Le groupe de hackers WaterPlum, lié à la Corée du Nord, a compromis plus de 30 000 appareils dans plus de 100 pays et régions, dérobant des informations de plus de 7 000 portefeuilles de cryptomonnaies tout en ciblant des développeurs via de fausses campagnes de recrutement.
L'Agence nationale de police du Japon a déclaré le 18 septembre que son enquête, menée avec le Bureau national de la cybersécurité, le FBI, le Centre de cybercriminalité du Département de la Défense des États-Unis et des agences en Australie et en Allemagne, a révélé les méthodes d'attaque du groupe et ses liens avec des travailleurs informatiques nord-coréens.
Les autorités japonaises et américaines ont estimé que WaterPlum, associé à l'activité de menace communément appelée Contagious Interview, et certains travailleurs informatiques nord-coréens opèrent sous l'égide du Bureau 313 du Département de l'industrie des munitions du Parti des travailleurs de Corée.
Les enquêteurs ont découvert que plus de 30 000 ordinateurs ont probablement été infectés entre environ décembre 2025 et juillet 2026. Les victimes étaient réparties dans plus de 100 pays et régions, y compris le Japon, avec des concepteurs web, des ingénieurs et des personnes travaillant dans la crypto, la blockchain et le Web3 parmi les principales cibles.
Plus de 7 000 enregistrements de portefeuilles de cryptomonnaies ont été volés pendant les infections, tandis que les portefeuilles contrôlés par WaterPlum ont reçu au moins 1,7 milliard de yens, soit environ 10,7 millions de dollars selon le taux de change utilisé par les autorités japonaises.
Le ministère japonais des Affaires étrangères a confirmé séparément que les autorités du Japon, des États-Unis, d'Australie et d'Allemagne avaient conjointement divulgué les tactiques de WaterPlum et les activités des travailleurs informatiques nord-coréens impliqués dans la génération de devises étrangères et les stratagèmes de recrutement.
WaterPlum a approché des développeurs de logiciels et d'autres travailleurs informatiques via les médias sociaux, les sites d'emploi en ligne, les plateformes de micro-tâches et les marchés de freelances, selon le rapport de la police japonaise. Les attaquants se sont fait passer pour des entreprises légitimes d'intelligence artificielle, de cryptomonnaies et de NFT ou des services de recrutement avant de présenter aux candidats des opportunités d'emploi apparemment attrayantes.
Lors d'entretiens techniques ou de tests de codage, les candidats ont été invités à télécharger des programmes malveillants hébergés sur des plateformes de développement collaboratif et des dépôts de code. Certaines victimes se sont fait dire que les fichiers étaient nécessaires pour diagnostiquer des problèmes avec des logiciels de vidéoconférence ou pour compléter une tâche de codage.
Le groupe a placé des malwares, notamment BeaverTail, InvisibleFerret, OtterCookie, OtterCandy et StoatWaffle, à l'intérieur de paquets NPM malveillants. Une fois un appareil compromis, les attaquants pouvaient établir des portes dérobées et utiliser des outils d'accès à distance pour maintenir l'accès et se déplacer à travers les systèmes affectés. Des malwares voleurs d'informations étaient ensuite utilisés pour extraire des données confidentielles et des cryptomonnaies.
Les informations volées comprenaient des identifiants de navigateur, des frappes au clavier, des captures d'écran et des données du presse-papiers. Les clés privées et les phrases de récupération (seed phrases) des portefeuilles de cryptomonnaies figuraient parmi les enregistrements ciblés, ainsi que des documents d'identité tels que les passeports et les permis de conduire stockés sur les ordinateurs affectés ou les dossiers partagés.
Des chercheurs en sécurité ont documenté des méthodes de recrutement similaires dans l'industrie de la crypto. Comme crypto.news l'a précédemment rapporté, des développeurs liés à la Corée du Nord avaient travaillé sur plus de 40 projets DeFi sur sept ans, selon Taylor Monahan, développeur MetaMask et chercheur en sécurité. Les enquêteurs ont décrit les offres d'emploi, les e-mails, les messages LinkedIn, les appels Zoom et les processus d'entretien comme des voies récurrentes utilisées pour approcher les cibles.
Des enquêteurs japonais ont déclaré avoir démantelé la première « ferme d'ordinateurs portables » nationale connue liée à des travailleurs informatiques nord-coréens dans le pays. Dans le cadre de cet arrangement, un facilitateur local gardait des ordinateurs à sa résidence tandis que les travailleurs contrôlaient les machines à distance depuis un autre endroit.
Les travailleurs utilisaient des documents d'identité fournis par des personnes vivant au Japon pour les usurper lorsqu'ils recherchaient des contrats. Dans certains cas, les paiements étaient dirigés vers des comptes bancaires contrôlés par des facilitateurs, qui transféraient ensuite l'argent. Des travailleurs nord-coréens liés aux enquêtes ont envoyé des cryptomonnaies et d'autres actifs d'une valeur de centaines de millions de yens à l'étranger, selon l'agence.
Certains travailleurs opéraient depuis la Corée du Nord, tandis que d'autres étaient basés en Chine ou en Russie, avec un plus petit nombre situé en Afrique et en Asie du Sud-Est. Les fermes d'ordinateurs portables et les serveurs privés virtuels leur permettaient de masquer l'endroit où le travail était réellement effectué tout en acceptant des emplois via des services de crowdsourcing nationaux et étrangers.
Des opérations comparables ont été poursuivies aux États-Unis. Deux Américains ont été condamnés à 18 mois de prison en 2026 pour avoir aidé des travailleurs nord-coréens à accéder à distance à des ordinateurs portables d'entreprise, tandis que le ministère de la Justice a déclaré que les stratagèmes impliquaient près de 70 entreprises et avaient généré plus de 1,2 million de dollars. Ces condamnations ont porté à huit le nombre de facilitateurs de fermes d'ordinateurs portables condamnés aux États-Unis sur une période de cinq mois.
Les autorités américaines ont également poursuivi les produits des stratagèmes d'emploi par le biais d'affaires de confiscation de cryptomonnaies. Un juge fédéral a ordonné en septembre la confiscation d'environ 212 700 $ en USDC et USDT tracés vers des adresses de paiement utilisées par des travailleurs informatiques nord-coréens, dans le cadre d'un effort du ministère de la Justice impliquant plus de 7,74 millions de dollars en actifs numériques.
Les procureurs ont déclaré que le portefeuille confisqué avait reçu environ 158 123 USDC d'au moins 10 adresses utilisées pour payer les travailleurs et 54 574 USDT d'au moins quatre autres adresses de paiement. Les autorités ont allégué que les travailleurs dissimulaient leur identité et leur localisation tout en acceptant des emplois technologiques à l'étranger avant d'acheminer leurs gains via la cryptomonnaie.
L'enquête japonaise a identifié une tentative distincte d'un travailleur informatique nord-coréen suspect de décrocher un poste d'ingénieur au sein de l'échange de cryptomonnaies bitFlyer en mai 2025.
Le candidat a soumis un CV sous l'identité d'une autre personne directement via le formulaire de recrutement de l'échange et a utilisé Gmail comme adresse de contact. Les enquêteurs ont déclaré que la personne avait accédé au système de candidature via des services VPN et proxy, notamment NETNUT Proxy, Astrill VPN et High Speed Rabbit Proxy.
Lors d'un entretien en ligne, le candidat a affirmé être Malaisien et vivre en Finlande. Le CV faisait état d'une vaste expérience dans les langages de programmation, la blockchain, les cryptomonnaies et les services cloud, ainsi que d'une formation dans une université européenne et d'un emploi dans plusieurs villes européennes et asiatiques.
Le candidat a pu répondre à des questions simples sur les compétences listées, mais a donné des réponses abstraites ou a évité les questions plus détaillées, selon l'agence. Les enquêteurs ont noté des vérifications répétées d'un autre écran pendant l'entretien, des voix occasionnelles en arrière-plan et des interruptions du flux vidéo. La personne a refusé de déménager au Japon et a insisté pour recevoir son salaire en cryptomonnaie. bitFlyer a identifié le comportement suspect et n'a pas embauché le candidat, et aucun dommage n'a été signalé.
Une tentative de recrutement similaire avait déjà été détectée chez Kraken, où un candidat soupçonné de liens avec la Corée du Nord a participé à un entretien en utilisant un nom différent de celui figurant sur le CV et a semblé recevoir une assistance en temps réel pendant l'appel. L'échange a ensuite lié l'adresse e-mail du candidat à des informations précédemment signalées par des partenaires de l'industrie.
Les autorités japonaises ont découvert un lien technique entre les attaques de WaterPlum, les opérations de travailleurs étrangers et la tentative de recrutement chez bitFlyer.
Les adresses IP utilisées par les attaquants de WaterPlum correspondaient aux adresses utilisées par les travailleurs informatiques nord-coréens pour se connecter aux fermes d'ordinateurs portables et aux services de crowdsourcing, selon l'Agence nationale de police. Les enquêteurs ont découvert que le travailleur nord-coréen suspect qui avait postulé pour le poste d'ingénieur chez bitFlyer avait utilisé une infrastructure correspondante.
L'Agence nationale de police et le FBI ont estimé que le Bureau 313 jouait un rôle central à la fois dans les cyberattaques de WaterPlum et dans certaines opérations de génération de devises étrangères menées par des travailleurs informatiques nord-coréens.
Les autorités japonaises ont conseillé aux entreprises de vérifier les lieux de résidence déclarés, les qualifications et les informations de contact des candidats, en particulier lorsque ces derniers insistent sur le travail à distance ou les paiements en cryptomonnaie. Les employeurs ont été invités à vérifier les compétences techniques lors des entretiens et à examiner attentivement les cas où la résidence déclarée d'un candidat ne correspond pas à l'emplacement de l'adresse IP utilisée pour soumettre une candidature.
USDT
USDC
