Auteur : Sam Kessler, Coindesk
Compilé par : Joy, PANews
Points principaux de l'article :
CoinDesk a découvert que plus d'une douzaine de sociétés de crypto-monnaie ont embauché sans le savoir des informaticiens de Corée du Nord, y compris des projets de blockchain de grande envergure tels que Injective, ZeroLend, Fantom, Sushi, Yearn Finance et Cosmos Hub.
Ces employés ont utilisé de fausses pièces d’identité, ont réussi des entretiens, ont réussi des contrôles de qualification et ont fourni une expérience de travail authentique.
L'embauche de travailleurs nord-coréens est illégale aux États-Unis et dans d'autres pays qui imposent des sanctions à la Corée du Nord. Cela pose également des risques de sécurité, CoinDesk ayant découvert que plusieurs entreprises avaient été piratées après avoir employé des informaticiens nord-coréens.
Zaki Manian, un développeur de blockchain bien connu, a déclaré : « Tout le monde essaie de filtrer ces personnes. Il a déclaré qu'il avait embauché par inadvertance deux informaticiens nord-coréens en 2021 pour aider à développer la blockchain Cosmos Hub.
La société de crypto-monnaie Truflation en était encore à ses balbutiements en 2023 lorsque son fondateur Stefan Rust a embauché sans le savoir son premier employé nord-coréen.
"Nous sommes toujours à la recherche de bons développeurs", a déclaré Rust depuis son domicile en Suisse. À l'improviste, "ce développeur nous a rencontrés".
"Ryuhei" a envoyé son CV via Telegram, affirmant travailler au Japon. Peu de temps après son embauche, d’étranges contradictions ont commencé à faire surface.
À un moment donné, "j'ai parlé au gars au téléphone et il m'a dit qu'il avait eu un tremblement de terre", se souvient Rust. Mais il n’y a eu aucun tremblement de terre récent au Japon. L'employé a alors commencé à manquer des appels et lorsqu'il s'est présenté, "ce n'était pas lui", a déclaré Rust. "C'est quelqu'un d'autre." Qui que ce soit, son accent japonais avait disparu.
Rust a vite appris que "Ryuhei" et quatre autres employés, soit plus d'un tiers de son équipe, étaient nord-coréens. Rust est tombé involontairement dans une conspiration organisée par la Corée du Nord visant à fournir à ses employés des emplois à l'étranger et à rapatrier leurs revenus à Pyongyang.
Les autorités américaines ont récemment intensifié leurs avertissements selon lesquels des informaticiens nord-coréens infiltrent des entreprises technologiques, y compris des employeurs de crypto-monnaie, et utilisent les bénéfices pour financer le programme d'armes nucléaires du pays. Selon un rapport des Nations Unies de 2024, ces informaticiens gagnent à la Corée du Nord jusqu'à 600 millions de dollars par an.
Embaucher et payer des travailleurs – même involontairement – viole les sanctions de l’ONU et est illégal aux États-Unis et dans de nombreux autres pays. Cela pose également un risque sérieux pour la sécurité, car les pirates informatiques nord-coréens sont connus pour employer des employés en secret pour attaquer des entreprises.
Une enquête de CoinDesk révèle la motivation et la fréquence avec laquelle les demandeurs d'emploi nord-coréens ciblent les sociétés de cryptomonnaie : ils réussissent les entretiens, réussissent les vérifications d'antécédents et démontrent même un historique impressionnant de contributions de code sur le référentiel de logiciels open source GitHub.
CoinDesk s'est entretenu avec plus d'une douzaine de sociétés de crypto-monnaie qui affirment avoir embauché par inadvertance des informaticiens de Corée du Nord.
Ces entretiens avec des fondateurs, des chercheurs en blockchain et des experts du secteur suggèrent que les informaticiens nord-coréens sont beaucoup plus présents dans l'industrie de la cryptographie qu'on ne le pensait auparavant. Presque tous les responsables du recrutement interrogés pour cet article ont admis avoir interviewé des développeurs nord-coréens présumés, les avoir embauchés à leur insu ou connaître quelqu'un qui l'avait fait.
Zaki Manian, un développeur de blockchain bien connu, a déclaré : « Dans l'ensemble du secteur du cryptage, la proportion de CV, de candidats ou de contributeurs en provenance de Corée du Nord pourrait dépasser 50 %. Il a déclaré avoir embauché par inadvertance deux informaticiens nord-coréens en 2021. » employés pour aider à développer la blockchain Cosmos Hub. "Tout le monde essaie d'éliminer ces gens-là."
Parmi les employeurs nord-coréens involontaires identifiés par CoinDesk figurent plusieurs projets de blockchain bien connus tels que Cosmos Hub, Injective, ZeroLend, Fantom, Sushi et Yearn Finance. "Tout se passe dans les coulisses", a déclaré Manian.
C’est la première fois que les entreprises reconnaissent publiquement avoir embauché involontairement des informaticiens nord-coréens.
Dans de nombreux cas, les travailleurs nord-coréens travaillent comme des employés réguliers ; donc, dans un sens, les employeurs obtiennent essentiellement ce pour quoi ils paient. Mais CoinDesk a trouvé des preuves que ces employés ont ensuite transféré leurs salaires à des adresses blockchain liées au gouvernement nord-coréen.
L’enquête de CoinDesk a également révélé plusieurs cas dans lesquels des projets de cryptographie employant du personnel informatique nord-coréen ont ensuite été piratés. Dans certains de ces cas, le vol a pu être directement lié à des employés informatiques nord-coréens présumés figurant sur la liste de paie de l'entreprise. Ce fut le cas de Sushi, un protocole DeFi bien connu qui a perdu 3 millions de dollars lors d'un piratage en 2021.
L’Office of Foreign Assets Control (OFAC) du département du Trésor américain et le ministère de la Justice ont commencé à rendre publiques les tentatives de la Corée du Nord d’infiltrer l’industrie américaine des cryptomonnaies en 2022. CoinDesk a découvert des preuves selon lesquelles des informaticiens nord-coréens avaient commencé à travailler pour des sociétés de cryptomonnaie sous de fausses identités bien avant cela, au moins dès 2018.
"Je pense que beaucoup de gens pensent à tort que c'est quelque chose qui s'est produit de manière inattendue", a déclaré Manian. "Ces personnes avaient des comptes GitHub et d'autres choses remontant à 2016, 2017, 2018." (GitHub, propriété de Microsoft, est une plate-forme en ligne utilisée par de nombreuses organisations logicielles pour héberger du code et permettre aux développeurs de collaborer.)
CoinDesk a utilisé diverses méthodes pour connecter les informaticiens nord-coréens aux entreprises, notamment les enregistrements de paiement blockchain, les contributions publiques au code GitHub, les e-mails de responsables du gouvernement américain et les entretiens directs avec des entreprises ciblées. L'un des plus grands réseaux de paiement en Corée du Nord étudié par CoinDesk a été découvert par l'enquêteur blockchain ZachXBT, qui a publié une liste de développeurs nord-coréens présumés en août.
Auparavant, les employeurs gardaient le silence par crainte de publicité indésirable ou de répercussions juridiques. Aujourd'hui, face à une multitude de documents de paiement et d'autres preuves découvertes par CoinDesk, beaucoup d'entre eux ont décidé de se manifester et de partager leurs histoires pour la première fois, révélant ainsi le succès extraordinaire et l'ampleur de l'infiltration de la Corée du Nord dans l'industrie des cryptomonnaies.
faux documents
Après avoir embauché Ryuhei, qui était apparemment un employé japonais, Rust's Truflation a été inondé de nouvelles candidatures. En quelques mois seulement, Rust a embauché sans le savoir quatre autres développeurs nord-coréens, qui prétendaient être basés à Montréal, Vancouver, Houston et Singapour.
L’industrie de la cryptographie est particulièrement vulnérable aux perturbations causées par les informaticiens nord-coréens. La main-d’œuvre de l’industrie de la cryptographie est très mondiale et les sociétés de cryptographie ont tendance à être plus disposées à embaucher des développeurs entièrement à distance (ou même anonymes) que les autres entreprises.
CoinDesk a examiné les candidatures nord-coréennes reçues par les sociétés de crypto-monnaie provenant de diverses sources, notamment des plateformes de messagerie comme Telegram et Discord, des sites d'emploi spécifiques aux crypto-monnaies comme Crypto Jobs List et des sites d'emploi comme Indeed.
"Là où ils sont le plus susceptibles d'être embauchés, c'est dans des équipes vraiment nouvelles et prometteuses qui sont prêtes à embaucher sur Discord", a déclaré Taylor Monahan, chef de produit de l'application de portefeuille cryptographique MetaMask, qui publie fréquemment des recherches sur la sécurité liées au Nord. Activités cryptographiques de la Corée. "Ils n'ont pas mis en place de processus pour embaucher des personnes qui vérifient leurs antécédents. Bien souvent, ils sont prêts à payer en crypto-monnaie."
Rust a déclaré qu'il effectuait des vérifications des antécédents de tous les nouveaux employés de Truflation. "Ils nous ont envoyé nos passeports et nos cartes d'identité, nous ont donné le référentiel GitHub, l'ont testé, puis nous les avons embauchés."
Un demandeur qui a présenté un permis de conduire texan comme preuve d'identité à la société de crypto-monnaie Truflation est désormais soupçonné d'être un citoyen nord-coréen. CoinDesk retient certains détails parce que les informaticiens nord-coréens ont utilisé des identifiants volés. (Image gracieuseté de Stefan Rust)
Pour un profane, la plupart des faux documents seront impossibles à distinguer des véritables passeports et visas, mais les experts ont déclaré à CoinDesk que les services professionnels de vérification des antécédents sont susceptibles de les attraper.
L'un des employés informatiques nord-coréens présumés identifiés par ZachXBT, « Naoki Murano », a fourni à l'entreprise un passeport japonais apparemment authentique. (Photo gracieuseté de Taylor Monahan)
S'il est peu probable que les startups fassent appel à des vérificateurs d'antécédents professionnels, "nous voyons du personnel informatique nord-coréen dans les grandes entreprises, soit en tant qu'employés réels, soit au moins en tant que sous-traitants", a déclaré Monahan.
Caché à la vue de tous
Dans un certain nombre de cas, CoinDesk a trouvé des informaticiens d'entreprises nord-coréennes utilisant des données de blockchain accessibles au public.
En 2021, la société Iqlusion du développeur de blockchain Manian avait besoin d’aide. Il recherchait des programmeurs indépendants susceptibles de contribuer à un projet de mise à niveau de la populaire blockchain Cosmos Hub. Il a trouvé deux nouveaux employés ; ils ont bien performé.
Manian n'a jamais rencontré en personne les pigistes "Jun Kai" et "Sarawut Sanit". Ils avaient déjà collaboré à un projet de logiciel open source financé par le réseau blockchain étroitement lié THORChain, et ils ont dit à Manian qu'ils étaient à Singapour.
« Je leur ai parlé presque tous les jours pendant un an », a déclaré Manian. "Ils ont fait le travail. Franchement, je suis très content."
Deux ans après que les pigistes ont terminé leur travail, Manian a reçu un e-mail d'un agent du FBI qui enquêtait sur les transferts de jetons qui semblaient provenir d'Iqlusion et avaient été envoyés à une adresse de portefeuille cryptographique nord-coréenne présumée. Les transferts en question se sont avérés être des paiements d'Iqlusion à Kai et Sanit.
Gauche : Un agent du FBI (nom expurgé) a demandé à Zaki Manian des informations sur deux paiements blockchain de sa société, Iqlusion. À droite : Manian a informé les agents que les transactions concernaient Iqlusion et plusieurs sous-traitants.
Le FBI n'a jamais confirmé à Manian que les développeurs qu'il avait engagés étaient des agents nord-coréens, mais un examen par CoinDesk des adresses blockchain de Kai et Sanit a révélé qu'en 2021 et 2022, ils ont transféré leurs revenus à deux personnes figurant sur la liste des sanctions de l'OFAC : Kim Sang Man et. Sim Hyon Sop.
Selon l'OFAC, Sim était un représentant de la Kwangson Bank de Corée du Nord, qui blanchissait les fonds des travailleurs informatiques pour aider à « financer les programmes d'armes de destruction massive et de missiles balistiques de la Corée du Nord ». Sarawut semble avoir canalisé tous ses revenus vers Sim et d'autres portefeuilles blockchain liés à Sim.
Les enregistrements de la blockchain d'avril à décembre 2022 montrent que « Sarawut Sanit » a envoyé tout son salaire dans un portefeuille associé à l'agent nord-coréen Sim Hyon Sop, approuvé par l'OFAC. (Sélection de portefeuilles Ethereum suivis par CoinDesk. Prix de l'actif estimé par Arkham.)
Dans le même temps, Kai a envoyé près de 8 millions de dollars directement à Kim. Selon le rapport consultatif de l'OFAC de 2023, Kim était un représentant de la société nord-coréenne de coopération en matière de technologies de l'information Chinyong, qui « employait une délégation d'informaticiens nord-coréens travaillant en Russie et au Laos par l'intermédiaire de sociétés qu'elle contrôlait et de ses représentants ».
Tout au long de l’année 2021, « Jun Kai » a envoyé 7,7 millions de dollars de crypto-monnaie directement aux adresses blockchain figurant sur la liste des sanctions de l’OFAC associée à Kim Sang Man. (Sélection de portefeuilles Ethereum suivis par CoinDesk. Prix de l'actif estimé par Arkham.)
Le salaire d'Iqlusion à Kai représentait moins de 50 000 dollars sur les près de 8 millions de dollars qu'il avait versés à Kim, le reste provenant en partie d'autres sociétés de cryptomonnaie.
Par exemple, CoinDesk a découvert que la Fondation Fantom, qui développe la blockchain Fantom largement utilisée, avait payé « Jun Kai » et un autre développeur ayant des liens avec la Corée du Nord.
Un porte-parole de la Fondation Fantom a déclaré à CoinDesk : "Fantom a confirmé que deux personnes extérieures étaient impliquées en Corée du Nord en 2021. Cependant, les développeurs impliqués étaient impliqués dans un projet externe qui n'a jamais été achevé ni déployé."
Selon la Fondation Fantom, "Les deux employés impliqués ont été licenciés. Ils n'ont jamais contribué à aucun code malveillant ni accédé à la base de code de Fantom, et les utilisateurs de Fantom n'ont pas été affectés. Un porte-parole a déclaré qu'un employé nord-coréen avait tenté d'attaquer les serveurs de Fantom." mais a échoué en raison du manque de droits d’accès nécessaires.
Selon la base de données OpenSanctions, l’adresse blockchain de Kim liée à la Corée du Nord n’a été publiée par le gouvernement qu’en mai 2023, plus de deux ans après les paiements Iqlusion et Fantom.
donner une marge de manœuvre
Les États-Unis et les Nations Unies ont imposé des sanctions sur l’emploi des informaticiens nord-coréens en 2016 et 2017 respectivement.
Que vous le sachiez ou non, il est illégal de payer des travailleurs nord-coréens aux États-Unis – un concept juridique connu sous le nom de « responsabilité stricte ».
Le lieu d’implantation de l’entreprise n’a pas non plus d’importance : l’embauche de travailleurs nord-coréens comporte des risques juridiques pour toute entreprise exerçant ses activités dans un pays qui impose des sanctions à la Corée du Nord.
Cependant, les États-Unis et d’autres États membres de l’ONU n’ont pas encore poursuivi les sociétés de cryptographie qui emploient des informaticiens nord-coréens.
Le département du Trésor américain a lancé une enquête sur la société américaine Iqlusion, mais Manian a déclaré que l'enquête s'était terminée sans aucune sanction.
Les autorités américaines se sont montrées indulgentes lorsqu'il s'agissait de porter plainte contre ces entreprises – une sorte de reconnaissance du fait que, au mieux, elles avaient subi une forme inhabituellement sophistiquée et sophistiquée d'usurpation d'identité, ou, au pire, une arnaque à long terme des plus humiliantes.
En plus des risques juridiques, Monahan de MetaMask a expliqué que payer les informaticiens nord-coréens est également « mauvais parce que les personnes que vous payez sont essentiellement celles qui sont exploitées par le régime ».
Les informaticiens nord-coréens ne pourront conserver qu'une fraction de leur salaire, selon un rapport de 615 pages du Conseil de sécurité des Nations Unies. "Les salariés à faible revenu bénéficient d'une réserve de 10 pour cent, tandis que les salariés à revenu élevé conservent 30 pour cent", indique le rapport.
Même si ces salaires restent élevés par rapport à la moyenne nord-coréenne, « je me fiche de l'endroit où ils vivent », a déclaré Monahan. "Si je payais quelqu'un et qu'il était obligé d'envoyer la totalité de son salaire à son patron, cela me mettrait très mal à l'aise. Si son patron était le régime nord-coréen, je serais encore plus mal à l'aise."
CoinDesk a contacté plusieurs informaticiens nord-coréens présumés au cours du processus de signalement, mais n'a pas encore reçu de réponse.
avenir
CoinDesk a identifié plus de 20 entreprises susceptibles d'employer des informaticiens nord-coréens en analysant les enregistrements de paiement blockchain d'entités sanctionnées par l'OFAC. Douze entreprises qui ont soumis des documents pertinents ont confirmé à CoinDesk qu'elles avaient déjà trouvé des employés informatiques nord-coréens suspectés sur leur liste de paie.
Certains ont refusé de commenter davantage par crainte de répercussions juridiques, mais d'autres ont accepté de partager leurs histoires dans l'espoir que d'autres puissent tirer des leçons de leurs expériences.
Dans de nombreux cas, les employés nord-coréens sont plus faciles à identifier une fois embauchés.
Eric Chen, PDG d'Injective, un projet axé sur la finance décentralisée, a déclaré qu'il avait engagé un développeur indépendant en 2020, mais l'avait rapidement licencié en raison de mauvaises performances.
"Il n'a pas duré longtemps", a déclaré Chen. "Le code qu'il a écrit était médiocre et les résultats n'étaient pas bons." Chen ne savait pas que l'employé avait des liens avec la Corée du Nord jusqu'à l'année dernière, lorsqu'une "agence gouvernementale" américaine a contacté Injective.
Plusieurs entreprises ont déclaré à CoinDesk qu'elles avaient licencié un employé avant d'avoir connaissance de tout lien avec la Corée du Nord, invoquant une qualité de travail inférieure aux normes.
"Quelques mois de fiches de paie"
Cependant, les informaticiens nord-coréens ressemblent aux développeurs typiques et ont des capacités variables.
D'un côté, vous avez des employés qui « entrent dans l'entreprise, passent un entretien et gagnent quelques mois de salaire », a déclaré Manian. « Et puis, d'un autre côté, lorsque vous interviewez ces personnes, vous le découvrez. ce qu’ils sont réellement. La capacité technique est vraiment forte.
Rust se souvient avoir rencontré « un très bon développeur » à Truflation qui prétendait être de Vancouver, mais a découvert plus tard qu'il venait de Corée du Nord. "C'est vraiment un jeune homme", a déclaré Rust. "C'était comme s'il venait tout juste de sortir de l'université. Un peu vert, très enthousiaste, très enthousiasmé par l'opportunité de travailler."
Dans un autre exemple, la startup DeFi Cluster a licencié deux développeurs en août après que ZachXBT ait fourni la preuve qu'ils avaient des liens avec la Corée du Nord.
"C'est ahurissant de voir tout ce que ces gens savaient", a déclaré à CoinDesk z3n, le fondateur anonyme de Cluster, rétrospectivement, il y avait des "drapeaux rouges évidents". Par exemple, "Ils changent leur adresse de paiement toutes les deux semaines et leur nom Discord ou Telegram tous les mois environ."
webcam éteinte
Lors de conversations avec CoinDesk, de nombreux employeurs ont déclaré avoir remarqué quelque chose d'inhabituel qui avait plus de sens lorsqu'ils ont appris que leurs employés pourraient être nord-coréens.
Parfois, ces signaux sont subtils, par exemple lorsque les horaires d'un employé ne correspondent pas à l'endroit où il est censé travailler.
D'autres employeurs, comme Truflation, ont remarqué que plusieurs personnes pouvaient se faire passer pour une seule personne, ce que les employés cachent en éteignant leur webcam. (Ce sont presque tous des hommes).
Une entreprise a embauché une employée qui assistait aux réunions le matin mais semblait oublier tout ce qui était discuté plus tard dans la journée, une bizarrerie qui avait plus de sens lorsqu'elle avait clairement parlé à de nombreuses personnes auparavant.
Lorsque Rust a fait part de ses inquiétudes concernant l'employé « japonais » Ryuhei à un investisseur expérimenté dans le suivi des réseaux de paiement criminels, l'investisseur a rapidement identifié quatre autres informaticiens nord-coréens soupçonnés d'être employés par Truflation.
"Nous avons immédiatement coupé les ponts", a déclaré Rust, ajoutant que son équipe avait mené un audit de sécurité de son code, amélioré le processus de vérification des antécédents et modifié certaines politiques. L'une des nouvelles politiques oblige les travailleurs à distance à allumer leurs caméras.
Piratage de 3 millions de dollars
De nombreux employeurs consultés par CoinDesk croient à tort que les informaticiens nord-coréens opèrent indépendamment du secteur du piratage informatique nord-coréen, mais les données de la blockchain et les conversations avec des experts indiquent que les activités de piratage nord-coréennes et les informaticiens sont souvent liés.
En septembre 2021, MISO, une plateforme construite par Sushi pour émettre des jetons cryptographiques, a perdu 3 millions de dollars lors d'un vol. CoinDesk a trouvé des preuves que l'attaque était liée à l'embauche par Sushi de deux développeurs dont les enregistrements de paiement blockchain étaient liés à la Corée du Nord.
Au moment du piratage, Sushi était l’une des plateformes dont on parlait le plus dans l’espace émergent DeFi. Plus de 5 milliards de dollars ont été déposés sur SushiSwap, une plateforme qui fonctionne principalement comme un « échange décentralisé » permettant aux gens d'échanger des crypto-monnaies sans intermédiaire.
Joseph Delong, directeur technologique de Sushi à l'époque, a attribué le vol de MISO à deux développeurs indépendants qui travaillaient sur la plateforme : ils utilisaient les noms d'Anthony Keller et Sava Grujic. Delong a déclaré que ces développeurs, qu'il soupçonne désormais d'être la même personne ou organisation, ont injecté du code malveillant dans la plate-forme MISO pour transférer des fonds vers des portefeuilles qu'ils contrôlaient.
Lorsque Keller et Grujic ont été embauchés par Sushi DAO, l'organisation autonome décentralisée qui régit le protocole Sushi, ils ont présenté des références typiques et même impressionnantes pour les développeurs débutants.
Keller a utilisé le pseudonyme « eratos1122 » en public, mais lorsqu'il a postulé pour un emploi chez MISO, il a utilisé ce qui semblait être son vrai nom, « Anthony Keller ». Dans le CV partagé par Delong avec CoinDesk, Keller prétendait vivre à Gainesville, en Géorgie, et était diplômé de l'Université de Phoenix avec un baccalauréat en génie informatique. (L'université n'a pas répondu à une demande visant à savoir s'il y avait un diplômé portant le même nom.)
« Anthony Keller » prétend vivre à Gainesville, en Géorgie, et son CV fait état de son expérience de travail au sein de la populaire application de finance décentralisée Yearn.
Le CV de Keller mentionne un emploi antérieur. L’un des plus impressionnants est Yearn Finance, un protocole d’investissement crypto extrêmement populaire qui offre aux utilisateurs un moyen de gagner des intérêts grâce à une gamme de stratégies d’investissement. Banteg, développeur principal chez Yearn, a confirmé que Keller travaillait sur Coordinape, une application développée par Yearn pour aider les équipes à collaborer et à faciliter les paiements. (Banteg a déclaré que le travail de Keller était limité à Coordinape et qu'il n'avait pas accès à la base de code principale de Yearn.)
Selon Delong, Keller a présenté Grujic au MISO, et les deux se sont décrits comme des « amis ». Comme Keller, Grujic a fourni un curriculum vitae indiquant son vrai nom, et non son pseudonyme en ligne « AristoK3 ». Il prétendait être originaire de Serbie et était diplômé de l'Université de Belgrade avec une licence en informatique. Son compte GitHub est actif et son CV répertorie son expérience professionnelle dans plusieurs petits projets de cryptographie et startups de jeux.
Dans son CV, "Sava Grujic" énumère 5 ans d'expérience en programmation et affirme qu'il est basé à Belgrade, en Serbie.
Rachel Chu, une ancienne développeuse principale chez Sushi qui a travaillé en étroite collaboration avec Keller et Grujic avant le vol, a déclaré qu'elle était devenue « méfiante » à l'égard des deux hommes avant le piratage.
Malgré la distance qui les sépare, Grujic et Keller avaient « le même accent » et « la même façon d'envoyer des SMS », a déclaré Chu. "Chaque fois que nous parlions, il y avait un bruit de fond, comme dans une usine", a-t-elle ajouté. Chu se souvient qu'elle avait vu le visage de Keller, mais jamais celui de Grujic. Selon Chu, la caméra de Keller a "zoomé" pour qu'elle ne puisse pas voir ce qu'il y avait derrière lui.
Grujic et Keller ont finalement cessé de contribuer au MISO en même temps. "Nous pensions qu'il s'agissait de la même personne", a déclaré Delong, "nous avons donc arrêté de les payer. Au plus fort de la pandémie de COVID-19, les développeurs de cryptomonnaies à distance ont fait semblant d'être plusieurs personnes pour gagner de l'argent supplémentaire grâce à leur masse salariale. La situation n'est pas la même." rare.
Après le licenciement de Grujic et Keller à l'été 2021, l'équipe Sushi a négligé de révoquer leur accès à la base de code MISO.
Le 2 septembre, Grujic, qui porte son pseudonyme « Aristok3 », a soumis un code malveillant à la plateforme MISO pour transférer 3 millions de dollars vers un nouveau portefeuille de crypto-monnaie, selon une capture d'écran obtenue par CoinDesk.
"Sava Grujic" a soumis du code corrompu au MISO de Sushi en utilisant le pseudonyme AristoK3. (Capture d'écran fournie par Joseph Delong)
L'analyse par CoinDesk des enregistrements de paiement blockchain suggère des liens possibles entre Grujic, Keller et la Corée du Nord. En mars 2021, Keller a publié une adresse blockchain dans un tweet désormais supprimé. CoinDesk a trouvé plusieurs paiements entre cette adresse, l'adresse du pirate informatique de Grujic et l'adresse de Keller enregistrée chez Sushi. Selon Delong, l'enquête interne de Sushi a finalement conclu que l'adresse appartenait à Keller.
Entre 2021 et 2022, les adresses blockchain liées à Keller et Grujic ont envoyé la majorité des fonds vers des portefeuilles liés à la Corée du Nord. (Sélection de portefeuilles Ethereum suivis par CoinDesk. Prix de l'actif estimé par Arkham.)
CoinDesk a découvert que cette adresse envoyait la plupart des fonds à "Jun Kai" (le développeur d'Iqlusion qui a envoyé de l'argent à Kim Sang Man, sanctionné par l'OFAC) et à un autre portefeuille qui semble agir comme mandataire pour la Corée du Nord (puisqu'il a également payé Kim ).
L'enquête interne de Sushi a révélé que Keller et Grujic opéraient fréquemment à partir d'adresses IP russes, renforçant ainsi l'idée qu'ils étaient nord-coréens. Les informaticiens nord-coréens sont parfois basés en Russie, a indiqué l'OFAC. (Le numéro de téléphone américain figurant sur le CV de Keller a été désactivé et ses comptes Github et Twitter « eratos1122 » ont été supprimés.)
De plus, CoinDesk a trouvé des preuves selon lesquelles Sushi avait embauché Keller et Grujic en même temps qu'un autre entrepreneur informatique nord-coréen présumé. Le développeur, que ZachXBT appelle « Gary Lee », a codé sous le pseudonyme LightFury et a envoyé ses revenus à « Jun Kai » et à une autre adresse proxy associée à Kim.
De 2021 à 2022, Sushi a également employé un autre entrepreneur nord-coréen apparent nommé « Gary Lee ». Le travailleur a transféré ses revenus 2021-2022 à des adresses blockchain liées à la Corée du Nord, y compris un portefeuille utilisé par « Jun Kai » d’Iqlusion. (Sélection de portefeuilles Ethereum suivis par CoinDesk. Prix de l'actif estimé par Arkham.)
Grujic a restitué les fonds volés après que Sushi ait publiquement imputé l'attaque au pseudonyme de Keller "eratos1122" et menacé d'impliquer le FBI. Même s’il peut sembler contre-intuitif que les informaticiens nord-coréens se soucient de protéger les fausses identités, les informaticiens nord-coréens semblent réutiliser certains noms et bâtir leur réputation en contribuant à de nombreux projets, peut-être pour gagner la confiance des futurs employeurs.
On pourrait penser que protéger le pseudonyme d'Anthony Keller serait plus rentable à long terme : en 2023, deux ans après l'incident de Sushi, un homme nommé « Anthony Keller » a déposé une demande auprès de la société de Stefan Rust, Truflation.
Coindesk a tenté de contacter « Anthony Keller » et « Sava Grujic » pour obtenir leurs commentaires, mais sans succès.
Vol à la coréenne
La Corée du Nord a volé plus de 3 milliards de dollars de cryptomonnaies grâce à des attaques de piratage au cours des sept dernières années, selon les Nations Unies. Parmi les piratages suivis par la société d'analyse de blockchain Chainalysis au premier semestre 2023, 15 étaient liés à la Corée du Nord, "dont environ la moitié impliquaient des vols liés aux informaticiens", a déclaré la porte-parole de l'entreprise, Madeleine Kennedy.
Les cyberattaques nord-coréennes ne ressemblent pas à la version hollywoodienne du piratage informatique, où des programmeurs cagoulés utilisent un code informatique complexe et des terminaux informatiques noir et vert pour pirater les ordinateurs centraux.
Les attaques à la manière de la Corée du Nord sont évidemment de faible technicité. Ils impliquent généralement une forme d'ingénierie sociale, dans laquelle l'attaquant gagne la confiance d'une victime détenant les clés du système, puis extrait directement ces clés via quelque chose d'aussi simple qu'un lien de courrier électronique malveillant.
"Jusqu'à présent, nous n'avons jamais vu la Corée du Nord mener une véritable attaque", a déclaré Monahan. "Ils commencent toujours par une attaque d'ingénierie sociale, puis compromettent l'appareil, puis volent les clés privées".
Les informaticiens sont bien placés pour contribuer aux opérations de braquage de la Corée du Nord, soit en obtenant des informations personnelles pouvant être utilisées pour saboter des cibles potentielles, soit en accédant directement à des systèmes logiciels regorgeant d'argent numérique.
série de coïncidences
Le 25 septembre, alors que cet article allait être publié, CoinDesk a organisé un appel vidéo avec Rust de Truflation. Le plan est de vérifier certains des détails qu’il a partagés précédemment.
Rust, troublé, a rejoint l'appel avec 15 minutes de retard. Il vient de se faire pirater.
CoinDesk a contacté plus de 20 projets qui semblent avoir été trompés en embauchant des informaticiens nord-coréens. Au cours des deux dernières semaines d’entretiens, deux des projets ont été piratés : Truflation et une application de prêt de cryptomonnaie appelée Delta Prime.
Il est trop tôt pour dire si les deux incidents de piratage sont directement liés à l'embauche par inadvertance d'employés informatiques nord-coréens.
Le 16 septembre, Delta Prime a été compromis pour la première fois. CoinDesk a déjà découvert des paiements et des contributions de code entre Delta Prime et Naoki Murano, l'un des développeurs liés à la Corée du Nord promus par le détective anonyme de la blockchain ZachXBT.
Le projet a perdu plus de 7 millions de dollars, l'explication officielle étant que « des clés privées ont été divulguées ». Delta Prime n'a pas répondu aux multiples demandes de commentaires.
Le hack Truflation a suivi moins de deux semaines plus tard. Environ deux heures avant de parler avec CoinDesk, Rust a remarqué une sortie de fonds de son portefeuille crypto. Il revenait tout juste d'un voyage d'affaires à Singapour et essayait de comprendre ce qu'il avait fait de mal. "Je ne sais tout simplement pas comment c'est arrivé", a-t-il déclaré. "Je garde mes ordinateurs portables enfermés dans le coffre-fort mural de l'hôtel. J'ai toujours mon téléphone avec moi."
Pendant que Rust parlait, des millions de dollars sortaient de son portefeuille personnel blockchain. "Je veux dire, c'est vraiment mauvais. Cet argent représente les frais de scolarité et la pension de mes enfants."
Truflation et Rust ont fini par perdre environ 5 millions de dollars. Les autorités ont déterminé que la cause de la perte était le vol de la clé privée.