朝鲜黑客感染超3万台设备，窃取逾7000份加密钱包信息
TREE NEWS 报道， 日本警方披露，朝鲜黑客组织 WaterPlum 在 2025 至 2026 年间感染了超过 3 万台设备，窃取逾 7,000 份加密钱包信息，控制资产约 1,071 万美元。调查还首次揭露了日本境内的“笔记本电脑农场”，以及疑似朝鲜 IT 人员应聘 BitFlyer 的情况。
从单点攻击到工业化盗取凭证
此次行动的规模，标志着朝鲜相关加密犯罪已从早期针对单一交易所的偶发攻击，转向对钱包凭证的工业化窃取。WaterPlum 并非瞄准某一家托管机构，而是感染数以万计的终端设备，批量收割助记词、私钥与交易所登录信息。这种模式成本更低、更难追踪，也比一次性大额盗窃更具韧性。
1,071 万美元很可能低估了实际损失。被盗凭证往往在数月后才被变现，受害者在入侵发生后很久才察觉钱包已被控制。7,000 份钱包数据代表的是一条未来的盗窃管道，而非仅仅过去的损失。
笔记本电脑农场与内部威胁
更具警示意义的是“笔记本电脑农场”的发现——一处放置多台设备、用于掩盖远程 IT 人员真实来源的物理场所——以及疑似朝鲜人员应聘 BitFlyer 的证据。这是渗透加密企业的经典路径：通过招聘环节进入公司，获得合法权限，再加以滥用。
对交易所与 DeFi 协议而言，结论很直接：仅靠边界安全已不够。身份核验、终端监控，以及针对远程员工的行为分析，如今是核心风控，而非可选项。一名被攻陷的内部人员，就能绕过多年构建的技术防线。
后续影响
预计日本及盟友监管机构将收紧金融机构远程招聘规则，并推动更强的设备级认证。加密企业应假设，国家支持的行为者早已潜伏在求职者池中。行业能否以更严格的身份审查、零信任访问和更快的凭证吊销来回应，将决定下一轮 WaterPlum 行动是骚扰，还是系统性事件。
