Chainalysis a attribué plus de 14,3 millions de dollars de pertes en cryptomonnaies sur les 18 derniers mois au mode opératoire nord-coréen de faux entretiens d'embauche, utilisé plus tard contre Binance. Selon les conclusions de la société d'analyse blockchain, ces cambriolages de moindre ampleur ont servi de répétition au vol de 6,3 milliards de dollars perpétré contre la plateforme.

Ces pertes proviennent de faux entretiens et de schemes malveillants liés à la RPDC, avec des cibles allant des détenteurs individuels de cryptomonnaies et des portefeuilles privés aux protocoles et aux organisations autonomes décentralisées (DAO).

Des dizaines de faux entretiens d'embauche ont mené à des compromissions de portefeuilles

« Nous avons identifié des dizaines d'autres compromissions via des entretiens d'embauche qui ont mené à des compromissions de portefeuilles » au niveau individuel, a déclaré Tom McLouth, analyste principal du renseignement chez Chainalysis. Les pertes individuelles se sont élevées de dizaines de milliers de dollars à plusieurs millions.

Les équipes nord-coréennes étaient en train de « perfectionner et de faire évoluer leur méthodologie » dans ces attaques, a-t-il ajouté. « C'est ainsi qu'on finit par réaliser le plus grand cambriolage de l'histoire », a déclaré McLouth.

Selon l'évaluation de Chainalysis, l'attaque contre Binance pourrait constituer l'aboutissement de mois, voire d'années de répétitions. Cryptopolitan a précédemment rapporté que Binance a remonté sa faille à une invitation à un entretien d'embauche envoyée à un ingénieur en septembre. Après deux tours avec une fausse entreprise, l'ingénieur a téléchargé un devoir d'entretien dans lequel du code malveillant avait été inséré.

Alec Zebrick, Senior Manager of Global Services chez Chainalysis, qualifie cette tactique d'« entretiens contagieux », qui ciblent le personnel disposant d'accords privilégiés afin que leurs identifiants puissent être retournés contre leur employeur.

Chainalysis a également mis en évidence des cas de clés privées volées depuis le stockage cloud après un entretien malveillant. Certaines victimes ont indiqué que leurs phrases semences n'avaient jamais été stockées sur l'appareil infecté, ce qui, selon la société, pourrait indiquer des identifiants cloud volés ou des sessions de navigateur détournées. Ce détail illustre pourquoi la sécurité des portefeuilles dépasse désormais le cadre d'un seul appareil : les comptes cloud et les sessions de navigateur utilisés pour stocker ou synchroniser les identifiants peuvent eux-mêmes devenir le point d'entrée de la faille.

En mars, Microsoft a documenté que son équipe Defender Experts suit une campagne d'entretiens contagieux active depuis au moins décembre 2022. Dans cette opération, de faux recruteurs se faisant passer pour des employés de sociétés de trading de cryptomonnaies ou d'entreprises d'IA incitent les candidats à exécuter des paquets de code malveillant. Microsoft a indiqué que le logiciel malveillant recherche les phrases mnémoniques de portefeuilles, les coffres KeePass et 1Password, ainsi que les clés cryptographiques. Avec de faux recruteurs usurpant l'identité d'employeurs dans la crypto et l'IA, le processus de recrutement est lui-même devenu une surface d'attaque.

Les Blockchain Dead Drops ont quintuplé en un an

Chainalysis rapporte également que les cyberattaques exploitant la blockchain ont quintuplé au cours des 12 derniers mois. La société nomme cette technique Blockchain Dead Drops et attribue cette hausse à des acteurs étatiques et à l'utilisation potentielle de modèles d'IA à poids ouverts.

Les acteurs nord-coréens ont commencé à utiliser cette approche, connue sous le nom d'« Etherhiding », au début de l'année 2025. Elle relie les machines infectées via de faux entretiens d'embauche aux serveurs de commandement et contrôle des attaquants, car un enregistrement blockchain est plus difficile à saisir pour les forces de l'ordre qu'une infrastructure hébergée de manière centralisée.

Un dispositif de la RPDC répartissait les instructions entre TRON et Aptos. Les deux chaînes contiennent des pointeurs vers une charge utile hébergée sur BSC, et les appareils infectés y sont redirigés, Aptos servant de solution de repli en cas d'échec de TRON. Une variante plus récente dite « null receiver » intègre l'instruction dans une adresse spécialement conçue, non contrôlée et non destinée à détenir des cryptomonnaies ; les machines infectées interprètent l'adresse comme une commande. L'apparition d'une variante plus récente si peu de temps après le lancement d'Etherhiding début 2025 témoigne d'un mode opératoire encore activement affiné.

En septembre, le FBI, la police nationale japonaise et des agences australiennes et allemandes ont publiquement désigné un groupe nord-coréen connu sous le nom de WaterPlum dans un cambriolage de cryptomonnaies d'environ 10,71 millions de dollars. WaterPlum est également appelé le groupe « Contagious Interview », et ses opérations ont affecté des données sensibles d'environ 7 000 comptes cryptomonnaies. Cette attribution conjointe par des autorités de quatre pays montre l'ampleur de la réponse répressive internationale suscitée par cette tactique.

Le FBI a attribué le cambriolage de Binance au groupe nord-coréen TraderTraitor, mais Pyongyang a nié toute implication. Chainalysis s'attend à ce que les fonds volés restent en mouvement dans les jours à venir.