickler fremde Code-Bibliotheken einbinden.

BeaverTail ist eine in JavaScript geschriebene Schadsoftware, die in NPM-Paketen versteckt wird. InvisibleFerret ist eine in Python geschriebene Hintertür zum Rechner des Opfers. OtterCookie ist ein Fernwartungstrojaner, der zugleich Daten abgreift. OtterCandy kombiniert dessen Funktionen mit einer weiteren Schädlingsfamilie. StoatWaffle schließlich ist ein modularer Node.js-Schädling, der Ladeprogramm, Zugangsdaten-Sammler und Fernwartungstrojaner vereint.

StoatWaffle verdient besondere Aufmerksamkeit, weil er einen Weg nutzt, an den kaum jemand denkt. Er tarnt sich als Projektverzeichnis mit Blockchain-Bezug und legt darin eine manipulierte Konfigurationsdatei für den Editor Visual Studio Code ab. Sobald der Ordner geöffnet und als vertrauenswürdig eingestuft wird, startet der Code von selbst. Es genügt also das Öffnen eines Ordners, ohne dass jemand bewusst ein Programm ausführt.

Nach dem ersten Zugriff halten die Angreifer die Verbindung über Fernwartungstrojaner offen, greifen mit spezialisierter Software Daten ab und leiten sie an eine Steuerungsadresse im Netz weiter, über die sie die infizierten Geräte verwalten.

Seed Phrase und Browser-Passwörter: Was die Angreifer tatsächlich abgreifen

Die Behörden listen auf, worauf es die Akteure abgesehen haben, und die Liste geht weit über Wallet-Dateien hinaus. Abgegriffen werden Zugangsdaten, die im Browser gespeichert sind, also Benutzernamen und Passwörter. Dazu kommen der Inhalt der Zwischenablage, mitgeschnittene Tastatureingaben und Bildschirmfotos.

Für Krypto-Halter entscheidend ist der nächste Punkt der Liste: Wallet-Daten einschließlich privater Schlüssel und Seed Phrase. Die Seed Phrase ist die Folge aus meist zwölf oder vierundzwanzig Wörtern, aus der sich sämtliche Schlüssel einer Wallet wiederherstellen lassen. Wer sie besitzt, besitzt die Coins, unabhängig davon, auf welchem Gerät die Wallet ursprünglich lief.

Hinzu kommen beliebige Dateien von Interesse, ausdrücklich auch Ausweisbilder von Führerscheinen und Reisepässen. Diese Bilder sind kein Beifang. Die Behörden beschreiben, dass gestohlene Ausweisdokumente anschließend genutzt werden, um sich als das Opfer auszugeben und unter dessen Namen Aufträge anzunehmen. Der Schaden endet damit nicht beim Guthaben.

Warum die Masche auch deutsche Halter ohne Entwicklerjob trifft

Auf den ersten Blick scheint die Warnung nur Entwickler zu betreffen. Die NPA benennt als Hauptziel Webdesigner, Ingenieure sowie Fachleute für Kryptowährungen, Blockchain und Web3. Wer in Deutschland keine Zeile Code schreibt, könnte den Vorgang deshalb abhaken.

Das greift zu kurz, und zwar aus zwei Gründen. Der erste ist der Umfang des Begriffs: Zur Zielgruppe zählen ausdrücklich freiberufliche Webarbeiter. Das sind in Deutschland zehntausende Selbstständige, die Projekte über internationale Plattformen annehmen und dabei häufig genau das Gerät verwenden, auf dem auch ihre Wallet liegt.

Der zweite Grund wiegt schwerer. Die Angreifer bleiben nicht beim Einzelrechner stehen. Die Behörden beschreiben, dass ein erfolgreicher Befall den Weg in die Organisation öffnet, für die der Betroffene arbeitet. Von dort werden Betriebsgeheimnisse, Zugangsdaten und Krypto-Werte von Arbeitgebern, Kunden und Vertragspartnern abgezogen. Wenn dein Dienstleister kompromittiert wird, bist du betroffen, ohne selbst je eine Bewerbung geschrieben zu haben.

Diese indirekte Kette ist dieselbe, die bei kompromittierten Schnittstellen greift. Wer bei Börsen mit Programmierschnittstellen arbeitet, sollte deshalb ohnehin regelmäßig prüfen, welche Rechte die eigenen API-Schlüssel wirklich tragen.

Fremden Code ausführen: Wie du eine Test-Aufgabe gefahrlos öffnest

Die Behörden geben eine klare Empfehlung, und sie ist bewusst absolut formuliert: Führe Code von unbekannten Dritten nicht auf einem Rechner aus, der Krypto-Werte oder persönliche Daten verwaltet. Unbekannten Code solltest du ausschließlich in einer Sandbox oder einer virtuellen Maschine starten. Eine virtuelle Maschine ist ein abgeschotteter Rechner innerhalb deines Rechners; was darin passiert, erreicht dein eigentliches System nicht.

Vor der Ausführung empfehlen die Behörden zusätzlich, den Code auf verschleierte oder unlesbare Abschnitte zu prüfen. Wo eine Bewerbungsaufgabe Zeichenfolgen enthält, die niemand lesen kann, ist die Aufgabe selbst der Angriff.

Für deine Coins folgt daraus die Trennung, die weiter oben schon stand: Schlüssel gehören auf ein Gerät, auf dem niemals fremder Code läuft. Am konsequentesten löst das eine Hardware-Wallet, weil der private Schlüssel das Gerät nie verlässt und jede Transaktion dort bestätigt werden muss. Welche Modelle sich darin unterscheiden, zeigt unser Vergleich der Hardware-Wallets.

Die Zeichenketten, auf die die Behörden ausdrücklich hinweisen

Die Meldung nennt konkrete Befehlsbestandteile, bei denen besondere Vorsicht gilt. Genannt werden „curl“, „base64“, „-enc“, „mshta“, „iwr-uri“ sowie „hidden“. Tauchen sie in einem Skript auf, das dir jemand im Bewerbungsverfahren schickt, solltest du es nicht ausführen, solange du sein Verhalten nicht vollständig verstehst. Diese Bausteine laden typischerweise weiteren Code nach, verschleiern ihn oder starten ihn unsichtbar.

Visual Studio Code im eingeschränkten Modus: Der Schalter gegen den Auto-Start

Gegen StoatWaffle nennen die Behörden eine sehr konkrete Gegenmaßnahme. Öffne unbekannte Projekte im Editor Visual Studio Code gar nicht erst, oder öffne sie ausschließlich im eingeschränkten Modus. Dieser Modus verhindert, dass beim Start Befehle aus der Datei „.vscode/tasks.json“ ausgeführt werden.

Den Modus erreichst du über die Abfrage, ob du dem Autor der Dateien in diesem Ordner vertraust. Wer dort mit Nein antwortet, bleibt im eingeschränkten Modus. Anschließend lässt sich die Datei „.vscode/tasks.json“ in Ruhe darauf prüfen, ob sie weitere Dateien herunterlädt oder startet. Wichtig ist der letzte Hinweis der Behörden dazu: Öffne unbekannte Projekte nie aus einem Ordner oder Pfad heraus, den du früher einmal als vertrauenswürdig markiert hast. Die Vertrauensentscheidung gilt sonst weiter, ohne dass jemand erneut gefragt wird.

Laptop-Farmen und nordkoreanische IT-Arbeiter: Warum Auftraggeber aufpassen müssen

Der zweite Teil der Warnmeldung behandelt einen Vorgang, der deutsche Unternehmen und Auftraggeber unmittelbar betrifft. Nordkoreanische IT-Arbeiter lassen sich unter falscher Identität für Projekte anheuern und arbeiten dabei über sogenannte Laptop-Farmen. Das sind Standorte, häufig Privatwohnungen von Helfern, an denen die Firmenrechner physisch stehen und aus dem Ausland ferngesteuert werden. In Japan haben die Behörden nach eigenen Angaben erstmals eine solche Farm identifiziert und ausgehoben.

Für Auftraggeber steht in der Meldung ein Satz mit erheblicher Tragweite: Die Zahlung von Vergütungen an nordkoreanische IT-Arbeiter oder die Unterstützung ihrer Devisenbeschaffung kann gegen nationales Recht und gegen Sanktionen gegen Nordkorea verstoßen. Wer Aufträge vergibt, sollte deshalb auch Unterauftragnehmer betrachten und vertraglich klarstellen, wer die Arbeit tatsächlich ausführt.

Wie schnell man in Deutschland in eine Rolle gerät, die strafrechtlich relevant wird, ohne es zu wollen, zeigt eine verwandte Masche: Bei Krypto-Jobangeboten, bei denen das eigene Bankkonto für fremde Zahlungen herhalten soll, beginnt die Geldwäsche bereits bei Leichtfertigkeit.

Verdacht auf Befall: In welcher Reihenfolge du jetzt vorgehst

Für den Fall, dass ein Virenscanner anschlägt oder du einen Befall vermutest, geben die Behörden eine Reihenfolge vor. Sie lohnt sich zu kennen, bevor der Ernstfall eintritt.

Zuerst trennst du das betroffene Gerät sofort vom Internet, damit die Verbindung nach außen abreißt. Danach gilt eine Annahme, die unbequem, aber richtig ist: Selbst wenn die Schadsoftware erkannt und entfernt wurde, musst du davon ausgehen, dass Daten einschließlich der Wallet-Informationen bereits abgeflossen sind. Deshalb legst du eine neue Wallet auf einem separaten Gerät an, überträgst sämtliche Werte dorthin und bewahrst die neue Seed Phrase offline auf.

Weil unentdeckte Schadsoftware auf dem betroffenen Rechner zurückbleiben kann, sichern die Behörden anschließend die wichtigen Daten und setzen das Betriebssystem vollständig neu auf. Ein Virenscanner-Lauf ersetzt diesen Schritt nicht. Für Unternehmen empfiehlt die Meldung zusätzlich den Einsatz von Endpoint-Detection-and-Response-Werkzeugen, die verdächtiges Verhalten auf Endgeräten überwachen.

Die Reihenfolge ist wichtig: Erst trennen, dann Werte retten, dann bereinigen. Wer zuerst das System neu aufsetzt, verliert unter Umständen Zugangsdaten, die er für die Rettung noch gebraucht hätte.

Gestohlene Coins und das Finanzamt: Was du in Deutschland klären musst

Wenn Coins aus einer privaten Wallet abfließen, stellt sich in Deutschland eine Frage, auf die es keine bequeme Antwort gibt: Lässt sich der Verlust steuerlich geltend machen? Ein Diebstahl ist keine Veräußerung im Sinne des § 23 Einkommensteuergesetz, und ein privates Veräußerungsgeschäft liegt damit nicht vor. Ob und unter welchen Umständen sich ein Verlust dennoch berücksichtigen lässt, ist umstritten und hängt am Einzelfall. Kläre das mit einer Steuerberaterin oder einem Steuerberater, bevor du etwas in der Erklärung ansetzt.

Unabhängig davon gilt eine praktische Regel: Du brauchst eine lückenlose Dokumentation. Dazu gehören der Zeitpunkt des Abflusses, die Transaktionskennungen, die Anschaffungsdaten der betroffenen Bestände und die Strafanzeige. Wer seine Bestände über ein Portfolio- und Steuertool führt, hat diese Historie bereits beisammen. Wie das Finanzamt mit verlorenen Beständen umgeht, haben wir am Beispiel einer verlorenen Hardware-Wallet ausführlicher beschrieben.

Woran du ein gefälschtes Jobangebot vor dem ersten Klick erkennst

Die Warnmeldung enthält eine Beobachtungsliste, die aus der Gegenrichtung stammt: Eine japanische Kryptobörse erhielt im Mai 2025 eine Bewerbung auf eine Entwicklerstelle, erkannte die Auffälligkeiten und stellte den Bewerber nicht ein. Es entstand kein Schaden. Die Merkmale lassen sich übertragen.

Auffällig war zunächst der Lebenslauf: eine ungewöhnlich breite Palette an Fähigkeiten mit jeweils über zehn Punkten an Kenntnissen zu Programmiersprachen, Blockchain-Technologien und Cloud-Diensten. Dazu ein Studium an einer europäischen Universität, gefolgt von rasch wechselnden Stationen in verschiedenen Städten Europas und Asiens. Im Videogespräch passten die Sprachkenntnisse nicht zum behaupteten Werdegang; einfache Fragen wurden beantwortet, zu den meisten angegebenen Fähigkeiten konnte der Bewerber nichts sagen. Der Zugriff auf das Bewerbungsformular erfolgte über einen VPN-Dienst.

Aus weiteren Gesprächen nennen die Behörden zusätzliche Muster: Ausreden bei Vorschlägen für ein persönliches Treffen, der Wunsch nach Bezahlung in Kryptowährung, häufige Blicke auf einen zweiten Monitor, gelegentliche Hintergrundstimmen und wiederholtes Einfrieren von Bild oder Ton. Auffällig ist auch, wenn eine Vergütung auf ein Konto gehen soll, das auf einen anderen Namen läuft.

Umgekehrt gilt für dich als Bewerber die einfachste Prüfung: Ein seriöses Unternehmen verlangt in einem frühen Bewerbungsschritt kein Ausführen fremder Dateien auf deinem privaten Rechner. Wo das doch passiert, gehört die Aufgabe in eine virtuelle Maschine oder gar nicht auf dein Gerät.

WaterPlum-Masche prüfen: Was du daraus mitnimmst

1. Trenne deine Geräte, heute noch. Auf dem Rechner, auf dem du fremden Code, Bewerbungsaufgaben oder unbekannte Projekte öffnest, haben keine Schlüssel etwas zu suchen. Die saubere Lösung ist ein eigenes Gerät für die Verwahrung, bei dem der private Schlüssel die Hardware nie verlässt; die Unterschiede findest du im Hardware-Wallet-Vergleich.
2. Prüfe deine Dokumentation, bevor du sie brauchst. Anschaffungsdaten, Transaktionskennungen und Haltefristen entscheiden im Schadensfall darüber, was du gegenüber dem Finanzamt überhaupt belegen kannst. Ein Blick in die Krypto-Steuer-Tools zeigt, welches Werkzeug diese Historie für dich führt.
3. Behandle jedes unaufgeforderte Jobangebot als Angriffsfläche. Gleiche Firma und Ansprechpartner unabhängig ab, verweigere die Ausführung fremder Dateien und öffne unbekannte Projekte im eingeschränkten Modus. Wie schnell ein vermeintliches Krypto-Jobangebot rechtliche Folgen hat, zeigt der Fall der Finanzagenten-Masche.

Die Behörden schließen ihre Meldung mit einem Hinweis, der die Halbwertszeit solcher Listen ehrlich benennt: Die beschriebenen Techniken sind Beispiele, die Akteure entwickeln ihre Methoden fortlaufend weiter. Die Trennung von Arbeitsgerät und Schlüsselgerät überlebt diese Weiterentwicklung, weil sie nicht an einer einzelnen Schadsoftware hängt.

Die vollständige Warnmeldung vom 18. September 2026 steht als Dokument beim Internet Crime Complaint Center des FBI bereit. Das Bundesamt für Verfassungsschutz hat zu nordkoreanischen IT-Arbeitern bereits zuvor eine eigene Sicherheitshinweis-Veröffentlichung vorgelegt.

(Stand: 19. September 2026. Dieser Beitrag ist keine Anlageberatung. Kurse und Gebührenmodelle ändern sich; prüfe die Konditionen vor jedem Kauf beim Anbieter selbst.)