• Le groupe a infecté plus de 30 000 ordinateurs dans plus de 100 pays.

• Des données ont été volées dans plus de 7 000 portefeuilles crypto, d’après l’avis conjoint.

• Le Japon a démantelé sa première ferme de laptops connue opérée par des travailleurs nord-coréens à distance.

30 000 appareils, 7 000 portefeuilles compromis

Une équipe de piratage liée à la Corée du Nord, suivie pendant que WaterPlum vidait au moins 10,71 millions de dollars d’actifs numériques au détriment d’utilisateurs de crypto, selon un avis conjoint publié vendredi par la police nationale du Japon (NPA) et le Federal Bureau of Investigation (FBI) des États-Unis. Les agences indiquent que WaterPlum — également suivi sous le nom de Contagious Interview — a infecté plus de 30 000 ordinateurs dans plus de 100 pays et a exfiltré des données depuis plus de 7 000 portefeuilles crypto, le groupe de portefeuilles ayant reçu les fonds entre décembre 2025 et juillet 2026. L’avis décrit une escroquerie de recrutement visant directement les développeurs de logiciels. Les opérateurs se font passer pour des chasseurs de têtes auprès de startups d’intelligence artificielle, de crypto et d’altcoins, et contactent les cibles via les réseaux sociaux, les portails d’offres d’emploi et les places de marché pour freelances. Les candidats sont poussés vers un entretien technique ou un test de codage et on leur dit de télécharger des fichiers depuis des sites de partage de code — l’excuse étant un appel vidéo défaillant ou la mission elle-même. Ces fichiers contiennent un infostealer qui collecte discrètement les mots de passe du navigateur, des captures d’écran et les frappes au clavier, et qui, surtout, extrait les clés secrètes qui contrôlent un portefeuille crypto, le logiciel utilisé par les personnes pour conserver leur argent numérique.

Des autorités japonaises et américaines affirment que des pirates liés à la Corée du Nord ont touché plus de 30 000 appareils et plus de 7 000 portefeuilles.

« Les acteurs WaterPlum se font passer pour des employeurs potentiels afin de cibler des développeurs de logiciels et des professionnels de l’informatique dans le monde entier, sous le prétexte d’offres d’emploi attrayantes », indique l’avis conjoint. Les profils empruntent la crédibilité de l’essor de l’IA — un secteur où des entreprises de jetons très médiatisées, comme Worldcoin (WLD), ont rendu l’approche régulière des développeurs totalement banale dans le recrutement. Une enquête antérieure, dans laquelle un chercheur a passé 22 mois à l’intérieur des serveurs du groupe et a cartographié 1 640 victimes dans 57 pays, donnait une empreinte représentant une fraction du bilan officiel de vendredi, qui est environ 18 fois plus élevé. Bien que l’avis ne détaille pas les 10,71 millions de dollars par type d’actif, les fonds siphonnés en Bitcoin (BTC) et d’autres monnaies liquides sont généralement blanchis via des mixeurs et des échanges inter-chaînes avant d’atteindre leurs destinations finales.

Démantèlement du premier réseau de « ferme de laptops » de Tokyo

Le démantèlement de la première ferme de laptops connue au Japon donne à l’avis un avantage opérationnel. Les enquêteurs affirment que des connaissances locales conservaient les ordinateurs portables chez elles, tandis que des travailleurs informatiques nord-coréens à l’étranger contrôlaient les machines à distance, en se faisant passer pour des résidents japonais afin d’obtenir des contrats en freelance. Ces travailleurs ont transféré à l’étranger plusieurs centaines de millions de yens en crypto, et les mêmes adresses IP reliant la ferme à l’infrastructure de WaterPlum. La NPA et le FBI estiment que les acteurs cyber de WaterPlum et certains travailleurs informatiques nord-coréens opèrent sous l’égide de la « 313 General Bureau of the Munitions Industry Department », subordonné au Comité central du Parti des travailleurs de Corée — plaçant la campagne dans l’appareil de revenus autorisé par l’État. Les analystes ont longtemps lié le vol de crypto de Pyongyang et l’activité d’extraction en preuve de travail au financement d’armes ; l’avis de vendredi formalise cette chaîne de commandement.

L’escroquerie en matière de recrutement s’étend au secteur boursier japonais. En mai 2025, un opérateur nord-coréen présumé a postulé à un poste d’ingénierie chez bitFlyer, un site présenté dans notre guide des meilleurs échanges crypto, en utilisant un CV volé. Les recruteurs ont relevé plusieurs indices : il refusait de déménager, exigeait un paiement en crypto et semblait lire les réponses sur un second écran. Il n’a pas été embauché. Des campagnes antérieures reposaient sur des appels de recrutement par deepfake pour atteindre du personnel senior, et le même mode opératoire d’ingénierie sociale apparaît dans des leurres destinés au commerce de détail — allant des offres de revenus passifs au récit de minage mobile qui a attiré les utilisateurs vers Pi Network. Désormais, les enquêteurs indiquent aux équipes d’ingénierie d’exécuter le code soumis par les recruteurs dans un bac à sable, un environnement de test scellé isolé des fichiers de production et des logiciels de portefeuille.

Atteinte aux terminaux, pas failles de protocole

Pris ensemble, l’avis et le démantèlement de la ferme de laptops décrivent une seule et même chaîne : un pipeline piloté par l’État qui transforme de fausses offres d’emploi en clés de portefeuille, puis les clés de portefeuille en monnaie fiduciaire pour un régime sanctionné. La lecture du dépôt COINOTAG du dossier est la suivante : la cause racine n’est pas une faille de protocole, mais une compromission des terminaux — des « infostealers » qui extraient des clés privées depuis les machines des développeurs — et la remédiation est procédurale : mettre en quarantaine chaque artefact de recrutement, isoler les clés de signature des systèmes d’usage quotidien, et traiter les tests de recrutement non sollicités comme du code hostile. Avec 10,71 millions de dollars confirmés détournés et plus de 7 000 portefeuilles exposés, le modèle de menace de la communauté des développeurs doit désormais supposer que le recruteur est à l’origine de l’attaque.