Les drapeaux Ketman soutenus par Ethereum signalent une infiltration généralisée de la Corée du Nord dans le recrutement dans la cryptomonnaie

Une nouvelle enquête soutenue par la Fondation Ethereum a attiré une attention renouvelée sur un problème de sécurité de longue date dans la cryptographie : des opérateurs nord-coréens se faisant passer pour des développeurs à distance légitimes. Dans un récent résumé de la Fondation Ethereum ETH Rangers, l’organisation a indiqué qu’un bénéficiaire financé avait utilisé la bourse pour construire et développer Ketman, un projet de renseignement sur les menaces axé sur la détection des travailleurs informatiques de la RPDC au sein de projets blockchain. Le résumé a indiqué que l’équipe avait contacté environ 53 projets et identifié une centaine de travailleurs informatiques nord-coréens opérant dans des organisations Web3.

Les résultats ont été révélés après que le commentateur crypto Colin Wu a mis en avant le rapport sur X, affirmant que la revue montrait que Ketman avait découvert environ 100 hackers nord-coréens infiltrant des projets crypto. Le post de Wu a également mentionné des rapports indiquant que les opérateurs utilisaient couramment de fausses pièces d’identité japonaises pour obtenir des emplois Web3 à distance, un détail qui correspond au schéma décrit dans le rapport de Ketman sur l’infiltration des plateformes de freelance.

Le rapport public de Ketman, publié le 16 avril 2025, décrit comment l’enquête a commencé avec un acteur suspect dans le dépôt d’un développeur légitime et s’est étendue à un groupe plus large lié à l’écosystème freelance onlyDust. Les chercheurs ont écrit qu’ils avaient d’abord remarqué des manipulations de l’historique des comptes, des activités de spam, des changements d’identité suspects, et plusieurs autres signaux d’alarme, puis ont tracé ces comptes jusqu’à un réseau plus large de contributeurs travaillant sur plusieurs dépôts. Dans le rapport, Ketman indique avoir découvert des acteurs utilisant plusieurs pseudonymes, de fausses identités, et même des documents fabriqués dans le cadre du processus d’embauche.

Alerte de sécurité crypto

L’une des parties les plus frappantes du rapport de Ketman est l’affirmation selon laquelle certains des acteurs suspects se présentaient comme japonais, même si les chercheurs ont finalement conclu qu’ils étaient liés à une activité associée à la RPDC. Le rapport indique qu’un sujet utilisait plusieurs noms et prétendait être japonais, tandis que l’équipe a également mentionné un faux document japonais utilisé lors du processus de vérification. Ketman affirme que ce type de blanchiment d’identité peut aider des contributeurs suspects à gagner en crédibilité, à collecter des paiements, et à utiliser cette expérience pour accéder à des rôles plus sensibles.

Le résumé de la Fondation Ethereum a présenté ce travail comme faisant partie d’un effort de sécurité plus large plutôt que d’une enquête isolée. En plus des découvertes de Ketman, le résumé des ETH Rangers a indiqué que le programme global avait récupéré ou gelé plus de 5,8 millions de dollars, documenté plus de 785 vulnérabilités, et identifié environ 100 opérateurs sponsorisés par l’État à travers l’écosystème. Ce contexte aide à expliquer pourquoi la Fondation considère cette catégorie de menace comme un problème opérationnel sérieux pour les équipes Web3, et pas seulement comme un problème de recherche de niche.

Ketman a également affirmé publiquement que les équipes devraient vérifier plus rigoureusement les travailleurs à distance, notamment par des appels vidéo et une surveillance accrue des incohérences dans le comportement ou les affirmations d’identité. Dans son rapport, le projet indique que les documents KYC seuls ne suffisent pas et recommande des étapes de vérification qui vont au-delà de la paperasserie statique. L’alerte tombe à un moment où les autorités américaines continuent de signaler l’activité de travailleurs informatiques nord-coréens comme une menace en évolution, notamment en ce qui concerne l’extorsion de données et d’autres formes d’abus liés aux escroqueries d’emploi à distance.

Pour les startups crypto, la conclusion est inconfortable mais claire. L’infiltration liée à la RPDC n’est plus seulement un problème de piratage à la périphérie du réseau. C’est aussi un problème d’embauche, de sélection de contractants, et de confiance au sein des équipes qui dépendent de la collaboration à distance. Les résultats de Ketman suggèrent que les faux CV, les historiques GitHub soignés, et les personas d’entretien convaincants peuvent encore passer inaperçus à moins que les projets ne renforcent la manière dont ils vérifient les développeurs avant de leur donner accès au code, aux fonds ou aux communications internes.