Les pirates informatiques nord-coréens de WaterPlum ont dérobé 10.7$ en cryptomonnaies, selon le Japon et ses alliés
- La police japonaise, le FBI et des agences australiennes et allemandes ont déclaré que le groupe nord-coréen WaterPlum avait dérobé environ 10.71$ en cryptomonnaie.
- La campagne a infecté plus de 30 000 appareils dans plus de 100 pays et a vidé lesdentd’environ 7 000 comptes de cryptomonnaies.
- Pour les développeurs et les indépendants, c'est un avertissement direct : les faux tests de codage et les téléchargements d'entretiens constituent une menace réelle qui finance Pyongyang.
L'Agence nationale de police du Japon, en collaboration avec le FBI et les services de sécurité australiens et allemands, a identifié un groupe nord-coréen qui se faisait passer pour un cabinet de recrutement spécialisé dans les technologies de l'information, tout en dérobant des cryptomonnaies à des professionnels de l'informatique du monde entier. Ils ont ainsi transféré pour 1,7 milliard de yens (environ 10.71$ ) d'actifs vers la Corée du Nord.
L'équipe se nomme WaterPlum mais utilise « Contagious Interview » comme alias, et elle a ciblé des victimes dans le monde entier, notamment au Japon, aux États-Unis, en Europe et ailleurs, selon un avis conjoint publié le vendredi 18 septembre 2026 par les sept agences.
Sept agences, une attribution publique
L'avis mentionne les noms de sept agences: le Bureau national de cybersécurité du Japon (NPA), le FBI, le Centre de lutte contre la cybercriminalité du département de la Défense, le Centre de cybersécurité ASD d'Australie, ainsi que le BND et le BfV allemands.
L’annonce a été faite dans le cadre d’une « attribution publique », une mesure visant à dissuader les futures attaques en exposant l’État ou le groupe à l’origine d’une cyberattaque malveillante.
D'après l'évaluation de l'Agence nationale de police (NPA) et du FBI, les pirates informatiques de WaterPlum, ainsi qu'un groupe d'informaticiens nord-coréens, étaient sous les ordres du 313e Bureau général du Département de l'industrie des munitions, une unité placée sous l'autorité du Comité central du Parti des travailleurs de Corée. Cela signifie que l'opération s'inscrivait dans un plan plus vaste utilisé par Pyongyang pour financer son programme d'armement. Les agences de renseignement américaines ont déjà formulé cette même accusation par le passé, lors d'un épisode de vol de cryptomonnaies par la Corée du Nord, accusation que le régime nord-coréen réfute catégoriquement.
Comment fonctionnait le système de faux emplois en Corée du Nord
Le stratagème fonctionnait ainsi : les pirates se faisaient passer pour des responsables du recrutement dans des entreprises d’IA, des sociétés de cryptomonnaies et des start-ups spécialisées dans les NFT, proposant des offres d’emploi alléchantes aux développeurs de logiciels. Les candidats devaient ensuite passer des entretiens techniques ou réaliser des exercices de programmation avant de recevoir la consigne de télécharger et d’exécuter des fichiers dans le cadre de l’évaluation.
Les fichiers téléchargés étaient corrompus par des logiciels malveillants. Plusieurs souches de logiciels malveillants étaient présentes dans les paquets du gestionnaire de paquets Node, notamment : BeaverTail, InvisibleFerret, OtterCookie, OtterCandy et StoatWaffle. Après installation, le code a créé une porte dérobée, permettant un accès distant via des chevaux de Troie ettracles mots de passe du navigateur, les frappes au clavier, les captures d'écran, ainsi que les clés privées et les phrases de récupération utilisées pour accéder aux portefeuilles de cryptomonnaies
Entre décembre de l'année dernière et juillet de cette année, l'opération a corrompu plus de 30 000 appareils dans plus de 100 pays et des informations sensibles appartenant à environ 7 000 comptes de cryptomonnaie.
Un centre de traitement d'ordinateurs portables détruit au Japon
L'opération s'est déroulée en deux phases, la seconde concernant la main-d'œuvre. Selon l'annonce de l'Agence nationale de police (NPA), certains informaticiens nord-coréens,dent en Corée du Nord, en Chine et en Russie, ont obtenu clandestinement destracde programmation et de développement web à distance, tout en envoyant leurs salaires en Corée du Nord.
Au total, des centaines de millions de yens ont été rapatriés en Corée du Nord au fil des ans.
Pour dissimuler l'origine physique de ces activités, le réseau s'est appuyé sur des personnes locales exploitant des fermes d'ordinateurs portables et des serveurs privés virtuels pour les pirates informatiques. Les autorités japonaises ont repéré, enquêté et démantelé une ferme d'ordinateurs portables gérée par un complice au Japon ; une première du genre.
Dans le cadre d'une opération nord-coréenne de plus en plus vaste
Cet avis met en lumière une tendance croissante observée ces derniers mois : une augmentation de 420 % des logiciels malveillants ciblant les blockchains publiques, dont une part importante provient de Corée du Nord et d’Iran.
Le vol de cryptomonnaies par la Corée du Nord a été qualifié de menace majeure pour la sécurité lors du des dirigeants du G7 en juin dernier. Cette qualification fait suite à la découverte d'un détournement d'environ 6.75$ milliards de dollars depuis 2016 par des acteurs liés à la Corée du Nord.
L'appât du recrutement est une signature récurrente. Vangelis Stykas, chercheur chez Black Hat, a déclaré cette année avoir tracdes pirates informatiques nord-coréens dans 1 640 entreprises réparties dans 57 pays, souvent en appâtant les développeurs avec de fausses offres d'emploi qui installent des logiciels malveillants, comme l'a rapporté Cryptopolitan .
Ne vous contentez pas de lire les actualités crypto. Comprenez-les. Abonnez-vous à notre newsletter. C'est gratuit.
FAQ
Qu'est-ce que WaterPlum et qui est derrière ce projet ?
WaterPlum, également appelé « Contagious Interview », est un groupe cybernétique nord-coréen que l'Agence nationale de police du Japon et le FBI estiment opérer sous l'égide du 313e Bureau général du Département de l'industrie des munitions, qui fait partie du Comité central du Parti des travailleurs de Corée.
Quelle quantité de cryptomonnaies WaterPlum a-t-il volée ?
L'avis conjoint indique que le groupe a transféré 1,7 milliard de yens, soit environ 10.71$ ou environ 14,5 milliards de wons coréens, en cryptomonnaie volée vers la Corée du Nord, après avoir compromis lesdentd'environ 7 000 comptes de cryptomonnaie.
Comment les pirates informatiques ont-ils infecté leurs victimes ?
Ils se faisaient passer pour des recruteurs d'entreprises spécialisées dans l'IA, les cryptomonnaies et les NFT, et demandaient aux développeurs de passer des tests de codage ou des entretiens, puis leur faisaient télécharger des fichiers contenant des logiciels malveillants tels que BeaverTail, InvisibleFerret et OtterCookie qui volaient les clés de portefeuille et les données de connexion.
Avertissement : Les informations fournies ne constituent pas un conseil en investissement. CryptopolitanCryptopolitan.com toute responsabilité quant aux investissements réalisés sur la base des informations présentées sur cette page. Nous voustronrecommandons vivement d’effectuer vosdent et/ou de consulter un professionnel qualifié avant toute décision d’investissement.
Hannah Collymore
Hannah est rédactrice et éditrice, forte d'une expérience de près de dix ans dans la rédaction de blogs et la couverture d'événements liés aux cryptomonnaies. Chez Cryptopolitan, elle contribue à la page d'actualités en rédigeant des articles et en analysant les dernières évolutions de la finance décentralisée DeFi, des comptes gérés par les utilisateurs (RWA), de la réglementation des cryptomonnaies, de l'intelligence artificielle (IA) et des technologies de pointe. Elle est diplômée en administration des affaires de l'université Arcadia.
