Japon : 7000 Portefeuilles Crypto Volés Par Pyongyang

Imaginez qu’un recruteur vous contacte pour un poste en intelligence artificielle ou en Web3, que le brief semble sérieux, que le test technique tombe pile sur vos compétences, et que le fichier à télécharger n’est qu’un « petit outil de diagnostic ». C’est précisément ce scénario, banal en apparence, que les enquêteurs japonais décrivent aujourd’hui comme l’une des portes d’entrée les plus efficaces vers des milliers de machines et plus de sept mille dossiers de portefeuilles. Le 18 septembre 2026, l’agence nationale de police du Japon a rendu public un dossier construit avec le FBI, le centre de cybercriminalité du département américain de la Défense, ainsi que des services australiens et allemands. Le nom de code qui revient sans cesse est WaterPlum. Derrière ce nom, les autorités voient une opération liée à la Corée du Nord, capable d’infecter plus de trente mille appareils dans plus de cent pays et d’encaisser, selon le taux retenu par Tokyo, l’équivalent d’environ 1,7 milliard de yens.

Ce Que Tokyo Vient De Mettre Sur La Table

Le communiqué japonais ne se contente pas d’un chiffre choc. Il relie trois fils que l’industrie crypto observait séparément depuis des mois : des campagnes de recrutement truquées, des travailleurs informatiques nord-coréens dissimulés derrière des identités locales, et une infrastructure technique partagée. Les enquêteurs estiment que la vague d’infections s’est étendue approximativement de décembre 2025 à juillet 2026. Les cibles privilégiées ne sont pas des traders du dimanche. Ce sont des webdesigners, des ingénieurs, des profils blockchain et Web3, autrement dit des gens qui ont souvent des clés, des seeds et des accès privilégiés sur leur poste de travail.

Plus de sept mille enregistrements de portefeuilles auraient été extraits. Les wallets contrôlés par le groupe auraient reçu au minimum cette somme de 1,7 milliard de yens, soit environ 10,7 millions de dollars au change utilisé par les autorités. Le ministère japonais des Affaires étrangères a confirmé, de son côté, que Tokyo, Washington, Canberra et Berlin avaient choisi de publier ensemble les modes opératoires. Ce n’est pas un détail diplomatique. C’est un signal : le dossier n’est plus traité comme une série d’incidents isolés, mais comme une filière de génération de devises étrangères.

WaterPlum, Contagious Interview Et Le Bureau 313

Les autorités japonaises et américaines associent WaterPlum à l’activité déjà surnommée Contagious Interview dans les cercles de la cybersécurité. Le nom dit presque tout. L’entretien d’embauche n’est plus un filtre de compétences. C’est le vecteur. Les mêmes services estiment que WaterPlum et une partie des travailleurs informatiques nord-coréens opèrent sous le Bureau 313, rattaché au département de l’industrie des munitions du Parti des travailleurs de Corée. Cette articulation institutionnelle change la lecture du dossier. On n’a plus seulement affaire à un collectif de pirates opportunistes. On a une mécanique qui sert à la fois l’espionnage, le vol et l’entrée de devises.

Cette lecture n’est pas nouvelle dans le principe. Elle l’est dans la précision japonaise du jour. Tokyo affirme avoir mis au jour des correspondances d’adresses IP entre les attaquants WaterPlum, les connexions vers des fermes d’ordinateurs et les accès à des plateformes de freelancing. Un candidat suspect à un poste d’ingénierie chez bitFlyer en 2025 aurait utilisé la même infrastructure. Quand trois dossiers distincts se recoupent sur les mêmes nœuds réseau, l’hypothèse de coïncidence s’effondre.

Les enquêteurs ne décrivent plus une bande de pirates. Ils décrivent une organisation capable d’embaucher, d’infecter et d’encaisser sur les mêmes rails techniques.

Synthèse des constats de la police nationale japonaise

La Fausse Offre D’Emploi Comme Arme De Premier Choix

Le mode d’approche est d’une banalité redoutable. WaterPlum contacte des développeurs via les réseaux sociaux, les sites d’emploi, les places de missions ponctuelles et les marketplaces freelance. Les opérateurs se font passer pour des sociétés d’intelligence artificielle, de cryptomonnaies, de NFT ou pour des cabinets de recrutement. L’offre est attractive. Le calendrier est serré. Le candidat, souvent en recherche active, accepte de « juste installer un outil » pour un test de code ou pour diagnostiquer un souci de visioconférence.

Les fichiers malveillants sont hébergés sur des plateformes collaboratives et des dépôts de code, autrement dit des lieux que les développeurs fréquentent tous les jours. Une fois le paquet ouvert, la machine n’est plus seulement compromise. Elle devient un poste d’écoute. Les familles de malwares citées par Tokyo comprennent BeaverTail, InvisibleFerret, OtterCookie, OtterCandy et StoatWaffle, souvent dissimulées dans des paquets NPM trafiqués. Après l’infection, des portes dérobées et des outils d’accès distant permettent de rester, d’observer, puis de se déplacer.

Ce que les voleurs extraient ensuite n’est pas seulement un solde. Ce sont des identifiants de navigateur, des frappes clavier, des captures d’écran, le contenu du presse-papiers, des clés privées, des phrases de récupération, parfois des passeports et des permis de conduire stockés dans des dossiers partagés. Pour un développeur crypto, le poste de travail est souvent un coffre trop bien garni. Un seed collé dans un fichier texte « temporaire ». Un extension de wallet déverrouillée. Un mot de passe réutilisé. La campagne joue exactement sur ces habitudes.

Pourquoi Les Développeurs Crypto Sont Des Cibles Si Rentables

Un trader particulier peut perdre un portefeuille. Un ingénieur peut faire perdre un projet entier. Dans l’écosystème DeFi et Web3, les accès se cumulent : dépôts Git, consoles cloud, clés d’administration, wallets de trésorerie, environnements de staging trop proches de la production. WaterPlum n’a pas besoin de forcer une blockchain. Il lui suffit de s’asseoir dans la tête de quelqu’un qui possède déjà les clés.

Des chercheurs en sécurité ont déjà documenté, ces dernières années, l’infiltration de profils liés à Pyongyang dans des dizaines de projets DeFi. Le rappel n’est pas anecdotique. Il montre que le recrutement n’est pas seulement un prétexte pour livrer un malware. C’est aussi une stratégie d’implantation longue. On postule, on travaille, on encaisse un salaire, on observe les process internes, et parfois on dépose un paquet empoisonné au bon moment. La frontière entre fraude à l’emploi et cyberattaque s’estompe.

Les messages LinkedIn, les appels Zoom, les briefs envoyés par e-mail et les tests « take-home » forment désormais une chaîne d’attaque complète. Chacun de ces maillons paraît légitime isolément. Ensemble, ils constituent une usine à confiance. C’est cette usine que Tokyo dit avoir cartographiée.

La Ferme D’Ordinateurs Découverte Au Japon

Le volet le plus concret du dossier japonais n’est pas uniquement numérique. Les enquêteurs affirment avoir démantelé la première ferme d’ordinateurs connue sur le sol national en lien avec des travailleurs informatiques nord-coréens. Le principe est simple et efficace. Un facilitateur local conserve des machines chez lui. Des opérateurs situés ailleurs les pilotent à distance. Les documents d’identité fournis par des résidents au Japon servent à se faire passer pour eux lors des candidatures. Les paiements transitent parfois par des comptes bancaires du facilitateur, puis sont réexpédiés.

Selon l’agence, des travailleurs liés à ces enquêtes ont envoyé à l’étranger des cryptoactifs et d’autres avoirs représentant des centaines de millions de yens. Certains opéraient depuis la Corée du Nord, d’autres depuis la Chine ou la Russie, avec des contingents plus réduits en Afrique et en Asie du Sud-Est. Les fermes d’ordinateurs et les serveurs privés virtuels servent à masquer le lieu réel d’exécution tout en décrochant des missions sur des plateformes nationales et internationales.

Le Japon n’invente pas le phénomène. Il le localise. Aux États-Unis, des facilitateurs ont déjà été condamnés. Deux hommes ont écopé de dix-huit mois de prison en 2026 pour avoir aidé des travailleurs nord-coréens à accéder à distance à des ordinateurs d’entreprise. Le département de la Justice évoquait près de soixante-dix sociétés et plus de 1,2 million de dollars générés. En cinq mois, le nombre de facilitateurs condamnés de ce type aux États-Unis serait monté à huit. La géographie change. Le schéma, lui, se répète.

Les Saisies Américaines Et La Piste Des Stablecoins

Washington ne se contente plus d’arrêter des intermédiaires. Il poursuit aussi les flux. Un juge fédéral a ordonné en septembre la confiscation d’environ 212 700 dollars en USDC et USDT liés à des adresses de paiement utilisées par des travailleurs informatiques nord-coréens. Cette décision s’inscrit dans un effort plus large du département de la Justice portant sur plus de 7,74 millions de dollars d’actifs numériques.

Les procureurs ont indiqué qu’un portefeuille visé avait reçu autour de 158 123 USDC depuis au moins dix adresses servant à payer des travailleurs, ainsi que 54 574 USDT depuis au moins quatre autres adresses. Le récit judiciaire est toujours le même : dissimulation d’identité, dissimulation de localisation, missions technologiques à l’étranger, puis conversion et routage des gains en cryptomonnaies. Les stablecoins, parce qu’ils circulent vite et se prêtent aux chaînes de mixage rudimentaires, reviennent sans cesse dans ces dossiers.

Le Candidat Fantôme Chez Bitflyer

Le dossier japonais isole une tentative particulièrement parlante. En mai 2025, un individu suspecté d’être un travailleur informatique nord-coréen a postulé à un poste d’ingénierie chez bitFlyer. Le curriculum a été déposé sous l’identité d’une autre personne, directement via le formulaire de recrutement de la plateforme. L’adresse de contact était une boîte Gmail. L’accès au système s’est fait à travers des services de VPN et de proxy, dont NETNUT Proxy, Astrill VPN et High Speed Rabbit Proxy.

Pendant l’entretien en ligne, le candidat s’est dit malaisien et résidant en Finlande. Le CV alignait des compétences étendues en langages de programmation, blockchain, cryptomonnaies et cloud, avec des études dans une université européenne et des emplois dans plusieurs villes d’Europe et d’Asie. Sur les questions simples, les réponses tenaient. Sur les questions précises, elles devenaient abstraites ou fuyantes. Les enquêteurs relèvent des regards répétés vers un autre écran, des voix en fond, des coupures vidéo. L’intéressé refusait de s’installer au Japon et exigeait d’être payé en cryptomonnaie. bitFlyer n’a pas embauché. Aucun préjudice n’a été signalé.

Un schéma voisin avait déjà été observé chez Kraken : un candidat suspect s’est présenté sous un nom différent de celui du CV et semblait recevoir une aide en temps réel pendant l’appel. L’exchange a ensuite recoupé l’adresse e-mail avec des signalements partenaires. Ces deux scènes se ressemblent trop pour être des maladresses individuelles. Elles dessinent un protocol d’entretien assisté, avec souffleur, identité empruntée et exigence de rémunération difficile à tracer.

Quand un candidat refuse le pays d’embauche, réclame d’être payé en crypto et consulte un second écran à chaque question technique, le recrutement n’est plus un RH. C’est un contrôle de sécurité.

Lecture opérationnelle des signaux décrits par Tokyo

La Même Infrastructure Pour Trois Activités

Le point le plus important du rapport n’est peut-être pas le volume volé. C’est la soudure technique. Les adresses IP utilisées par les attaquants WaterPlum correspondent, selon la police nationale, à celles employées par des travailleurs nord-coréens pour rejoindre des fermes d’ordinateurs et des services de missions. Le candidat de bitFlyer aurait emprunté les mêmes rails. Police japonaise et FBI estiment que le Bureau 313 occupe une place centrale à la fois dans les cyberattaques WaterPlum et dans une partie des opérations de génération de devises.

Cette fusion a une conséquence pratique pour les entreprises. Un incident « RH » et un incident « SOC » peuvent n’être que deux faces du même dossier. Un prestataire freelance trop parfait, un paquet NPM inhabituel et une connexion VPN depuis un pays qui ne correspond pas au CV ne sont plus trois anomalies séparées. Ils forment un faisceau.

Ce Que Les Entreprises Sont Invitées À Vérifier Désormais

Tokyo formule des recommandations d’une sobriété presque administrative, et c’est précisément ce qui les rend utiles. Vérifier le lieu déclaré, les diplômes, les coordonnées. Se méfier des candidats qui imposent le télétravail intégral et le paiement en cryptomonnaie. Contrôler réellement les compétences techniques pendant l’entretien. Recouper la résidence affichée avec l’adresse IP utilisée pour déposer le dossier. Ces gestes ne garantissent rien. Ils cassent toutefois la mécanique de l’emprunt d’identité à bas coût.

Pour les équipes produit et les studios Web3, il faut ajouter une couche que le communiqué évoque sans la théoriser : isoler les tests techniques. Un exercice de code ne devrait jamais exiger l’installation d’un binaire opaque, d’un correctif de visioconférence ou d’un paquet hors registre interne. Un environnement jetable, une revue de dépendances et l’interdiction d’ouvrir un dépôt inconnu sur une machine qui contient des seeds devraient devenir des réflexes aussi banals que le double facteur.

• Recouper l’identité et la géolocalisation déclarée
• Interdire les tests qui imposent un téléchargement hors canal maîtrisé
• Séparer strictement le poste de recrutement du poste qui touche aux wallets
• Surveiller les exigences de paiement exclusivement en crypto

Une Lecture Plus Large Que Le Seul Chiffre De 10,7 Millions

Le montant attribué aux wallets WaterPlum peut sembler modeste à l’échelle des grands braquages DeFi. Ce serait une erreur de s’arrêter là. D’abord parce que sept mille dossiers de portefeuilles ne se traduisent pas tous immédiatement en liquidités visibles. Ensuite parce que la valeur d’une campagne de ce type se mesure aussi aux identités volées, aux accès persistants et aux implantations professionnelles. Un développeur compromis aujourd’hui peut ouvrir une trésorerie demain.

Le calendrier retenu par Tokyo, de la fin 2025 à l’été 2026, correspond à une période où le marché recrute à nouveau, où les projets multiplient les missions freelance et où les outils d’IA rendent les faux CV plus crédibles. L’attaque n’exploite pas seulement une faille logicielle. Elle exploite un marché de l’emploi sous tension, impatient, habitué aux process distants. C’est une vulnérabilité organisationnelle autant que technique.

Les coopérations entre Japon, États-Unis, Australie et Allemagne indiquent aussi que le sujet a quitté le seul périmètre des exchanges. Il touche désormais la diplomatie des sanctions, le contrôle des flux de devises et la protection des industries numériques nationales. Quand un ministère des Affaires étrangères confirme un mode opératoire, le message s’adresse autant aux entreprises qu’aux États.

Ce Que Change Cette Affaire Pour Les Portefeuilles Du Quotidien

Le particulier n’est pas hors champ. Les infections ont visé des machines personnelles autant que des postes professionnels. Un seed tapé dans un navigateur, une extension de wallet, un fichier de recovery stocké dans un cloud synchronisé : tout cela entre dans le butin décrit par les enquêteurs. La leçon n’est pas de quitter la crypto. Elle est de cesser de traiter le poste de développement comme un coffre-fort acceptable.

Les bonnes pratiques restent d’une banalité que l’on sous-estime trop souvent. Hardware wallet pour les fonds qui comptent. Jamais de seed sur une machine servant à ouvrir des pièces jointes de recrutement. Presse-papiers surveillé. Extensions limitées. Comptes e-mail de candidature séparés des comptes d’administration. Rien de tout cela n’est spectaculaire. Tout cela réduit la surface qu’une campagne comme WaterPlum cherche précisément à raser.

Il faut aussi parler du temps. Une infection n’est pas forcément un vol immédiat. Les outils d’accès distant permettent d’attendre, de photographier un écran au moment où une phrase secrète s’affiche, de copier un transfert, de revenir des semaines plus tard. Les sept mille dossiers ne sont donc pas seulement un stock. Ils sont un réservoir d’occasions.

Le Recrutement Remote Est Devenu Un Théâtre D’Opérations

Depuis la généralisation du travail à distance, les entreprises crypto ont normalisé l’embauche sans jamais serrer la main du candidat. C’est un progrès d’accès. C’est aussi une aubaine pour quiconque sait fabriquer une présence crédible. VPN, proxy, identités empruntées, laptop farms, aide en temps réel pendant l’entretien : la panoplie décrite par Tokyo ressemble à une pièce bien répétée. Le candidat n’a plus besoin d’être excellent. Il a besoin d’une équipe derrière l’écran.

Les plateformes de missions et les marketplaces freelance, pensées pour la fluidité, deviennent des halls d’entrée. Un donneur d’ordre pressé valide un profil étoilé. Un facilitateur encaisse. Un opérateur distant code, observe, parfois infecte. La confiance déléguée au processus de plateforme remplace la diligence. WaterPlum n’a pas eu à inventer ce marché. Il s’y est installé.

On peut attendre des places de marché qu’elles renforcent les contrôles d’identité. On aurait tort d’attendre qu’elles portent seules la responsabilité. Le dernier filet reste l’employeur qui refuse un binaire inconnu, qui pose une question technique trop précise pour un souffleur, qui exige une présence physique pour certains rôles sensibles. Ces exigences paraîtront lourdes. Elles sont moins lourdes qu’une trésorerie vidée.

Sanctions, Devises Et Logique D’État

Pourquoi tant d’énergie autour de wallets et de missions freelance ? Parce que la Corée du Nord vit sous un régime de sanctions qui restreint l’accès aux devises. Le cyber n’est plus un luxe offensif. C’est une pompe à liquidités. Voler des cryptos, placer des développeurs à l’étranger, recycler des stablecoins : ces activités répondent à un besoin macroéconomique autant qu’à une doctrine de renseignement.

Le Bureau 313, tel que le présentent les autorités, incarne cette fusion. D’un côté, des campagnes d’intrusion. De l’autre, des réseaux d’emploi clandestin. Au milieu, une infrastructure commune. Lire WaterPlum uniquement comme un groupe de ransomware maison serait donc trop étroit. Le butin n’est pas seulement un trophée de pirate. C’est une ressource.

Cette lecture n’exonère personne. Elle explique pourquoi les dossiers s’accumulent d’une année sur l’autre malgré les arrestations de facilitateurs. Tant que le besoin de devises demeure et que le marché remote reste poreux, le modèle conserve sa rentabilité. Les condamnations américaines et le démantèlement japonais déplacent le coût. Ils ne ferment pas la pompe.

Ce Que Les Prochaines Semaines Devraient Permettre De Vérifier

Un communiqué interallié de cette densité ouvre généralement une phase de notices techniques plus précises : indicateurs de compromission, hashes de paquets, domaines de rendez-vous, listes d’extensions ciblées. Les entreprises qui attendent le résumé médiatique pour agir arriveront après la fenêtre utile. Celles qui recoupent dès maintenant leurs journaux d’embauche, leurs téléchargements NPM suspects et leurs connexions VPN atypiques auront une chance de trouver des traces encore chaudes.

Il faudra aussi regarder si d’autres places d’échange japonaises ou asiatiques publient des tentatives similaires à celle de bitFlyer. Une seule tentative déjouée est un signal. Une série deviendrait un schéma industriel. Les chercheurs qui suivent Contagious Interview depuis des mois disposeront enfin d’une validation étatique sur des points qu’ils décrivaient déjà dans des notes techniques moins officielles.

Reste une inconnue de taille : la part des sept mille dossiers déjà vidée, la part encore inexploitée, et la part revendue ou partagée. Tokyo donne un plancher de fonds reçus. Il ne donne pas la carte complète du stock. C’est précisément ce silence qui devrait inquiéter les détenteurs de wallets dont la machine a pu être exposée au premier semestre 2026.

Une Affaire De Confiance Avant D’Être Une Affaire De Code

On a trop longtemps raconté la sécurité crypto comme une affaire de contrats audités et de signatures multiples. WaterPlum rappelle une vérité plus ancienne. La plupart des vols commencent par une personne qui croit ouvrir le bon fichier. Le langage de l’attaque n’est pas celui d’un exploit de consensus. C’est celui d’une proposition de mission, d’un test à rendre pour vendredi, d’un recruteur pressé.

Les chiffres japonais — trente mille machines, cent pays, sept mille dossiers, 1,7 milliard de yens — donnent une échelle. La méthode, elle, donne une leçon. Tant que le recrutement restera le chemin le plus court vers un ordinateur trop riche, les groupes structurés continueront de préférer un CV à un zero-day. Ce 18 septembre, Tokyo n’a pas seulement nommé un groupe. Il a décrit une habitude industrielle. Aux équipes produit, aux exchanges et aux développeurs de décider si cette habitude restera rentable.