"J'ai passé un entretien sur LinkedIn pour un job crypto et j'ai fait perdre 11,8M$ à mon entreprise sans que je le sache"
À Singapour, un développeur crypto a accepté un entretien LinkedIn en apparence classique avant que son entreprise ne perde 11,8 millions de dollars. Derrière ce test technique piégé se cache une attaque sophistiquée qui transforme un simple clic en catastrophe financière.
Un développeur spécialisé dans les cryptomonnaies répond à un message reçu sur LinkedIn, un recruteur insiste, propose plusieurs entretiens vidéo sur Google Meet et termine par un test de code présenté comme décisif pour l’embauche. Tout ressemble à un processus de recrutement classique, cadré, rassurant pour un poste technique très recherché.
À Singapour, ce scénario a pourtant servi de porte d’entrée à des pirates qui visaient non pas le portefeuille personnel du candidat, mais les systèmes internes de son entreprise. L’opération s’est soldée par le vol de 11,8 millions de dollars en cryptos, soit un peu plus de 10 millions d’euros et environ 15,1 millions de dollars singapouriens, sans exploiter la moindre faille dans une blockchain : tout est parti d’un simple jeton de session.
De LinkedIn à Google Meet : un faux entretien crypto qui vise l’entreprise
D’après le récit rapporté à Singapour, tout commence par un message sur LinkedIn envoyé par un faux recruteur se présentant comme représentant d’une société liée aux cryptos. Les échanges se poursuivent ensuite par courriel, depuis un nom de domaine qui imite celui d’une entreprise légitime, juste assez proche pour inspirer confiance à un œil pressé. La victime enchaîne plusieurs entretiens sur Google Meet, mais son interlocuteur garde systématiquement la caméra coupée, ce qui laisse peu d’indices concrets sur son identité réelle.
Vient alors le moment clé : l’envoi d’un lien vers un faux site où le candidat doit réaliser un test de programmation. Le développeur utilise son ordinateur professionel et télécharge, sans le savoir, un logiciel malveillant. Ce malware ne s’attaque ni aux extensions de wallets ni à la phrase de récupération du candidat, il se contente de dérober un jeton de session Bitbucket. Ce fichier permet aux attaquants de reprendre une session déjà authentifiée sans déclencher une nouvelle demande d’authentification multifacteur, ce qui leur ouvre ensuite l’accès au dépôt de code de l’entreprise. Le mode opératoire décrit correspond à la campagne baptisée « Contagious Interview », associée à des outils comme BeaverTail, InvisibleFerret et à des paquets npm malveillants.
Du test technique piégé au vol de 11,8 millions de dollars en cryptos
Une fois dans Bitbucket, les pirates modifient les instructions de déploiement automatisé des logiciels de la société. Cette altération de la chaîne de déploiement donne un accès à distance aux serveurs internes, où de nouveaux identifiants sont récupérés. L’attaque progresse ensuite jusqu’aux systèmes financiers : les escrocs parviennent à contourner les plafonds de transaction et les procédures d’approbation, avant d’ordonner des transferts en cryptomonnaies pour un préjudice total de 11,8 millions de dollars américains. Des opérations de ce type sont attribuées à des groupes liés à la Corée du Nord, crédités de plus de 2 milliards de dollars de vols crypto sur l’année 2025, même si, dans ce dossier précis, rien ne permet d’incriminer directement Pyongyang.
| Phase | Canal ou action | Indice visible | Cible réelle | Geste de protection |
|---|---|---|---|---|
| 1. Premier contact | Message LinkedIn d’un faux recruteur | Domaine email très proche d’une vraie société | Confiance du candidat | Vérifier le recruteur via canaux officiels |
| 2. Entretiens en visio | Appels Google Meet répétés | Caméra coupée en permanence | Légitimité apparente du processus | Exiger caméra, recouper identité |
| 3. Test de code | Lien vers faux site technique | Téléchargement logiciel imposé | Ordinateur du développeur | Utiliser machine ou VM isolée |
| 4. Vol de session | Malware capte jeton Bitbucket | Aucun symptôme visible | Compte Bitbucket entreprise | Révoquer sessions, surveiller accès |
| 5. Vol de cryptos | Modification déploiement, accès finance | Transactions crypto anormales | Systèmes financiers internes | Segmentation, plafonds, alertes renforcées |
Face à ce type d’attaque, la police de Singapour et l’agence nationale de cybersécurité recommandent de vérifier chaque recruteur via les canaux officiels de l’entreprise, de refuser tout téléchargement provenant d’un site inconnu et de ne jamais exécuter un test technique depuis une machine connectée aux systèmes internes. Les sociétés sont invitées à protéger leurs clés API, à renforcer l’authentification multifacteur, à surveiller leurs dépôts de code et à cloisonner les procédures de déploiement ; en cas de doute, isoler immédiatement l’appareil compromis, révoquer toutes les sessions actives, changer les identifiants et examiner les journaux d’accès devient une urgence. En France, l’Autorité des marchés financiers rappelle pour sa part qu’elle tient une liste noire de sites non autorisés à proposer des crypto-actifs, enrichie de 23 nouveaux noms depuis le début de l’année 2026, ainsi qu’une liste blanche de prestataires de services sur actifs numériques (PSAN) et de prestataires de services sur crypto-actifs, des outils précieux pour filtrer les acteurs douteux avant même de répondre à une offre liée aux cryptos.
En bref
- À Singapour, un développeur spécialisé dans les cryptomonnaies est ciblé via LinkedIn par un faux recruteur qui organise plusieurs entretiens vidéo sur Google Meet.
- Un test technique piégé installe un malware qui vole un jeton de session Bitbucket, permet de détourner la chaîne de déploiement de l’entreprise et conduit au vol de 11,8 millions de dollars en cryptos.
- L’affaire illustre les limites de la MFA et impose aux candidats comme aux entreprises de revoir leurs pratiques de tests techniques, de sécurisation CI/CD et de contrôle des flux financiers.
