La journaliste crypto Laura Shin — ancienne rédactrice de Forbes et autrice du livre The Cryptopians publié en 2022 — a voulu voir ce qui se passerait en mettant devant la caméra un hacker présumé soutenu par l’État nord-coréen. En se faisant passer pour une recruteuse nommée Sophie Wang, elle a organisé un entretien vidéo et a laissé l’homme se présentant comme Justin Lim dérouler ses réponses lors d’une évaluation en ingénierie blockchain. Il a parfaitement répondu aux questions techniques — et a trébuché, de manière très visible, sur les questions politiques.

L’épisode du podcast Unchained, diffusé le 14 août 2026, constitue l’un des exemples les plus inhabituels de journalisme crypto de ces dernières années : à la fois opération d’infiltration, entretien d’embauche et étude de cas sur la manière dont la République populaire démocratique de Corée a transformé le travail de développeur à distance en canal de financement pour ses programmes d’armement.

Un entretien qui n’était pas vraiment un entretien d’embauche

Lim s’est présenté comme un développeur à distance basé à Long Beach, en Californie, et, sur le papier, son CV cochait de nombreuses cases. Il a démontré sa maîtrise de la sécurité des smart contracts, a évoqué des protocoles d’indexation comme The Graph sur plusieurs réseaux et a montré sa familiarité avec des projets tels que Uniswap et Velas.

Les failles sont apparues lorsque Shin, toujours dans le rôle de Sophie Wang, a orienté la conversation vers la direction nord-coréenne. Les réponses de Lim sont devenues évasives, vagues et manifestement réticentes à formuler la moindre critique, même modérée, de Kim Jong Un. Pour quiconque connaît le comportement des opérateurs nord-coréens lors des interrogatoires, ce type de loyauté réflexe constitue un indice révélateur.

Une trace de 2,7 millions de dollars

Lim n’était pas seulement une menace théorique. Les enquêteurs l’ont ensuite relié à un vol de 2,7 millions de dollars en 2022 contre le projet MetaPlay, rattachant son identité à des schémas de piratage nord-coréens connus.

On estime que des opérateurs nord-coréens ont volé plus de 6 milliards de dollars aux entreprises crypto ces dernières années. Et, contrairement aux groupes de ransomware ou aux hackers isolés, ces opérateurs agissent comme des employés de l’État. Les fonds volés seraient réinjectés pour soutenir les programmes nucléaires et de missiles balistiques de la Corée du Nord, faisant de chaque protocole DeFi compromis ou de chaque portefeuille de projet vidé une question de sécurité internationale.

Le modèle d’infiltration est d’une simplicité trompeuse. Les opérateurs nord-coréens créent des identités en ligne crédibles, prétendant souvent se trouver aux États-Unis, au Canada ou en Asie du Sud-Est. Ils bâtissent des profils GitHub, contribuent à des projets open source et cultivent l’empreinte numérique qu’un responsable du recrutement pressé pourrait consulter et valider. Une fois à l’intérieur d’un projet, ils ont accès aux systèmes exacts qu’ils cherchent à exploiter.

Pourquoi la crypto est particulièrement vulnérable

La culture de recrutement du secteur crypto a pratiquement été conçue pour ce type d’infiltration. Des équipes en priorité à distance, des contributeurs pseudonymes, une tolérance générale pour des parcours non conventionnels et la vitesse même des embauches dans les marchés haussiers créent autant d’ouvertures que des acteurs soutenus par des États savent exploiter.

Ce que cela signifie pour les projets et les investisseurs

Tout projet ayant recruté des développeurs à distance sans vérification d’identité rigoureuse a désormais des raisons d’auditer son équipe, et pas seulement son code. Un seul initié compromis peut vider une trésorerie, et la perte de 2,7 millions de dollars subie par MetaPlay reste modeste au regard des récents exploits crypto.

Pour les investisseurs, la posture de sécurité de l’équipe d’un projet compte autant que la qualité de son code. Un protocole peut réussir chaque audit de smart contract et être malgré tout ravagé de l’intérieur si la mauvaise personne dispose d’un accès de commit. La due diligence sur les investissements tokenisés devrait désormais inclure des questions sur la manière dont les projets vérifient leurs contributeurs, et pas seulement sur la manière dont ils sécurisent leurs contrats.