Crypto : une fausse startup piège trois travailleurs IT soupçonnés d’être nord-coréens

Des chercheurs en cybersécurité ont créé une fausse startup crypto et recruté trois développeurs soupçonnés d’appartenir à un réseau de travailleurs IT nord-coréens. Pendant cinq semaines, les trois recrues ont travaillé dans des environnements contrôlés sans savoir que leurs connexions, outils et méthodes étaient observés. L’opération a notamment exposé des serveurs jusqu’ici inconnus, de faux documents et une utilisation intensive de l’intelligence artificielle.

Crypto : Ballena Azul n’a jamais réellement existé

La société fictive portait le nom de Ballena Azul. L’expérience illustre les méthodes d’infiltration déjà observées dans les réseaux de travailleurs IT liés à la Corée du Nord. Elle a été créée par Mauro Eldritch, fondateur de BCA LTD, et Heiner García, analyste en cybermenaces chez Telefónica Tech et fondateur de NorthScane. La plateforme ANY.RUN a fourni l’infrastructure permettant d’observer les recrues dans des machines virtuelles contrôlées.

L’équipe est entrée en contact avec un recruteur via GitHub. Celui-ci avait déjà été associé à Famous Chollima, un groupe lié aux opérations de faux travailleurs IT nord-coréens. Trois profils utilisant les noms « Jack Anderson », « Angelo Espree » et « Lucas Theo » ont ensuite rejoint le faux projet comme développeurs, selon l’enquête publiée par Cointelegraph Magazine.

Les chercheurs leur ont donné de véritables tâches de programmation. Mais l’environnement était instrumenté pour observer leur manière de travailler. Certaines difficultés ont même été introduites volontairement, comme des coupures réseau, afin de voir quels outils et quelles infrastructures externes les recrues utiliseraient pour résoudre les problèmes.

ChatGPT et Gemini compensent des lacunes techniques

L’une des surprises de l’expérience concerne l’utilisation massive de l’IA. Selon les chercheurs, les développeurs se servaient de ChatGPT pour écrire, coder et répondre à des questions techniques qu’ils avaient parfois du mal à résoudre seuls. Google Gemini était davantage utilisé pour modifier des images et certains documents.

L’opération a aussi permis de collecter des informations sur des portefeuilles crypto, des nœuds VPN, des conversations et plusieurs serveurs intermédiaires. Certains de ces serveurs avaient déjà été associés à des familles de logiciels malveillants observées dans des campagnes nord-coréennes. D’autres n’étaient pas répertoriés dans les principales bases de renseignements sur les menaces.

Cette découverte compte davantage que le niveau technique individuel des trois recrues. Une infrastructure réutilisée peut relier plusieurs opérations entre elles. Elle peut également aider les chercheurs à identifier plus rapidement de futures campagnes. Elle rappelle aussi pourquoi les audits de code ne couvrent plus tous les risques crypto, notamment lorsque l’attaque passe par un accès professionnel légitime.

Les faux travailleurs IT deviennent un problème majeur pour la crypto

Le phénomène dépasse largement cette opération. Le département américain de la Justice affirme que des travailleurs nord-coréens utilisent régulièrement de fausses identités pour obtenir des emplois à distance. Plus de 100 entreprises américaines avaient été touchées dans une série d’affaires dévoilées en 2025.

Quatre ressortissants nord-coréens ont notamment été inculpés aux États-Unis après avoir prétendument obtenu des emplois dans des entreprises blockchain avant de détourner plus de 900 000 dollars de cryptomonnaies. Dans l’un des cas décrits par le ministère américain de la Justice, un développeur aurait modifié le code de smart contracts après avoir obtenu un accès professionnel légitime.

Le Trésor américain estime que les programmes de travailleurs IT liés à la Corée du Nord ont généré près de 800 millions de dollars en 2024. Ces revenus participeraient au financement du régime malgré les sanctions internationales, selon un communiqué de l’OFAC publié en mars 2026.

Ces opérations s’inscrivent dans un environnement où les pertes liées aux arnaques crypto sont massivement sous-estimées. Les entreprises du secteur doivent donc vérifier l’identité des recrues, mais aussi limiter les accès, segmenter les environnements et surveiller les modifications sensibles.

L’attribution nord-coréenne reste à manier avec prudence

Une nuance reste essentielle dans l’affaire Ballena Azul. Cointelegraph indique n’avoir pu confirmer indépendamment ni la nationalité ni l’affiliation des trois personnes surveillées. Aucune agence gouvernementale ne les a publiquement identifiées comme agents nord-coréens.

Il faut donc parler de travailleurs soupçonnés d’être liés à la Corée du Nord, et non présenter cette attribution comme définitivement établie. L’opération apporte des indicateurs techniques et comportementaux utiles. Elle ne remplace pas une attribution officielle.

En bref

• Des chercheurs ont créé une fausse startup crypto pour observer trois développeurs suspects.
• L’opération a exposé des serveurs, de faux documents et un usage intensif de l’IA.
• Leur affiliation nord-coréenne reste une attribution des chercheurs, pas une confirmation gouvernementale.