Le Ketman Project, financé par la Ethereum Foundation, a identifié environ 100 travailleurs informatiques nord-coréens présumés, actifs au sein de 53 projets crypto, selon un récapitulatif du programme ETH Rangers publié le 16 avril.
Cette initiative de six mois, soutenue par le biais de bourses accordées dans le cadre du programme ETH Rangers de l’Ethereum Foundation, visait spécifiquement à détecter et à expulser les agents de la RPDC ayant infiltré des organisations Web3 sous des identités fictives.
Comment les Nord-Coréens utilisent de fausses identités et de faux documents KYC
Une enquête récente de Ketman a détaillé comment des acteurs liés à la RPDC se sont fait passer pour des développeurs japonais sur la plateforme freelance Web3 OnlyDust.
Les agents utilisaient des photos de profil générées par intelligence artificielle, des noms fictifs tels que « Hiroto Iwaki » et « Motoki Masuo », et soumettaient de faux documents d’identité japonais lors de la vérification.
Les enquêteurs ont confirmé la supercherie lors d’un appel vidéo au cours duquel un suspect, invité à se présenter en japonais, a retiré son casque et a quitté l’appel.
L’équipe a repéré au moins trois groupes d’acteurs répartis sur 11 dépôts, où 62 pull requests avaient été fusionnés avant leur détection.
Outils open source et cadre sectoriel
Au-delà des enquêtes individuelles, Ketman a développé gh-fake-analyzer, un outil open source d’analyse de profils GitHub désormais disponible sur PyPI.
Le projet a également coécrit le DPRK IT Workers Framework avec la Security Alliance (SEAL), aujourd’hui devenu une référence dans le secteur.
Le programme ETH Rangers, lancé fin 2024 en partenariat avec Secureum, The Red Guild et SEAL, a permis de financer au total 17 bénéficiaires de bourses.
Les résultats consolidés comprennent plus de 5,8 millions de dollars de fonds récupérés, 785 vulnérabilités signalées et 36 réponses à incidents traitées.
Les agents nord-coréens ont détourné des milliards d’actifs crypto ces dernières années. Les chercheurs en sécurité alertent sur le fait que l’infiltration par des travailleurs informatiques sert souvent de tremplin à des attaques plus larges sur la chaîne d’approvisionnement, coordonnées par les équipes de hackers de la RPDC.
