Des hackers nord-coréens infectent 30 000 appareils et volent de la crypto
WaterPlum, également connu sous le nom de Contagious Interview, a trompé des développeurs via de fausses offres d’emploi et a ainsi volé des clés de wallets et des données de navigateur. Le FBI et la police japonaise relient cette campagne à au moins 10,71 millions de dollars de crypto.
À retenir
- Un groupe de hackers nord-coréen a infecté plus de 30 000 ordinateurs dans plus de 100 pays et a volé des données provenant de plus de 7 000 wallets crypto.
- Entre décembre 2025 et juillet 2026, au moins 10,71 millions de dollars d’actifs numériques ont atterri sur des wallets contrôlés par le groupe.
- Le groupe a attiré ses victimes via de fausses offres d’emploi et des logiciels malveillants, ce qui est particulièrement dangereux pour les utilisateurs de crypto et les développeurs.
Un groupe de hackers nord-coréen a infecté plus de 30 000 ordinateurs dans plus de 100 pays et a dérobé des données provenant de plus de 7 000 wallets crypto. Selon l’Agence nationale de police du Japon et le FBI, au moins 10,71 millions de dollars (9,3 millions d'euros) d’actifs numériques ont atterri entre décembre 2025 et juillet 2026 sur des wallets contrôlés par le groupe. Cette attaque montre à quelle vitesse de fausses candidatures et des logiciels malveillants peuvent encore se transformer en risque direct pour les utilisateurs de crypto et les développeurs.
Les fausses offres d’emploi comme appât
Le groupe, appelé WaterPlum par les autorités et également connu sous le nom de Contagious Interview, se fait passer pour un recruteur pour des entreprises dans l’IA, la crypto et les NFT. Via les réseaux sociaux, les plateformes d’offres d’emploi et les places de marché pour freelances, le groupe approche des développeurs logiciels et des professionnels de l’informatique avec des postes en apparence attractifs.
Les victimes reçoivent ensuite un entretien technique ou un test de codage. On leur demande de télécharger des fichiers depuis des sites de partage de code, soi-disant parce qu’un appel vidéo ne fonctionne pas ou parce que l’exercice l’exige. Ces fichiers contiennent un malware qui tente de voler les mots de passe du navigateur, des captures d’écran, les frappes au clavier et les clés secrètes d’un wallet crypto.
Les autorités avertissent que ce type d’attaque est particulièrement dangereux parce que l’auteur se comporte comme un employeur ordinaire. Pour les victimes, le contact semble d’abord légitime, alors que les dégâts n’apparaissent que plus tard.
Un schéma plus large de hacks nord-coréens
Cette affaire s’inscrit dans une vague plus large d’attaques cyber nord-coréennes contre le secteur de la crypto. Plus tôt, des hackers nord-coréens avaient déjà été liés à de grands vols, dont l’attaque contre Bybit en février 2025. Selon des estimations précédentes, la Corée du Nord a volé au total 2,02 milliards de dollars (1,8 milliard d'euros) de crypto en 2025, soit près de 60% de tous les vols de crypto signalés cette année-là.
Cela montre pourquoi les régulateurs et les services d’enquête mettent de plus en plus en garde contre l’ingénierie sociale plutôt que contre les seules failles techniques. Les attaquants ne ciblent pas seulement les wallets, mais aussi les personnes qui ont accès au code, aux comptes et aux réseaux d’entreprise.
Pourquoi cela compte pour l’Europe
Pour les utilisateurs et les entreprises crypto européens, cette affaire est particulièrement importante car elle montre à quel point ces campagnes sont internationales. Le groupe a touché des victimes dans plus de 100 pays et a également utilisé des canaux de recrutement japonais et internationaux. Pour les développeurs et les équipes en Europe, une vigilance accrue reste nécessaire face aux entretiens non sollicités, aux fichiers de test et aux logiciels provenant de l’extérieur de leur propre environnement. Une précédente infiltration chez MetaMask a également montré jusqu’où des acteurs nord-coréens peuvent aller en se faisant passer pour des développeurs ou des prestataires légitimes.
