Des chercheurs en renseignement sur les menaces ont créé une fausse startup de Finance Décentralisée (DeFi), engagé des travailleurs informatiques nord-coréens suspects en tant que développeurs, et les ont observés de l'intérieur.
L'opération a inversé le manuel d'infiltration habituel. Au lieu d'attraper des agents essayant de pénétrer, les chercheurs les ont observés travailler après qu'ils aient réussi les entretiens.
Comment la fausse startup a exposé les travailleurs informatiques nord-coréens
L'enquête était un effort conjoint de Mauro Eldritch de BCA LTD, de Heiner García de NorthScan, et de ANY.RUN. Les chercheurs ont enregistré Ballena Azul LTD comme un protocole servant les baleines de la cryptomonnaie.
Ils lui ont donné un site web, une image de marque d'entreprise, et un enregistrement d'entreprise au Royaume-Uni pour paraître légitimes. Ils se sont ensuite présentés comme fondateurs et chef d'équipe.
Les chercheurs ont utilisé la plateforme sandbox ANY.RUN comme environnement de travail. Elle a enregistré chaque mouvement des agents. Angelo Cruz, un recruteur que l'équipe a rencontré sur GitHub, a fourni le premier développeur.
Cette embauche a recommandé un deuxième, qui a amené un troisième. Les trois ont réussi les entretiens et ont reçu un accès à des bureaux virtuels qui étaient en réalité des environnements d'enregistrement contrôlés.
Les agents sont décrits tout au long du rapport comme des membres suspects de Famous Chollima, une unité liée au groupe Lazarus de la Corée du Nord qui se spécialise dans le placement de faux travailleurs informatiques dans des entreprises occidentales.
Suivez-nous sur X pour obtenir les dernières nouvelles au fur et à mesure qu'elles arrivent
Ce que les chercheurs ont trouvé
Les développeurs ont soumis de faux identifiants américains lors de l'intégration. Cela inclut des permis de conduire, des numéros de sécurité sociale volés et des comptes chez Lead Bank, Citibank et Wise.
Les métadonnées d'un permis ont montré qu'il avait été traité avec Google Gemini et portait un filigrane SynthID intégré. Cela a exposé la contrefaçon presque immédiatement.
« À ce stade, nous avions de fausses identités, des SSN volés, des comptes bancaires de mule, des maisons sûres possibles pour les facilitateurs et des portefeuilles de cryptomonnaie avec un historique de transactions », ont écrit les chercheurs.
Les travailleurs s'appuyaient fortement sur l'intelligence artificielle. Ils utilisaient ChatGPT pour écrire du code qu'ils semblaient ne pas comprendre et pour compléter des missions. Des outils de traduction en direct étaient également utilisés lors des entretiens et des réunions quotidiennes.
L'opération a également mis en lumière une infrastructure de soutien. Les chercheurs ont enregistré des nœuds de sortie AstrillVPN, des serveurs hébergés sur Vultr et Gorilla Servers, et des portefeuilles de cryptomonnaie contenant un historique de transactions. Un serveur opérationnel avait déjà été signalé dans les flux de renseignement sur les menaces, signe qu'il avait été recyclé à partir de campagnes antérieures.
« Les résultats montrent que les schémas de travailleurs informatiques de la RPDC ne sont pas seulement un risque d'embauche. Une fois à l'intérieur, les opérateurs peuvent obtenir un accès légitime au code, aux systèmes, à la propriété intellectuelle et aux processus commerciaux de confiance », indique le rapport.
Les hackers nord-coréens ont constitué une menace persistante pour l'industrie de la cryptomonnaie. TRM Labs a attribué 76 % des pertes dues aux hacks de cryptomonnaie en 2026 jusqu'en avril aux équipes de la RPDC. Le vol a atteint 2 milliards de dollars en 2025.
La tactique d'infiltration fonctionne différemment. Des travailleurs nord-coréens se font passer pour des ingénieurs afin de décrocher des emplois à distance, puis volent des secrets ou plantent un moyen de revenir. Un projet financé par Ethereum (ETH) a précédemment identifié 100 travailleurs informatiques nord-coréens suspects à travers 53 projets de crypto.
Abonnez-vous à notre chaîne YouTube pour regarder des leaders et des journalistes fournir des analyses d'experts
Source : BeInCrypto
