Le Bureau de contrôle des avoirs étrangers (OFAC) du Département du Trésor américain a annoncé des sanctions à l'encontre de 10 personnes et d'une organisation. Selon le Trésor américain, ces personnes et cette organisation ont contribué à créer et à maintenir des réseaux de travailleurs informatiques à l'étranger opérant sous le contrôle du gouvernement nord-coréen. Les participants à ces systèmes utilisaient des documents falsifiés et des identités d'emprunt pour se faire embaucher dans des entreprises aux États-Unis et dans d'autres pays, puis transféraient l'argent gagné au gouvernement nord-coréen. Les sanctions visaient également des personnes accusées d'avoir organisé la conversion de fonds, les transferts de crypto-monnaies et la coordination de ces équipes.
Les nouvelles sanctions
La liste des personnes et organisations sanctionnées par l'OFAC comprend des travailleurs informatiques, des chefs d'équipe, des intermédiaires financiers et des entités liées qui opéraient en Corée du Nord et en Russie.
L'annonce publiée fournit des détails sur plusieurs transactions crypto:
- Le ressortissant russe Vitold Viktorovich Obertas est accusé d'avoir effectué des opérations d'échange de crypto-monnaies d'une valeur de près de $2M pour des représentants nord-coréens depuis janvier 2025, ainsi que d'autres opérations monétaires d'une valeur d'au moins $1.25M.
- Kim Ki Hyok est accusé d'avoir transféré des crypto-monnaies d'une valeur de près de $500,000 pour une équipe de travailleurs informatiques qui opère en Russie depuis 2024.
- Kim Hyo Dong est accusé d'avoir apporté un soutien organisationnel à une autre équipe et d'avoir aidé à transférer des actifs financiers d'une valeur de plus de $100,000.
- Le ressortissant russe Ilya Aleksandrovich Boykov est accusé d'avoir aidé une organisation liée à cette activité à effectuer des opérations d'échange et des transferts de crypto-monnaies d'une valeur d'environ $3.5M depuis 2024.
- L'organisation First Financial and Technical Development Center (FFTDC) est accusée d'avoir hébergé des travailleurs informatiques nord-coréens en Russie. Selon les données publiées, depuis 2025 ses employés ont collectivement généré plus de $750,000 de revenus pour le gouvernement nord-coréen.
Analyse des liens entre les adresses sanctionnées
La liste des sanctions SDN mise à jour, tenue par l'OFAC, comprend huit adresses d'actifs numériques liées aux personnes et organisations sanctionnées. Ces adresses appartiennent à deux réseaux blockchain - Ethereum et TRON.
Une analyse des mouvements de fonds montre qu'il existe des liens notables entre ces adresses. Certaines d'entre elles ont transféré des fonds directement entre elles, et plusieurs autres ont envoyé de l'argent au même portefeuille, qui a servi à alimenter un compte sur une plateforme d'échange.
Kim Ki Hyok
Selon l'OFAC, depuis 2024 Kim Ki Hyok a transféré des crypto-monnaies d'une valeur de près de $500,000 pour une équipe de travailleurs informatiques qui opérait en Russie. La liste des sanctions le relie à l'adresse suivante sur Ethereum:
C'est l'adresse la plus simple de toute la liste, avec l'activité la plus limitée: elle n'a existé que deux jours et n'a effectué qu'une seule transaction - l'envoi de 50,000 DAI à une plateforme d'échange.
Les fonds sont d'abord passés par l'adresse intermédiaire 0x4865773f498186d838fe47227804a158cbed51de. Le 31 août, quatre adresses différentes lui ont envoyé un total d'environ 100,000 DAI. Le 9 septembre à 06:46, ce portefeuille intermédiaire a envoyé 50,000 DAI à l'adresse figurant dans la liste des sanctions à côté du nom de Kim Ki Hyok. Environ six minutes plus tard, encore 0.001 ETH y sont arrivés - le montant nécessaire pour payer les frais de transaction. Le lendemain à 09:39, l'adresse liée à Kim a transféré la totalité des 50,000 DAI vers une adresse de dépôt de la plateforme Bybit: 0x197c6c66d9fc674d496ee232f418bd6f6013a13b.
Ilya Aleksandrovich Boykov
Selon l'OFAC, depuis 2024 le ressortissant russe Ilya Boykov a aidé une organisation liée à cette activité à effectuer des opérations d'échange et des transferts de crypto-monnaies d'une valeur d'environ $3.5M. La liste des sanctions le relie aux adresses suivantes sur Ethereum:
Une analyse de l'adresse 0x12Ea8 montre qu'elle était active du 10 novembre 2022 au 25 août 2025. Durant cette période, elle a reçu au total 49.5767 ETH, 4.7 millions d'USDC, 4.63 millions d'USDT et 10.22 millions de DAI.
Les fonds provenant de cette adresse ont ensuite été retirés selon quatre directions clairement identifiables:
- 50.54% des fonds - soit environ $9.88M - ont été transférés directement vers l'adresse de dépôt de la plateforme d'échange Bybit 0x761edd5e4546229a0bd35ae99b4d3d01cf4a3510, liée à Boykov et Obertas. Le transfert unique le plus important était de 511,000 USDC, effectué le 12 juin 2024. De plus, encore 13.67 ETH sont arrivés à la même adresse de dépôt.
- 20.47% des fonds - soit environ $4M - ont été envoyés vers une autre adresse de dépôt Bybit: 0x197c6c66d9fc674d496ee232f418bd6f6013a13b. Au total, 31 transactions ont été effectuées.
- 28.88% des fonds - soit environ $5.65M - sont allés vers deux adresses de dépôt sur la plateforme d'échange HTX: 0xee60121c763143a4fb17735ab86b5f0fc5cb1800 et 0x7f78ddf455f9f8eef56c4c9f76b5d53c75dc54ee. Le premier transfert a eu lieu le 22 juin 2023. Par la suite, des fonds n'ont cessé d'arriver sur ces adresses pendant plus de deux ans.
- Les 0.05% restants des fonds - $9,870 - ont été envoyés vers une adresse de dépôt Binance: 0x4941c9481e9bb27b74be4e2b6c6fa349f8be99d5.
Adresse partagée de Boykov et Obertas
0x761edd5e4546229a0bd35ae99b4d3d01cf4a3510 - cette adresse est étiquetée comme un portefeuille de dépôt de la plateforme d'échange Bybit. L'OFAC l'a officiellement inscrite dans les entrées de sanctions visant à la fois Obertas et Boykov.
En examinant la composition des fonds entrants, 128 transactions provenant de l'adresse de Boykov 0x12Ea80238C7d805D003ce793594e92d84A6f4E8d représentaient 77% de l'ensemble des fonds reçus par ce portefeuille. Ces transferts ont été effectués du 22 juin 2023 au 25 juillet 2025. Le suivi ultérieur des fonds le long de la chaîne de transactions a également révélé des liens avec des adresses étiquetées comme appartenant à la Corée du Nord.
La liste de sanctions de l'OFAC inclut également deux adresses sur TRON à côté du nom de Boykov:
L'adresse TQKoDq5aCrWAciiNtete5pDYVN38i4qFN1 est le premier portefeuille de Boykov sur TRON. Son volume de transactions est relativement faible, mais le mouvement des fonds peut être tracé assez clairement. Du 2 décembre 2022 au 21 décembre 2025, elle a reçu un total de 873,675 USDT. Le transfert sortant le plus important était de 257,732 USDT: l'argent a été envoyé directement vers l'adresse de dépôt d'Obertas sur Bybit - TFksjBcHPYqgAax2USheQuaT1ydRKyZRdg. Le reste des fonds a été réparti dans diverses directions.
L'adresse TXmrnVgsqCMJncYHTXchuJ5z111BXSj4g3 est le portefeuille ultérieur de Boykov sur TRON, où les fonds étaient concentrés dans une bien plus grande mesure. C'est également le point de contact le plus direct entre Boykov et Obertas. Du 21 mars 2024 au 6 décembre 2025, elle a reçu un total de 1.62 millions d'USDT. En l'espace de trois mois, 1.4 millions d'USDT - soit 86.2% de l'ensemble des fonds entrants - ont été envoyés depuis ce portefeuille. L'argent est sorti en sept transactions, et à chaque fois le destinataire était l'adresse de dépôt d'Obertas sur Bybit: TFksjBcHPYqgAax2USheQuaT1ydRKyZRdg. La majeure partie des fonds est arrivée au portefeuille de clients qui transféraient des montants moyens.
Les transferts directs entre ces deux adresses TRON et le portefeuille TFksjBcHPYqgAax2USheQuaT1ydRKyZRdg permettent de tracer le lien entre les adresses que l'OFAC a inscrites à côté du nom de Boykov et les adresses liées à Obertas.
Outre l'adresse Ethereum partagée, que la liste de sanctions inclut à côté de Boykov et d'Obertas, l'OFAC a inscrit trois autres adresses TRON liées à Obertas:
L'adresse TCV4qdpTxoMyqkn7sSPeRrXmhH5JFxMvmT est étiquetée comme un portefeuille de dépôt de la plateforme d'échange HTX. Sur 11 mois - du 10 septembre 2024 au 28 août 2025 - elle a reçu un total de 9.16 millions d'USDT.
L'adresse TQCBdU4K92oxLAkzwexZpqVZJhmPbtLYMm a pris part à de nombreuses transactions entrantes et sortantes. L'analyse montre que du 7 novembre 2022 au 25 février 2026, elle a reçu environ 11.09 millions d'USDT, après quoi les fonds ont été transférés vers d'autres adresses. Sur ce montant, environ 2.58 millions d'USDT sont allés vers la propre adresse de dépôt d'Obertas sur Bybit - TFksjBcHPYqgAax2USheQuaT1ydRKyZRdg. Encore environ 1.08 millions d'USDT ont été envoyés vers son adresse de dépôt sur HTX - TCV4qdpTxoMyqkn7sSPeRrXmhH5JFxMvmT. Ces deux transferts relient l'adresse TQCBdU4K92oxLAkzwexZpqVZJhmPbtLYMm à deux autres portefeuilles d'Obertas figurant sur la liste de sanctions.
Le plus important transfert entrant provenait de l'adresse TEvYL8PU8EiC84kAoN67ZhHyUgPfvgVoD8. Il s'élevait à 1,242,541 USDT. L'historique des transactions de ce portefeuille est relativement complexe.
L'adresse TFksjBcHPYqgAax2USheQuaT1ydRKyZRdg est étiquetée comme un portefeuille de dépôt de la plateforme d'échange Bybit. Du 7 mars 2023 au 31 octobre 2026, elle a reçu un total d'environ 31.02 millions d'USDT.
La deuxième plus importante source de fonds pour cette adresse était le propre portefeuille d'Obertas TQCBdU4K92oxLAkzwexZpqVZJhmPbtLYMm, depuis lequel 2.58 million d'USDT a été transféré. La sixième plus importante source était l'adresse de Boykov TXmrnVgsqCMJncYHTXchuJ5z111BXSj4g3, qui a envoyé 1.4 millions d'USDT.
Pris ensemble, les données de transactions sur Ethereum et TRON permettent d'identifier plusieurs types de liens entre les adresses qui peuvent être confirmés ou tracés:
- L'adresse Ethereum 0x761ed figure dans la liste des sanctions aux côtés de Boykov et d'Obertas. Plus tôt, environ $9.88M y sont arrivés depuis le portefeuille 0x12Ea8 de Boykov.
- Des fonds ont été transférés depuis les adresses Ethereum liées à Boykov et Kim vers le portefeuille 0x197c6. Dans le même temps, cette adresse elle-même ne figure pas parmi les huit portefeuilles publiés par l'OFAC dans le cadre de cette mesure de sanctions.
- Des USDT ont été transférés depuis les deux adresses TRON de Boykov vers l'adresse de dépôt Bybit TFksj, liée à Obertas.
- Des USDT ont été transférés depuis l'adresse TQCBd d'Obertas vers sa propre adresse de dépôt Bybit TFksj et vers l'adresse de dépôt HTX TCV4q.
Comment fonctionnent les réseaux de travailleurs informatiques nord-coréens
Ces stratagèmes commencent souvent par ce qui ressemble à un processus tout à fait ordinaire de recrutement d'un employé à distance. Une entreprise publie une offre d'emploi, reçoit des CV, mène des entretiens, puis envoie un ordinateur à la nouvelle recrue et lui verse un salaire mensuel. Le problème est que la personne de l'autre côté de l'écran peut ne pas être du tout le candidat nommé dans le CV.
Certains travailleurs informatiques nord-coréens utilisent des documents d'identité volés, empruntés ou falsifiés pour obtenir des emplois à distance. Ils créent également des adresses e-mail et des comptes de réseaux sociaux correspondants, et préparent des biographies professionnelles et des antécédents de travail. Pour dissimuler leur véritable localisation, certains utilisent des VPN, des réseaux proxy ou l'aide d'intermédiaires basés dans les pays où opèrent les entreprises qui les embauchent. Les ordinateurs que les entreprises envoient aux employés peuvent d'abord être livrés à des résidents locaux ou à ce que l'on appelle des «fermes d'ordinateurs portables», avant d'être utilisés par des opérateurs distants à l'étranger. Ainsi, les adresses, les données personnelles et les emplacements des appareils que voit l'entreprise peuvent n'avoir aucun rapport avec l'endroit où la personne travaille réellement.
Ces stratagèmes nécessitent généralement une coordination entre plusieurs participants. Certains fournissent ou louent l'identité d'autres personnes, d'autres reçoivent et stockent des ordinateurs, aident à ouvrir des comptes de paiement, ou gèrent des équipes et transfèrent l'argent gagné. Les intermédiaires peuvent savoir exactement qui ils aident, ou ils peuvent croire qu'ils fournissent des services ordinaires de réception de paiements, de mise en relation commerciale ou d'organisation de travail à distance.
Les revenus de ces stratagèmes prennent généralement la forme d'un salaire pour un travail à distance ou d'un paiement pour des projets réalisés. L'argent peut être transféré via des comptes bancaires tiers, des plateformes de paiement et des adresses de portefeuille crypto. Certaines des personnes figurant sur la liste des sanctions de l'OFAC ont été accusées séparément d'avoir aidé à échanger des cryptomonnaies, à transférer des fonds ou à gérer des équipes.
Une approche plus pratique pour les entreprises consiste donc en une vérification complète de l'identité d'un employé, le contrôle de la livraison des appareils, la gestion des prestataires et la limitation des autorisations système. Il est nécessaire de vérifier non seulement qui effectue réellement le travail, mais aussi à quelles données et systèmes cette personne peut accéder.
