Crypto : La Corée du Nord recrute à l’étranger pour infiltrer des entreprises US

La Corée du Nord élargit son système d’infiltration des entreprises américaines. Selon une enquête de NBC, des travailleurs IT basés notamment en Iran et au Liban sont recrutés pour passer des entretiens à la place d’opérateurs nord-coréens. Certains auraient reçu 500 dollars par mois en crypto pour jouer les « interview associates ». Une fois le contrat décroché, le poste peut être repris par un travailleur lié à Pyongyang. Les autorités américaines avaient déjà documenté l’utilisation croissante de tiers pour contourner les contrôles de recrutement.

Crypto : 500 dollars par mois pour passer des entretiens

Le procédé ajoute une couche supplémentaire aux faux profils déjà utilisés par Pyongyang. NBC rapporte que des travailleurs IT étrangers ont été approchés sur LinkedIn. Leur mission : se présenter à des entretiens pour des emplois à distance dans des entreprises américaines. Certains se seraient vu proposer environ 500 dollars mensuels en cryptomonnaies pour ce travail à temps partiel. Une fois embauchés, les accès peuvent ensuite être utilisés par des opérateurs nord-coréens.

Ce mécanisme ressemble à celui qui avait permis à un développeur lié à la Corée du Nord d’intégrer les équipes de Consensys. L’entreprise avait découvert en juillet qu’un consultant utilisant l’identité « Tyler Knapp » avait travaillé pendant environ un mois sur certains de ses systèmes.

Le rapport de NBC apporte toutefois un élément nouveau : Pyongyang ne dépend plus uniquement de ses propres opérateurs et de fausses identités. Il peut aussi utiliser une vraie personne située dans un troisième pays pour réussir la partie la plus difficile du recrutement.

L’alerte internationale publiée le 31 juillet par les États-Unis et plusieurs gouvernements confirme cette évolution. Elle indique que les travailleurs nord-coréens utilisent de plus en plus des tiers pour créer des comptes, participer aux entretiens et même rencontrer physiquement un employeur afin d’établir une relation de confiance.

Le document ne cite pas le paiement de 500 dollars ni les cas iranien et libanais. Ces détails viennent de l’enquête NBC.

Les faux employés sont déjà un problème majeur pour l’industrie crypto

La méthode ne sert pas seulement à toucher un salaire. L’alerte du 31 juillet avertit que ces travailleurs peuvent devenir une menace interne : extraction de données, vol d’informations sensibles et vol de crypto figurent directement parmi les risques identifiés. Les emplois visés comprennent aussi le développement de logiciels, d’applications mobiles et d’applications blockchain.

La Fondation Ethereum connaît déjà le problème. En avril, Cointribune rapportait qu’elle avait aidé à identifier environ 100 travailleurs liés à la Corée du Nord dans 53 projets crypto.

CrowdStrike donne une idée du montant en jeu. Son rapport 2026 sur les menaces financières attribue aux acteurs liés à la Corée du Nord 2,02 milliards de dollars de vols d’actifs numériques en 2025, soit 51 % de plus qu’en 2024. Le groupe PRESSURE CHOLLIMA est notamment associé à un vol de 1,46 milliard de dollars. D’autres groupes nord-coréens ont utilisé de faux recruteurs, des identités générées par IA et des environnements de visioconférence synthétiques.

Chainalysis arrive au même montant : 2,02 milliards de dollars volés en 2025, pour un cumul estimé à 6,75 milliards de dollars attribués aux hackers nord-coréens au fil des années. Cette stratégie évite parfois complètement le piratage traditionnel. Pas besoin de trouver une faille dans un smart contract si l’opérateur obtient directement un poste de développeur et des accès internes. C’est justement ce qui inquiète de plus en plus les entreprises crypto.

Washington cible maintenant toute l’infrastructure de recrutement

Les États-Unis poursuivent aussi les personnes qui rendent ces infiltrations possibles. En mars, le Trésor américain a sanctionné six individus et deux entités pour leur participation aux réseaux de travailleurs IT nord-coréens. L’OFAC estime que ces dispositifs ont généré près de 800 millions de dollars en 2024 pour financer notamment les programmes d’armes de destruction massive de Pyongyang.

Le ministère de la Justice a également documenté les « laptop farms ». Dans l’un des dossiers, deux citoyens américains ont aidé des travailleurs nord-coréens à se faire passer pour des salariés installés aux États-Unis. Le système utilisait les identités volées d’au moins 80 personnes et a permis de décrocher des emplois auprès de plus de 100 entreprises américaines. Plus de 5 millions de dollars auraient été générés pour le régime nord-coréen.

Les ordinateurs professionnels étaient physiquement conservés aux États-Unis. Les opérateurs nord-coréens y accédaient ensuite à distance, donnant à l’employeur l’impression que son développeur travaillait depuis le pays.

L’alerte internationale recommande maintenant des contrôles plus stricts : vérification approfondie des documents, entretiens en personne lorsque cela est possible, surveillance des changements fréquents d’identité ou de coordonnées bancaires et attention particulière aux candidats utilisant des moyens de paiement inhabituels. Les travailleurs nord-coréens peuvent notamment demander leur salaire via des services de transfert ou en crypto.

Le secteur connaît déjà la menace. En 2025, CZ avait alerté sur 60 faux développeurs nord-coréens identifiés dans l’écosystème crypto. La nouveauté est ailleurs : les faux profils peuvent désormais avoir un vrai visage pendant l’entretien. Un recruteur peut donc vérifier la caméra, discuter avec le candidat et penser avoir confirmé son identité. Le travailleur qui se connectera quelques jours plus tard peut être quelqu’un d’autre. Pour les entreprises américaines et les exchanges crypto, le recrutement à distance devient ainsi une surface d’attaque à part entière.