Informaticiens nord-coréens : l’OFAC sanctionne 11 cibles, et huit adresses crypto qui ont brassé des dizaines de millions ne contiennent plus que 2 300 $

L’Office of Foreign Assets Control (OFAC) du Trésor américain a sanctionné mercredi 28 octobre 10 personnes et une entité basée en Russie qui, selon un communiqué du Trésor, participent aux dispositifs de télétravailleurs informatiques de la Corée du Nord : des Nord-Coréens y décrochent un emploi dans des entreprises américaines et alliées sous une fausse identité, puis reversent l’essentiel de leur salaire au régime. Deux des personnes visées sont des Russes que le Trésor accuse de transformer des cryptomonnaies nord-coréennes en argent liquide : Vitold Obertas, pour près de 2 millions de dollars depuis janvier 2025, et Ilya Boykov, pour environ 3,5 millions de dollars depuis 2024.

L’OFAC a aussi rattaché des adresses crypto à trois des fiches de sa liste de sanctions, soit huit adresses distinctes au total, trois sur Ethereum et cinq sur Tron, d’après la page des actions récentes de l’OFAC. Coindaro a examiné les huit sur des explorateurs de blocs publics le 28 octobre entre 17 h 40 et 17 h 50 UTC. Elles contenaient ensemble environ 2 300 $ en stablecoins et en ether à ce moment-là. Pourtant, plus de 80 millions de dollars de stablecoins y sont entrés entre novembre 2022 et novembre 2025, l’essentiel en 2024 et 2025. Ce chiffre est un flux brut : blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">il compte de l’argent qui n’a fait que transiter, parfois deux fois, et il ne mesure pas ce que la Corée du Nord a gagné.

« Le régime nord-coréen continue de cibler et d’exploiter des entreprises américaines par des activités frauduleuses », a déclaré le secrétaire au Trésor Scott Bessent dans le communiqué. Les personnes et la société citées sont désignées, pas condamnées : toutes les accusations rapportées ici viennent du Trésor, et le communiqué n’annonce aucune poursuite pénale contre elles.

Qui l’OFAC a sanctionné le 28 octobre dans le dossier des informaticiens nord-coréens

L’action comporte deux volets. Quatre personnes ont été désignées au titre du décret présidentiel 13687, qui vise le gouvernement nord-coréen et ceux qui le soutiennent. Une société basée en Russie et six de ses employés l’ont été au titre du décret 13722, qui couvre notamment l’envoi de travailleurs nord-coréens à l’étranger pour rapporter de l’argent à Pyongyang. Sur la liste de l’OFAC, ils portent les mentions de programme DPRK2 et DPRK3.

Vitold Viktorovich Obertas, de nationalité russe, a servi d’intermédiaire pour des transactions financières nord-coréennes, notamment pour Amnokgang Technology Development Company, une façade de télétravailleurs informatiques que l’OFAC a sanctionnée le 12 mars 2026. Ilya Aleksandrovich Boykov, également russe, travaillait pour LLC Alis, une société russe de télétravailleurs informatiques : il échangeait et convertissait des cryptomonnaies, surveillait les transactions et aidait sur le plan logistique.

Les deux Nord-Coréens dirigent chacun une délégation de travailleurs informatiques installée en Russie. Kim Ki Hyok dirige celle d’Alis et suit les sommes que ses travailleurs rapportent, selon le Trésor. Kim Hyo Dong pilote un autre groupe, subordonné à Chinyong Information Technology Cooperation Company, le réseau parent que l’OFAC a sanctionné pour la première fois en mai 2023.

L’entité est le First Financial and Technical Development Center (FFTDC), que le Trésor décrit comme une société contrôlée par la Corée du Nord et active en Russie depuis 2024 au moins. Toujours selon le Trésor, elle a rapporté plusieurs millions de dollars au gouvernement nord-coréen, en s’appuyant sur ce que le communiqué appelle des outils « Super Intelligence » (des logiciels d’IA, en clair) et sur des transferts de cryptomonnaies complexes pour déplacer l’argent. Ses six employés cités sont Kim Kyong Ju, Ri Thae Chol, So Hyon Jin, Han Yu Song, Kim Sung Gwan et Hyon Se Il, tous nés entre 1999 et 2002 d’après leurs fiches SDN.

Comment fonctionnent ces dispositifs de télétravail, selon le Trésor

Des développeurs nord-coréens postulent à des emplois à distance avec des faux documents, des identités volées ou des personnages inventés. Une fois embauchés, ils font le travail, touchent un salaire, et l’État en prélève l’essentiel. Le Trésor affirme que cet argent finance les programmes d’armes de destruction massive et de missiles balistiques de la Corée du Nord.

La fraude au salaire n’est pas le seul risque pour les employeurs. Le Trésor indique que certains de ces travailleurs ont utilisé leur accès aux réseaux des entreprises pour installer des logiciels malveillants, extraire des données et voler des informations propriétaires. Le communiqué relie ces réseaux aux cryptomonnaies de deux façons : les travailleurs sont payés ou rémunérés en actifs numériques, puis l’argent est blanchi, en partie par des intermédiaires comme Obertas et Boykov qui le convertissent en monnaie classique.

Le Trésor ne donne aucun total des gains de ces réseaux, ne cite aucune plateforme d’échange et ne nomme aucun stablecoin. CBS News, qui a couvert l’annonce le 28 octobre, n’a pas non plus nommé de plateforme de trading.

Les huit adresses crypto de la liste SDN

L’OFAC a publié neuf lignes d’adresses, mais une adresse Ethereum apparaît deux fois : c’est l’adresse secondaire de Boykov et l’adresse principale d’Obertas. Cela laisse huit adresses distinctes. Boykov en a deux sur Ethereum et deux sur Tron. Obertas a cette adresse Ethereum partagée et trois sur Tron. Kim Ki Hyok a une adresse Ethereum. Kim Hyo Dong, le FFTDC et les six employés n’en ont aucune.

Figurer sur la liste signifie que tous les biens de ces personnes aux États-Unis, ou détenus par une personne américaine, sont gelés et doivent être déclarés à l’OFAC, et que les personnes américaines ont en principe interdiction de traiter avec elles. Les sociétés détenues à 50 % ou plus par des personnes sanctionnées sont gelées elles aussi. L’OFAC peut sanctionner les violations selon un régime de responsabilité stricte, ce qui veut dire qu’une entreprise peut être pénalisée même si elle ne savait pas.

Pour les plateformes crypto, l’effet concret tient aux adresses. Les plateformes d’échange et les fournisseurs de portefeuilles qui filtrent leurs flux avec la liste SDN peuvent désormais signaler tout dépôt venant de ces huit adresses, et tout retrait qui s’y dirige.

Ce que contiennent les huit portefeuilles aujourd’hui : environ 2 300 $

Nous avons interrogé chaque adresse via l’API de Blockscout pour Ethereum et celle de TronGrid pour Tron le 28 octobre entre 17 h 40 et 17 h 50 UTC, en ne comptant que les vrais contrats USDT, USDC et DAI et en écartant les faux jetons imitateurs que des spammeurs envoient aux portefeuilles très actifs. L’adresse Ethereum partagée se consulte sur Blockscout.

Au cours de l’ETH d’environ 2 332 $ à 17 h 32 UTC, l’ether restant sur les trois adresses Ethereum valait quelque 42 $. Presque toute la valeur encore présente sur la liste correspond aux 2 120,81 USDT d’une des adresses Tron d’Obertas. Le reste n’est que de la poussière.

La plupart des adresses sont silencieuses depuis plus d’un an. L’adresse Ethereum que l’OFAC attribue à Boykov a déplacé des stablecoins pour la dernière fois le 25 août 2025. Celle de Kim Ki Hyok n’a servi que pour un aller-retour : 50 000 DAI sont arrivés le 9 septembre 2024 et repartis le lendemain. Le dernier mouvement de stablecoins sur l’une des huit adresses date du 1er décembre 2025, sur l’adresse TQCB d’Obertas.

Une exception se remarque. L’adresse partagée par Boykov et Obertas a envoyé 0,0312 ETH, soit environ 73 $ au cours de 17 h 32 UTC, vers une adresse sans étiquette le 13 octobre 2026 à 14 h 56 UTC, quinze jours avant l’inscription. La somme est faible, et la chaîne ne dit pas qui a signé.

Des dizaines de millions de stablecoins ont transité avant l’inscription

Les soldes disent peu de chose sur l’usage de ces portefeuilles. En additionnant chaque transfert entrant d’USDT, d’USDC et de DAI supérieur ou égal à un jeton, on obtient environ 32,4 millions de dollars sur les trois adresses Ethereum et environ 53,8 millions de dollars sur les cinq adresses Tron, tous en USDT. Une partie de cet argent est passée d’une adresse listée à une autre et se trouve comptée deux fois. Sur Ethereum, environ 9,9 millions de dollars sont allés de l’adresse principale de Boykov à l’adresse qu’il partage avec Obertas, ce qui laisse environ 22,5 millions de dollars venus de l’extérieur du groupe. Sur Tron, environ 5,4 millions de dollars ont circulé entre adresses listées, si bien que les entrées extérieures s’élèvent à environ 48,4 millions de dollars. Au total, quelque 71 millions de dollars sont entrés dans les huit portefeuilles depuis des adresses qui ne figurent pas sur la liste.

Le schéma ressemble à de l’acheminement, pas à de l’épargne. Sur l’adresse Ethereum partagée, 88 800 USDT sont arrivés à 20 h 36 UTC le 6 septembre 2025 et repartis à 21 h 09. Deux jours plus tard, 68 000 USDT sont entrés à 6 h 15 et sortis à 6 h 35. En juillet 2025, cette même adresse a reçu des dépôts plus de dix jours, la plupart entre 67 000 et 95 000 USDT ou DAI, et presque tous ont été retransmis en 25 minutes environ. Chacun des huit portefeuilles se termine par une sortie presque égale à son entrée.

Ces totaux demandent de la prudence. Ce sont des flux bruts : quand de l’argent part vers une contrepartie puis revient, il est compté deux fois. C’est ce qui s’est produit ici. L’adresse TCV4 d’Obertas a envoyé la totalité de ses 9,16 millions de dollars vers une seule adresse Tron, qui a ensuite renvoyé environ 7,2 millions de dollars vers les portefeuilles listés. Autre décalage : l’activité commence fin 2022, avant les périodes que cite le Trésor pour Obertas (depuis janvier 2025) et pour Boykov (depuis 2024). Et rien sur la chaîne ne dit quelle part revient aux informaticiens nord-coréens et quelle part à d’autres clients des mêmes intermédiaires.

Les chiffres on-chain ne contredisent donc pas ceux du Trésor. Ils mesurent autre chose : combien d’argent a transité par des adresses que le gouvernement américain rattache désormais à ces hommes, pas combien ils ont converti pour Pyongyang. Nous n’avons pas identifié les plateformes d’échange ou les bureaux OTC situés de l’autre côté des transferts, et aucune des principales contreparties ne portait d’étiquette publique sur les explorateurs que nous avons utilisés.

Ce que l’inscription change pour les plateformes et les émetteurs de stablecoins

Les portefeuilles étant presque vides, l’inscription joue surtout le rôle de fil de détente. Si l’une des huit adresses reçoit de nouveau des fonds, ou si une plateforme retrouve d’anciens dépôts en provenance de celles-ci, les équipes de conformité disposent désormais d’un motif légal pour bloquer et déclarer. Pour les nombreuses plateformes réglementées aux États-Unis qui filtrent chaque transfert on-chain avec la liste SDN, ce contrôle est automatique.

Les émetteurs de stablecoins peuvent aller plus loin, car l’USDT et l’USDC disposent d’une fonction de gel. Tether affirme geler souvent des portefeuilles avant qu’ils ne soient sanctionnés, une affirmation que des collaborateurs du Sénat américain ont mise en doute ce mois-ci, comme nous l’avons raconté dans notre article sur les gels de Tether et les portefeuilles liés au Hezbollah. La façon dont l’entreprise traite ces demandes est détaillée dans notre page sur Tether, ses réserves et ses gels. Le communiqué du Trésor ne mentionne ni Tether ni aucun stablecoin, et nous n’avons trouvé aucune déclaration publique sur un gel lié à l’action de mercredi.

Pour les lecteurs en Europe, la liste de l’OFAC relève du droit américain. Les plateformes agréées dans l’UE filtrent selon les listes de sanctions de l’UE, en vertu de leurs propres règles, mais celles qui servent des clients américains ou manipulent des stablecoins en dollars filtrent en général aussi la liste de l’OFAC. Le Trésor a indiqué que l’Australie et l’Union européenne avaient elles aussi désigné ce mois-ci des personnes et des entités liées à la Corée du Nord ; il n’a donné aucun détail, et nous n’avons trouvé aucune mesure française ou italienne visant ce réseau.

Pour toute personne qui envoie des cryptomonnaies vers une plateforme, le filtrage se fait au dépôt, à côté des vérifications d’identité décrites dans notre guide du fonctionnement des plateformes d’échange centralisées. Un dépôt remontant à une adresse listée peut être bloqué le temps que la plateforme le vérifie.

Les actions américaines antérieures contre les mêmes réseaux

Les désignations de mercredi prolongent une série d’actions américaines. L’OFAC a sanctionné Chinyong en mai 2023 et ajouté Alis en mars 2024 comme société sous le contrôle de Chinyong. Le 12 mars 2026, elle a désigné Amnokgang et un autre réseau de travailleurs informatiques. Le 27 août 2025, l’OFAC a sanctionné un autre Russe, Vitaliy Andreyev, pour avoir facilité des paiements vers Chinyong ; il avait converti plus de 600 000 $ de cryptomonnaies en dollars depuis décembre 2024 au moins, d’après un résumé de cette action par TRM Labs. Une adresse crypto avait été listée avec lui, et une société écran basée en Chine, Shenyang Geumpungri, avait été désignée le même jour.

Le département de la Justice a agi sur un autre volet du dispositif il y a deux semaines. Le 13 octobre 2026, il a annoncé l’arrestation de deux ressortissants américains, Michael James Bostelle, de Pennsylvanie, et Juan Cecilio Pena Carrillo, du Texas, dans le cadre d’une mise en accusation en quatre chefs pour fraude électronique, blanchiment d’argent et usurpation d’identité, déposée dans le district nord de l’Ohio. L’acte d’accusation vise 12 prévenus, dont 10 personnes basées en Chine, et deux autres sont sous scellés. Selon l’accusation, le dispositif a touché plus de 70 employeurs américains et rapporté environ 3 millions de dollars de revenus aux travailleurs informatiques entre 2019 et juillet 2025 environ, au moyen de « fermes à ordinateurs portables » : des domiciles américains hébergeant des ordinateurs d’entreprise que des travailleurs nord-coréens contrôlaient à distance. Du 21 au 25 septembre, le FBI a perquisitionné plus de 40 domiciles au Texas connus ou soupçonnés d’abriter de telles fermes et saisi environ 187 ordinateurs portables et autres appareils, selon le département. Tous les prévenus sont présumés innocents tant que leur culpabilité n’est pas établie. Le communiqué du Trésor ne relie pas les désignations de mercredi à cette affaire.

Les revenus crypto de la Corée du Nord ont une seconde source, bien plus importante : le vol. Le FBI a attribué à la Corée du Nord le vol d’environ 1,5 milliard de dollars d’actifs virtuels à la plateforme Bybit vers le 21 février 2025. Les piratages sont soudains et colossaux ; les salaires des informaticiens sont réguliers et modestes par personne. Le Trésor n’a relié l’action de mercredi ni à Bybit ni à aucun piratage, et le communiqué ne nomme pas le Lazarus Group. Les totaux de piratages du dernier trimestre figurent dans notre bilan des piratages crypto du troisième trimestre 2026.

Ce que l’on ignore encore

Nous ne savons pas quelles plateformes d’échange ou quels courtiers ont reçu les dizaines de millions de dollars sortis de ces portefeuilles, ni si l’un d’eux a gelé des comptes depuis. Nous ne savons pas si les 2 120,81 USDT encore présents sur l’adresse Tron d’Obertas peuvent être déplacés. Et comme les personnes désignées vivent en Russie ou en Corée du Nord, les mesures américaines les coupent surtout des entreprises américaines et des plateformes qui appliquent les règles des États-Unis.

Les personnes désignées peuvent demander à l’OFAC leur retrait de la liste par la procédure de radiation. L’affaire du département de la Justice dans l’Ohio se poursuit séparément. Les prochains signaux à surveiller sont sur la chaîne : tout nouveau transfert vers l’une des huit adresses serait désormais visible de toutes les équipes de conformité qui filtrent la liste SDN.