Les hackers nord-coréens WaterPlum ont volé 10,7 M$ de crypto, disent le Japon et ses alliés
- La police japonaise, le FBI et des agences en Australie et en Allemagne ont indiqué que le groupe nord-coréen WaterPlum a dérobé environ 10,71 millions de dollars en cryptomonnaies.
- Cette campagne a infecté plus de 30 000 appareils dans plus de 100 pays et extrait les identifiants d'environ 7 000 comptes de cryptomonnaies.
- Pour les développeurs et les freelances, c'est un avertissement direct : les tests de codage et les téléchargements d'entretien falsifiés constituent une menace active finançant Pyongyang.
L'Agence nationale de police du Japon, aux côtés du FBI et des agences de sécurité en Australie et en Allemagne, ont donné un nom à un groupe nord-coréen qui se faisait passer pour des recruteurs technologiques tout en volant des cryptomonnaies auprès de professionnels de l'informatique dans le monde entier. Ils ont détourné 1,7 milliard de yens (environ 10,71 millions de dollars) d'actifs vers la Corée du Nord.
L'équipe est appelée WaterPlum mais utilise « Contagious Interview » comme alias, et ils ont ciblé des victimes dans le monde entier, y compris au Japon, aux États-Unis, en Europe et au-delà, selon un avis conjoint que les sept agences ont publié vendredi le 18 septembre 2026.
Sept agences, une attribution publique
L'avis porte les noms de sept agences: le Bureau national de cybersécurité du Japon, la NPA, le FBI, le Cyber Crime Center du Département de la défense, le Centre de cybersécurité ASD d'Australie, ainsi que le BND et le BfV en Allemagne.
L'annonce a été faite dans le cadre d'un cadre d'« attribution publique », une mesure visant à dissuader les attaques futures en exposant l'État ou le groupe derrière une cyberattaque malveillante.
Sur la base de l'évaluation de la NPA et du FBI, les hackers de WaterPlum, aux côtés d'un groupe de travailleurs nord-coréens de l'informatique, sont sous le commandement du 313e Bureau général du Département de l'industrie des munitions, une unité sous les auspices du Comité central du Parti des travailleurs de Corée. Cela signifie que l'opération faisait partie d'un plan plus large utilisé par Pyongyang pour financer son programme d'armes. Les agences de renseignement américaines ont ont formulé la même accusation par le passé lors d'un épisode de vol de crypto nord-coréen, une accusation que le régime nord-coréen nie vigoureusement.
Comment a fonctionné le faux schéma d'emploi nord-coréen
Le schéma fonctionnait ainsi : les hackers se faisaient passer pour des gestionnaires de recrutement dans des entreprises d'IA, des entreprises de crypto et des startups NFT, offrant des offres d'emploi irrésistibles aux développeurs de logiciels. Les candidats passaient ensuite des entretiens techniques ou complétaient des affectations de codage avant d'être invités à télécharger et à exécuter des fichiers dans le cadre de l'évaluation.
Les fichiers téléchargés étaient corrompus par des logiciels malveillants. Il y avait diverses souches de logiciels malveillants dans les packages Node Package Manager. Ils comprenaient : BeaverTail, InvisibleFerret, OtterCookie, OtterCandy et StoatWaffle. Après l'installation, le code créait une porte dérobée, maintenant l'accès via des chevaux de Troie d'accès à distance, et extrayait les mots de passe du navigateur, les frappes au clavier, les captures d'écran, ainsi que les clés privées et les phrases de graine utilisées pour accéder aux portefeuilles crypto
De décembre dernier à juillet de cette année, l'opération a corrompu plus de 30 000 appareils dans plus de 100 pays et des informations sensibles appartenant à environ 7 000 comptes de cryptomonnaie.
Une ferme d'ordinateurs portables détruite au Japon
L'opération se composait de deux parties, et la deuxième partie impliquait de la main-d'œuvre. Selon l'annonce de la NPA, certains travailleurs nord-coréens de l'informatique, résidant en Corée du Nord, en Chine et en Russie, ont obtenu des contrats de programmation et de développement web à distance de manière clandestine, tout en renvoyant leurs salaires en Corée du Nord.
Au total, des centaines de millions de yens ont été routés vers la Corée du Nord au fil des ans.
Pour dissimuler l'origine physique de ce travail, le réseau a utilisé des locaux qui faisaient fonctionner des fermes d'ordinateurs portables et des serveurs privés virtuels pour les hackers. Les autorités japonaises ont repéré, enquêté et arrêté une ferme d'ordinateurs portables dirigée par un facilitateur au Japon, une première en son genre.
Partie d'une opération nord-coréenne en expansion
L'avis éclaire davantage un schéma croissant qui s'est développé au fil des mois. Il y a eu un 420% dans les logiciels malveillants écrits pour les blockchains publiques. Avec une énorme partie d'entre eux provenant de la Corée du Nord et de l'Iran.
Le vol de crypto par la Corée du Nord a été classé comme une menace de sécurité importante lors d'une les dirigeants G7 réunion en juin de cette année. Cela a suivi la découverte d'environ 6,75 milliards de dollars volés depuis 2016 par des acteurs liés à la Corée du Nord.
L'appât du recrutement est une signature récurrente. Le chercheur Black Hat Vangelis Stykas a déclaré cette année qu'il avait tracé les hackers nord-coréens dans 1 640 entreprises dans 57 pays, souvent en appâtant les développeurs avec de fausses offres d'emploi qui installent des logiciels malveillants, comme l'a rapporté Cryptopolitan.
Ne vous contentez pas de lire les actualités crypto. Comprenez-les. Abonnez-vous à notre newsletter. C'est gratuit.
FAQ
Qu'est-ce que WaterPlum et qui se cache derrière ?
WaterPlum, également appelé « Entretien contagieux », est un groupe cybernétique nord-coréen que le NPA japonais et le FBI estiment opérer sous la bannière du Bureau général 313 du Département de l'industrie des munitions, rattaché au Comité central du Parti des travailleurs de Corée.
Combien de cryptomonnaies WaterPlum a-t-il volées ?
L'avis conjoint indique que le groupe a transféré 1,7 milliard de yens, soit environ 10,71 millions de dollars ou près de 14,5 milliards de wons sud-coréens, de cryptomonnaies volées vers la Corée du Nord, après avoir compromis les identifiants d'environ 7 000 comptes de cryptomonnaies.
Comment les pirates ont-ils infecté leurs victimes ?
Ils se sont fait passer pour des recruteurs auprès d'entreprises spécialisées dans l'IA, la crypto-monnaie et les NFT, demandant aux développeurs de passer des tests de codage ou des entretiens, puis les ont incités à télécharger des fichiers contenant des logiciels malveillants tels que BeaverTail, InvisibleFerret et OtterCookie, qui volaient les clés de portefeuille et les données de connexion.
Avertissement. Les informations fournies ne constituent pas des conseils en matière de trading. Cryptopolitan.com décline toute responsabilité concernant les investissements réalisés sur la base des informations fournies sur cette page. Nous recommandons vivement une recherche indépendante et/ou une consultation avec un professionnel qualifié avant de prendre toute décision d'investissement.
Hannah Collymore
Hannah est rédactrice et éditrice avec près de dix ans d'expérience dans la rédaction de blogs et le reporting d'événements dans l'espace crypto. Chez Cryptopolitan, Hannah contribue à la page actualités, en rapportant et en analysant les derniers développements dans les secteurs de la DeFi, des RWA, de la régulation des crypto-monnaies, de l'IA et des technologies de pointe. Elle est diplômée de l'Université Arcadia avec un diplôme en administration des affaires.
