Alerte Waterplum : 7000 Wallets Crypto Vidés Mondialement

Un curriculum vitae trop lisse, une caméra qui reste éteinte pendant l’entretien, un test technique qui exige d’installer un paquet. Voilà le décor d’une campagne qui, en huit mois, a touché des développeurs dans une centaine de pays. Le 18 septembre 2026, sept organismes de police, de cybersécurité et de renseignement du Japon, des États-Unis, de l’Australie et de l’Allemagne ont publié une alerte conjointe visant le groupe nord-coréen Waterplum, aussi connu sous le nom de Contagious Interview. Le bilan officiel donne le vertige : environ 30 000 appareils infectés, plus de 7 000 wallets vidés et 10,71 millions de dollars partis vers des circuits liés à Pyongyang, de décembre 2025 à juillet 2026.

Ce Que Révèle Vraiment L’Alerte Waterplum

Le schéma n’est pas neuf. Des rédactions spécialisées décrivaient déjà en 2025 des faux recruteurs qui chassaient des profils crypto sur les réseaux professionnels. Ce qui change, c’est l’échelle, la nomination publique de la filière et le détail opérationnel livré par plusieurs États en même temps. Waterplum ne se contente pas de voler des jetons. Le groupe mixte deux missions : générer des devises étrangères pour le régime et s’introduire dans des entreprises occidentales pour extraire du code, des accès et des données.

Selon l’attribution retenue par la police nationale japonaise et le FBI, Waterplum et une partie des travailleurs informatiques nord-coréens relèveraient du 313e Bureau général du département de l’industrie des munitions, rattaché au Comité central du Parti du travail de Corée. Dire le nom, c’est appliquer une doctrine d’attribution publique : désigner les structures pour tenter de briser l’impunité et d’alerter les cibles avant le prochain cycle.

Le Scénario En Trois Actes

Tout commence par une offre. Les opérateurs se font passer pour des recruteurs d’entreprises d’intelligence artificielle, de cryptoactifs ou de NFT. Ils contactent des développeurs indépendants, souvent via des plateformes de mise en relation professionnelle. Le ton est pressé, flatteur, technique. On promet un entretien, parfois un test de code censé départager les candidats.

Deuxième acte : le paquet. Pour « réussir » l’exercice, la victime doit télécharger et exécuter un module NPM, le gestionnaire de paquets par défaut de Node.js. Ce paquet embarque l’un des malwares identifiés : BeaverTail, InvisibleFerret, OtterCookie, OtterCandy ou StoatWaffle. Rien d’ésotérique. Une fois lancé, le code ouvre une porte dérobée.

Troisième acte : l’aspiration. Identifiants de wallets, clés privées, phrases de récupération, captures d’écran, parfois des sessions déjà ouvertes. Le butin remonte vers un serveur de commande contrôlé par le groupe. Ensuite, le vidage peut être rapide. Un développeur qui garde trop d’actifs sur un portefeuille logiciel chaud devient une cible idéale.

Le piège n’a pas besoin d’être brillant. Il a besoin d’un recruteur crédible, d’un test banal et d’un développeur pressé d’accepter la mission.

Synthèse de l’alerte conjointe

Pourquoi Les Développeurs Crypto Sont Des Cibles Idéales

Le marché du travail décentralisé favorise les freelances. Beaucoup enchaînent les missions, testent des dépôts Git, installent des dépendances sans audit profond, et conservent des outils de signature à portée de main. Un contrat bien payé en jetons peut justifier, dans l’instant, un risque que l’on n’accepterait pas pour un simple fichier inconnu reçu par mail.

Les équipes internes ne sont pas à l’abri. Un candidat « trop parfait » peut viser une embauche réelle afin d’obtenir un accès durable. L’exchange japonais bitFlyer l’a constaté en mai 2025. Un postulante à un poste d’ingénieur se présentait comme né en Malaisie et résidant en Finlande, avec un parcours couvrant une dizaine de langages et de briques blockchain. L’anglais ne correspondait pas au récit. L’entretien vidéo a suffi à faire basculer le dossier vers le rejet. Aucun dégât n’a été signalé. D’autres employeurs n’ont pas eu cette lucidité.

Le Japon a aussi mis au jour, pour la première fois sur son sol, une laptop farm. Un intermédiaire local hébergeait et pilotait à distance des ordinateurs loués à des travailleurs informatiques nord-coréens. Selon des informations relayées par Jiji Press le 18 septembre, plusieurs centaines de millions de yens supplémentaires auraient transité par ce canal vers l’étranger. Le vol de wallets n’est donc qu’une face du dispositif. L’autre face, c’est le travail dissimulé, les salaires détournés et l’infiltration longue.

Des Habitudes Qui Trahissent Les Opérateurs

L’alerte ne se limite pas aux malwares. Elle dresse un portrait presque quotidien des opérateurs. Ils consultent souvent des traducteurs automatiques gratuits. Ils s’entraînent à la prononciation japonaise avec de la synthèse vocale. Ils interrompent l’activité malveillante lors des jours fériés nord-coréens, pour jouer aux jeux vidéo ou regarder du football à la télévision. Ces détails paraissent anecdotiques. Ils aident pourtant les enquêteurs à corréler fuseaux horaires, pauses et traces linguistiques.

Un recruteur qui lit ses réponses sur un second écran, un accent qui ne colle pas au parcours, une caméra toujours coupée, un paiement demandé en cryptomonnaie sur un compte au nom d’un tiers : autant de signaux que les agences demandent désormais de traiter comme des alertes, pas comme des coquetteries de candidat distant.

Le Précédent De Singapour Et La Mécanique Qui Se Répète

En août, le récit d’un développeur basé à Singapour avait déjà illustré le même enchaînement. Faux entretien via un réseau professionnel, test de code, porte dérobée, puis disparition de 11,8 millions de dollars. Les familles de malwares se recoupent. Le scénario aussi. Waterplum n’a pas inventé le social engineering. Il l’a industrialisé contre une population qui mélange compétences techniques et exposition financière directe.

C’est précisément cette combinaison qui rend la campagne efficace. Un salarié d’une banque traditionnelle n’a généralement pas les clés d’un coffre personnel sur la même machine que son environnement de build. Un développeur Web3, si. Il compile, il signe, il déploie, parfois depuis le même poste que celui où il gère un trésor de projet ou des fonds personnels.

Ce Que Change Une Attribution À Sept Voix

Une alerte nationale peut passer inaperçue. Une alerte signée par sept organismes de quatre pays impose un autre niveau de lecture. Elle dit aux entreprises que le risque n’est plus théorique. Elle dit aux plateformes d’emploi que leurs fils de discussion sont devenus des salles d’attente pour opérateurs étatiques. Elle dit aux freelances que le prochain brief technique peut être un piège, même s’il parle le jargon exact de leur stack.

Le document remercie explicitement NTT Security Japan et bitFlyer pour leur coopération. Cette mention n’est pas décorative. Elle montre que la détection avance quand un acteur privé refuse un candidat bizarre et quand un prestataire de sécurité partage des indicateurs. La chasse se joue désormais des deux côtés : agences et entreprises.

Nommer Pyongyang ne stoppe pas la campagne. Cela force toutefois les recruteurs à regarder autrement un CV trop parfait.

Lecture de la doctrine d’attribution publique

Comment Se Protéger Sans Paranoïa Inutile

La consigne n’est pas d’arrêter de travailler. Elle est de séparer les univers. Une machine de test n’est pas une machine de trésorerie. Un dépôt reçu pour un entretien ne s’exécute pas avec des wallets déverrouillés. Une phrase de récupération n’a rien à faire dans un gestionnaire de mots de passe ouvert pendant un live coding.

Vérifier un numéro en rappelant. Demander une visioconférence caméra allumée. Refuser tout paquet qui n’a pas de source auditable. Isoler Node et NPM dans un environnement jetable. Préférer un portefeuille matériel pour tout stock durable. Ces gestes paraissent basiques. Ils auraient suffi, dans de nombreux cas documentés, à transformer un vol total en simple perte de temps.

Les entreprises, elles, doivent traiter le recrutement comme une surface d’attaque. Contrôler l’identité au-delà du PDF. Recouper les dates, les fuseaux, les références. Interdire l’exécution de code candidat sur le réseau interne. Surveiller les accès anormaux dès la période d’essai. Waterplum cherche aussi des salaires et des codes sources, pas seulement des seed phrases.

Une Filière, Deux Métiers, Un Même Objectif

Le rapport insiste sur l’unité de la filière. D’un côté, des opérateurs volent des cryptoactifs pour alimenter les caisses du régime. De l’autre, des informaticiens nord-coréens se font embaucher à distance, parfois via des intermédiaires et des fermes de portables, pour toucher des rémunérations en devises et, à l’occasion, extraire de la propriété intellectuelle. Les deux activités se nourrissent. Les mêmes compétences, les mêmes relais, parfois les mêmes machines.

Pyongyang changera probablement l’emballage. Un nouveau nom de malware, un nouveau récit de recrutement, une nouvelle plateforme. La mécanique restera lisible : confiance professionnelle, exécution locale, exfiltration silencieuse. Sept organismes viennent de donner un nom et un numéro à cette mécanique. Aux équipes techniques, maintenant, de cesser de traiter l’entretien d’embauche comme une zone hors menace.

Le monde crypto aime croire que le risque majeur vient d’un contrat mal audité ou d’un pont mal conçu. Waterplum rappelle une leçon plus ancienne. Avant le code on-chain, il y a l’humain qui clique, installe et partage son écran. Tant que cette étape restera négligée, 7 000 wallets ne seront qu’un palier, pas un plafond.