Vol De Portefeuilles Crypto : Tokyo Dénonce WaterPlum

Imaginez un développeur pressé, convaincu d’avoir décroché un entretien pour une start-up d’intelligence artificielle ou de jetons non fongibles. Il télécharge un fichier présenté comme un test de code. Quelques minutes plus tard, son ordinateur n’est plus vraiment le sien. Selon les autorités japonaises, ce scénario s’est répété des milliers de fois. Le 18 septembre 2026, Tokyo a rendu public le bilan d’une enquête internationale : le groupe baptisé WaterPlum, associé à l’activité dite Contagious Interview, aurait compromis plus de 30 000 appareils dans plus de 100 pays et régions, et dérobé les traces de plus de 7 000 portefeuilles de cryptomonnaies.

Ce Que Révèle L’Enquête Japonaise Sur WaterPlum

L’agence nationale de police japonaise a présenté ses conclusions avec le bureau national de cybersécurité, le FBI, le centre américain de criminalité cybernétique du département de la Défense, ainsi que des services australiens et allemands. Le tableau dressé dépasse le simple vol de jetons. Il relie une campagne d’infection massive, des travailleurs informatiques nord-coréens infiltrés dans l’économie mondiale et une structure politique : le Bureau 313 du département de l’industrie des munitions du Parti des travailleurs de Corée.

Les infections se seraient concentrées entre décembre 2025 et juillet 2026. Les victimes n’étaient pas seulement des collectionneurs de jetons. Web designers, ingénieurs, profils blockchain et Web3 figuraient parmi les cibles privilégiées. Les portefeuilles contrôlés par WaterPlum auraient reçu au moins 1,7 milliard de yens, soit environ 10,7 millions de dollars selon le taux retenu par les enquêteurs japonais. Derrière le chiffre, une méthode : le faux recrutement.

Des Faux Entretiens Pour Ouvrir La Porte

WaterPlum n’a pas commencé par forcer des serveurs d’échange. Le groupe a d’abord tapé à la porte des réseaux professionnels. Messages sur les réseaux sociaux, annonces sur des sites d’emploi, plateformes de missions ponctuelles, places de freelance : le contact prenait le visage d’une société d’intelligence artificielle, d’une entreprise crypto ou d’un service de recrutement. L’offre paraissait sérieuse. Le calendrier aussi.

Pendant l’entretien technique ou le test de programmation, le candidat devait télécharger un programme hébergé sur une plateforme collaborative ou un dépôt de code. Parfois, le prétexte était plus banal encore : diagnostiquer un problème de visioconférence. Le fichier n’était pas un exercice. C’était le premier maillon d’une chaîne malveillante.

Les paquets npm malveillants ont servi de véhicule. Les noms de familles logicielles citées par les enquêteurs donnent une idée de la panoplie : BeaverTail, InvisibleFerret, OtterCookie, OtterCandy, StoatWaffle. Une fois le poste compromis, des portes dérobées et des outils d’accès distant permettaient de rester, d’observer, de se déplacer. Puis venait le vol d’informations.

Ce Qui Sortait Des Machines Infectées

Les opérateurs ne se sont pas limités aux soldes visibles. Ils ont collecté identifiants de navigateurs, frappes clavier, captures d’écran et contenu du presse-papiers. Les clés privées et les phrases de récupération des portefeuilles figuraient parmi les butins les plus précieux. Des documents d’identité, passeports et permis de conduire, stockés sur l’ordinateur ou dans des dossiers partagés, ont aussi été extraits.

Ce mélange explique pourquoi le dossier dépasse le cercle crypto. Un développeur qui garde ses phrases secrètes dans un fichier texte, un freelances qui archive des scans d’identité pour un contrat, un ingénieur qui réutilise le même mot de passe : chacun devient une source. WaterPlum a transformé l’ordinateur de travail en coffre ouvert.

Plus de 30 000 appareils probablement infectés, plus de 7 000 relevés de portefeuilles dérobés, et un réseau de travailleurs informatiques utilisé pour générer des devises étrangères.

Des chercheurs en sécurité avaient déjà décrit, depuis des années, l’infiltration de projets de finance décentralisée par des développeurs liés à Pyongyang. Offres d’emploi, courriels, messages LinkedIn, appels visio, processus d’entretien : les mêmes portes d’entrée reviennent. L’enquête japonaise donne à ces observations un cadre étatique et un volume chiffré.

Les Fermes D’Ordinateurs Découvertes Au Japon

Le volet le plus concret de l’enquête japonaise n’est pas seulement numérique. Les enquêteurs ont démantelé ce qu’ils présentent comme la première ferme d’ordinateurs nationale liée à des travailleurs informatiques nord-coréens. Le dispositif est simple et efficace. Un facilitateur local conserve des machines chez lui. Des opérateurs les pilotent à distance depuis ailleurs. L’employeur croit embaucher un prestataire au Japon. Le travail est fait depuis un autre fuseau.

Des documents d’identité fournis par des personnes vivant au Japon servaient à l’usurpation. Dans certains cas, les paiements transitaient par des comptes bancaires contrôlés par les facilitateurs, puis partaient plus loin. Selon l’agence, des travailleurs liés aux dossiers ont envoyé à l’étranger des cryptomonnaies et d’autres actifs pour des centaines de millions de yens.

Les opérateurs n’étaient pas tous basés en Corée du Nord. Certains travaillaient depuis la Chine ou la Russie. D’autres, moins nombreux, depuis l’Afrique ou l’Asie du Sud-Est. Fermes d’ordinateurs et serveurs privés virtuels masquaient le lieu réel d’exécution, tout en permettant d’accepter des missions sur des plateformes nationales et étrangères.

Un Modèle Déjà Poursuivi Aux États-Unis

Le schéma japonais n’est pas isolé. Aux États-Unis, deux hommes ont écopé en 2026 de dix-huit mois de prison pour avoir aidé des travailleurs nord-coréens à accéder à distance à des ordinateurs d’entreprise. Le département de la Justice a évoqué près de soixante-dix sociétés et plus de 1,2 million de dollars générés. En cinq mois, huit facilitateurs de fermes d’ordinateurs avaient déjà été condamnés.

Les autorités américaines poursuivent aussi les flux. Un juge fédéral a ordonné en septembre la confiscation d’environ 212 700 dollars en USDC et USDT liés à des adresses de paiement utilisées par ces travailleurs, dans un effort plus large portant sur plus de 7,74 millions de dollars d’actifs numériques. Un portefeuille saisi avait reçu environ 158 123 USDC depuis au moins dix adresses de rémunération et 54 574 USDT depuis au moins quatre autres.

Le récit judiciaire est toujours le même : dissimulation d’identité, dissimulation de lieu, emplois technologiques à l’étranger, puis conversion des salaires en cryptomonnaie. WaterPlum ajoute une couche offensive. Ce n’est plus seulement gagner un salaire. C’est aussi piller les machines des candidats et des collègues.

Le Candidat Suspect Chez BitFlyer

L’enquête japonaise a isolé une tentative distincte. En mai 2025, un individu soupçonné d’être un travailleur informatique nord-coréen a postulé à un poste d’ingénierie chez la plateforme d’échange bitFlyer. Le curriculum vitae était déposé sous l’identité d’une autre personne, via le formulaire de recrutement, avec une adresse Gmail. L’accès passait par des services de réseau privé virtuel et de proxy : NETNUT Proxy, Astrill VPN, High Speed Rabbit Proxy.

Pendant l’entretien en ligne, le candidat se disait malaisien et résidant en Finlande. Le dossier listait une expérience étendue en langages de programmation, blockchain, cryptomonnaie et cloud, des études dans une université européenne et des emplois dans plusieurs villes d’Europe et d’Asie. Il savait répondre aux questions simples. Sur les points plus techniques, les réponses devenaient abstraites ou fuyantes.

Les enquêteurs ont relevé des regards répétés vers un second écran, des voix en arrière-plan, des coupures d’image. Le candidat refusait de s’installer au Japon et exigeait un salaire en cryptomonnaie. bitFlyer a interrompu le processus. Aucun préjudice n’a été signalé. Un cas voisin avait déjà été détecté chez Kraken : nom différent du curriculum, aide en temps réel pendant l’appel, adresse électronique déjà signalée par des partenaires du secteur.

La Même Infrastructure Pour Attaquer Et Travailler

Le point le plus important de l’enquête n’est pas l’addition de deux dossiers. C’est leur intersection. Des adresses IP utilisées par les attaquants WaterPlum correspondaient à celles dont se servaient des travailleurs nord-coréens pour rejoindre des fermes d’ordinateurs et des services de missions. Le candidat de bitFlyer aurait utilisé la même infrastructure.

Police japonaise et FBI estiment que le Bureau 313 joue un rôle central à la fois dans les cyberattaques de WaterPlum et dans une partie des opérations de génération de devises menées par ces travailleurs. Le ministère japonais des Affaires étrangères a confirmé une divulgation conjointe avec les États-Unis, l’Australie et l’Allemagne sur les tactiques du groupe et sur les schémas de recrutement destinés à rapporter des devises étrangères.

Autrement dit, le même appareil politique peut à la fois placer des développeurs dans des entreprises et dérober les secrets de ceux qui croient passer un entretien. L’un finance. L’autre pille. Les deux masquent l’origine.

Pourquoi Les Développeurs Crypto Sont Une Cible Idéale

Le secteur des actifs numériques concentre trois ingrédients recherchés par ce type d’opération. Premier ingrédient : des clés qui valent de l’argent immédiatement. Deuxième : une culture du travail à distance, des missions courtes, des dépôts de code ouverts. Troisième : une habitude de payer vite, parfois en jetons, parfois sans vérification profonde de l’identité réelle.

Un ingénieur blockchain garde souvent, sur la même machine, des accès à des dépôts privés, des clés d’interface de programmation, des phrases de récupération, des captures de tableaux de bord. Le presse-papiers devient un vecteur. Une adresse collée, une graine recopiée, un mot de passe autofill : tout cela peut quitter la machine sans bruit visible.

Les projets de finance décentralisée ajoutent une surface supplémentaire. Un contributeur malveillant n’a pas besoin de vider un portefeuille le premier jour. Il peut lire le code, comprendre les garde-fous, repérer une clé d’administration, attendre une fenêtre. Les campagnes de faux entretiens raccourcissent ce chemin. Elles n’attendent pas l’embauche. Elles frappent dès le test.

Ce Que Les Entreprises Peuvent Vérifier Sans Magie

Les autorités japonaises ont formulé des conseils concrets. Vérifier le lieu déclaré, les diplômes et les coordonnées. Se méfier d’un candidat qui insiste pour rester entièrement à distance et pour être payé uniquement en cryptomonnaie. Contrôler les compétences pendant l’entretien, au-delà du discours fluide. Examiner les cas où la résidence affichée ne correspond pas à l’adresse IP utilisée pour postuler.

Ces gestes ne remplacent pas une analyse forensique. Ils réduisent la naïveté. Un second écran pendant un appel n’est pas une preuve. Une voix en fond non plus. Mais l’accumulation de signaux, dans un secteur déjà ciblé, justifie d’interrompre un processus plutôt que de livrer un ordinateur d’entreprise à un opérateur invisible.

Du côté des candidats légitimes, la leçon est inverse et tout aussi rude. Un dépôt de code envoyé par un recruteur inconnu n’est pas un exercice anodin. L’exécuter sur la machine qui contient des portefeuilles, des phrases secrètes ou des documents d’identité, c’est offrir la maison. Une machine isolée, un environnement virtuel jetable, l’absence de graines en clair : ces habitudes deviennent des réflexes de survie.

Le Poids Politique Derrière Les Yens Volés

Attribuer WaterPlum et une partie des travailleurs informatiques au Bureau 313 n’est pas un détail de communication. Cela inscrit le vol de portefeuilles dans une stratégie de financement. Les sanctions internationales restreignent l’accès aux devises. Le travail à distance et le pillage crypto offrent deux tuyaux parallèles : un salaire versé par une entreprise étrangère, un butin extrait d’un disque dur.

Les 1,7 milliard de yens cités pour les portefeuilles contrôlés par WaterPlum ne représentent pas nécessairement l’ensemble des dégâts. Ils mesurent ce que les enquêteurs ont pu relier. Les documents d’identité volés, les accès persistants, les données d’entreprise encore exploitables après juillet 2026 échappent à ce compteur.

La coopération entre Tokyo, Washington, Canberra et Berlin montre aussi que le dossier n’est plus traité comme une série d’incidents isolés. C’est un réseau. Les fermes d’ordinateurs, les proxies, les paquets npm et les CV usurpés forment une seule économie parallèle.

Chronologie Utile Pour Comprendre L’Étendue

Décembre 2025 : début approximatif de la vague d’infections retenue par les enquêteurs. Mai 2025 : tentative d’embauche chez bitFlyer, antérieure au pic d’infections mais déjà révélatrice du mode opératoire humain. Juillet 2026 : fin de la fenêtre d’infection mise en avant. Septembre 2026 : publication coordonnée des tactiques et des liens avec le Bureau 313. La même période voit aux États-Unis des condamnations de facilitateurs et des confiscations d’actifs numériques.

Cette superposition temporelle aide à lire le phénomène. Pendant que des développeurs ouvraient de faux tests de code, d’autres opérateurs tentaient d’entrer par la grande porte des ressources humaines. Les deux flux pouvaient partager des adresses, des relais, une tutelle.

Ce Que Change Cette Affaire Pour Le Web3

Le Web3 a longtemps vendu l’idée d’un espace sans intermédiaire. WaterPlum rappelle qu’il reste des humains, des machines, des entretiens, des fichiers à télécharger. La chaîne de confiance commence avant le contrat intelligent. Elle commence au moment où quelqu’un clique sur un dépôt envoyé par un inconnu qui parle le langage de l’industrie.

Les équipes de sécurité des protocoles devront traiter le recrutement comme une surface d’attaque. Pas seulement l’audit du code. Pas seulement le coffre multisignature. Le processus d’embauche, les tests take-home, les appels visio, les machines fournies aux contributeurs distants. Les fermes d’ordinateurs montrent qu’un portable d’entreprise peut être piloté depuis un autre continent sans que le badge d’accès change de nom.

Les particuliers ne sont pas hors champ. Sept mille relevés de portefeuilles, ce n’est pas seulement sept mille institutionnels. C’est aussi des indépendants, des designers, des gens qui gardaient trop de secrets au même endroit. La banalité du geste — installer un outil pour un entretien — est précisément ce qui rend l’attaque scalable.

Questions Qui Restent Ouvertes

Quelle part des 30 000 machines reste encore sous contrôle distant ? Combien de phrases de récupération ont déjà été utilisées, et combien dorment dans une base en attendant une hausse de prix ? Les autorités n’ont pas tout publié. Elles ont fixé un ordre de grandeur et une attribution.

Autre inconnue : le nombre d’entreprises qui emploient encore, sans le savoir, un opérateur relié au même appareil. Les dossiers américains parlent de dizaines de sociétés. Le Japon parle d’une première ferme démantelée. D’autres facilitateurs peuvent n’avoir pas encore été identifiés.

Enfin, la frontière entre cyberattaque et travail clandestin reste poreuse. Un même individu peut postuler le matin et déployer un voleur d’informations l’après-midi. Traiter seulement l’un des deux phénomènes, c’est laisser l’autre intact.

Une Lecture Sobre, Sans Fatalité

Rien dans ce dossier n’oblige à quitter les cryptomonnaies. Il oblige à cesser de confondre un dépôt Git avec un tampon officiel. Il oblige les recruteurs à tester vraiment, à croiser les traces techniques, à refuser l’urgence fabriquée. Il oblige les candidats à isoler leurs secrets.

WaterPlum a réussi parce que le secteur valorise la vitesse et le talent affiché. Un curriculum trop parfait, un test trop pressé, un salaire réclamé en jetons : autant de détails que l’on relisait trop vite. Tokyo, en publiant méthodes et volumes, transforme ces détails en liste de contrôle.

Le 18 septembre 2026 n’est pas la fin de l’histoire. C’est le moment où une campagne jusque-là fragmentée reçoit un nom, un décompte et une tutelle politique. Les 7 000 portefeuilles ne reviendront pas par magie. En revanche, le prochain fichier « pour l’entretien » peut rester dans la quarantaine. C’est peu. C’est déjà une ligne de défense.

Les semaines qui viennent diront si d’autres pays publient leurs propres fermes, leurs propres candidats fantômes, leurs propres flux vers les mêmes adresses. En attendant, le message des enquêteurs japonais tient en une phrase claire : derrière un test de code trop beau, il peut y avoir un État qui a besoin de devises, et un logiciel qui attend que vous cliquiez.