Sanctions OFAC contre un facilitateur du réseau de travailleurs IT nord-coréens : ce que les cabinets comptables et les directeurs financiers doivent faire maintenant

Le 8 juillet 2025, l'Office of Foreign Assets Control (OFAC) du département du Trésor américain a désigné Song Kum Hyok, un cyber-acteur basé en Corée du Nord affilié à l'unité de piratage Andariel, pour son rôle central dans un système illicite de travailleurs IT conçu pour générer des revenus en devises fortes pour le régime de Kim. La même action a désigné un individu supplémentaire et quatre entités liées à un réseau basé en Russie qui a placé des travailleurs nord-coréens directement dans des entreprises technologiques et cryptographiques du monde entier. Pour les cabinets comptables, les auditeurs et les directeurs financiers qui gèrent la paie en actifs numériques ou les relations avec les sous-traitants, cette action n'est pas seulement une nouvelle géopolitique : elle comporte des obligations de conformité directes en vertu de la loi américaine sur les sanctions.

Ce que l'OFAC a réellement désigné et pourquoi c'est important

La désignation de Song Kum Hyok

Song Kum Hyok est décrit par l'OFAC comme un facilitateur opérant sous le Bureau général de reconnaissance (RGB), l'organisme de renseignement nord-coréen précédemment lié au groupe Lazarus, à Bluenoroff et au Bureau de reconnaissance technique. Son rôle spécifique était de recruter des ressortissants de la RPDC, de les équiper d'identités falsifiées construites à partir de données personnelles réelles de citoyens américains, et de les placer dans des postes à distance dans des entreprises qui n'avaient aucune idée qu'elles embauchaient des opérateurs nord-coréens. Les travailleurs opéraient physiquement depuis la Chine et la Russie tout en se présentant comme des indépendants ou des employés basés aux États-Unis.

Le secrétaire adjoint au Trésor, Michael Faulkender, a déclaré que l'action souligne l'importance de la vigilance face aux efforts de la RPDC pour financer clandestinement ses programmes d'armes de destruction massive et de missiles balistiques par le biais du vol d'actifs numériques, de l'usurpation d'identité d'Américains et d'opérations cybernétiques malveillantes. Ce cadrage est significatif : le Trésor traite la fraude aux sous-traitants activée par les crypto-monnaies comme un mécanisme d'évasion des sanctions au même niveau que le piratage direct.

Le réseau plus large : des entités basées en Russie

Les cinq désignations supplémentaires couvrent des entités basées en Russie qui ont conclu des accords à long terme avec des sociétés de commerce nord-coréennes, servant effectivement de couche intermédiaire d'apparence légitime entre les bassins de travailleurs de la RPDC et les employeurs occidentaux. Cette structure a permis au système de survivre aux vérifications de diligence raisonnable de routine : la partie contractante sur papier était une entité russe, pas un ressortissant de la RPDC. Les entreprises qui s'appuient uniquement sur le filtrage des noms au niveau de l'entité sans sonder la propriété effective et la couche d'identité des travailleurs sont précisément le genre de cible que cette structure a été conçue pour exploiter.

Comment fonctionnaient le paiement et le blanchiment

Salaires en stablecoins et fragmentation des portefeuilles

Les travailleurs du système étaient généralement payés en USDC ou en USDT, les deux stablecoins dominants utilisés pour la paie transfrontalière. Une fois reçus, les fonds passaient par une séquence de blanchiment en couches : réception initiale sur des portefeuilles auto-hébergés ou hébergés par des échanges, fragmentation sur plusieurs adresses pour obscurcir la trace des transactions, et consolidation éventuelle avant le transfert aux opérateurs supérieurs de la RPDC. L'OFAC et le département de la Justice ont précédemment sanctionné deux de ces destinataires supérieurs : Kim Sang Man et Sim Hyon Sop.

Les enquêteurs ont découvert que des courtiers OTC, y compris un sanctionné par l'OFAC fin 2024, étaient utilisés pour convertir les avoirs cryptographiques agrégés en monnaie fiduciaire. L'infrastructure russe et émiratie, les adresses IP et les documents forgés constituaient l'épine dorsale opérationnelle de la couche de dissimulation du système.

L'action de confiscation du DOJ de juin 2025

Une action parallèle du département de la Justice, déposée le 5 juin 2025 dans le district de Columbia, demandait la confiscation de plus de 7,7 millions de dollars en crypto-monnaies, NFT et autres actifs numériques liés au même réseau de blanchiment. Les enquêteurs du DOJ ont identifié des travailleurs utilisant des personnages fabriqués et ont retracé les produits acheminés via des échanges centralisés et des portefeuilles auto-hébergés avant d'atteindre des adresses contrôlées par la RPDC. Les actifs saisis comprenaient des USDC, de l'ETH et des NFT de grande valeur, illustrant que le système ne se limitait pas à des paiements en jetons simples : il s'étendait à l'écosystème plus large des actifs numériques.

Échelle : la menace cryptographique de la Corée du Nord au premier semestre 2025

1,6 milliard de dollars attribués à des acteurs de la RPDC

Le système des travailleurs IT s'inscrit dans un tableau beaucoup plus large. Au premier semestre 2025, les acteurs malveillants ont volé plus de 2,1 milliards de dollars lors de 75 piratages et exploits suivis à travers l'écosystème crypto. Les acteurs liés à la Corée du Nord se voient attribuer environ 1,6 milliard de dollars de ce total, représentant près de 70 % de tous les vols de crypto au cours de la période. La majeure partie de ce chiffre est attribuable au piratage de Bybit d'un montant de 1,5 milliard de dollars, mais le canal des travailleurs IT représente un risque structurellement différent : il génère des revenus par la tromperie plutôt que par l'exploitation technique, ce qui rend plus difficile pour les contrôles de sécurité traditionnels côté échange de l'attraper.

Le changement est délibéré. Alors que les capacités d'analyse de la blockchain et des forces de l'ordre s'améliorent pour détecter et geler les produits du piratage, la RPDC s'est diversifiée dans des sources de revenus qui se fondent dans l'activité commerciale ordinaire : emploi à distance, contrats de développement indépendant et travail de projet Web3. Le fait que les paiements soient en USDC ou en USDT, les mêmes instruments utilisés par des milliers d'équipes à distance légitimes, n'est pas un accident.

Implications comptables et AML pour les entreprises et les directeurs financiers

Exposition aux sanctions sur la paie en stablecoins

En vertu de l'International Emergency Economic Powers Act et des règlements applicables de l'OFAC, les personnes et entités américaines sont interdites de transactions avec des individus ou entités désignés, et cette interdiction s'étend aux transactions indirectes. Une entreprise qui a payé un travailleur lié à la RPDC en USDC sans connaître la véritable identité du travailleur n'évite pas automatiquement la responsabilité : le cadre de responsabilité stricte de l'OFAC signifie que la bonne foi seule n'est pas une défense complète, bien qu'elle soit un facteur pris en compte dans les déterminations de pénalité.

Pour toute entreprise effectuant des paiements de paie ou de sous-traitance en stablecoins, l'implication pratique est que le filtrage des adresses de portefeuille par rapport à la liste des ressortissants spécialement désignés (SDN) de l'OFAC doit avoir lieu avant chaque paiement, pas seulement lors de l'intégration. Des adresses liées à des parties désignées peuvent apparaître dans la chaîne de paiement même si la contrepartie directe semble propre, donc les entreprises qui utilisent un seul écran d'intégration puis automatisent les transferts récurrents portent un risque de sanctions résiduel.

Fossés KYC et de diligence raisonnable envers les fournisseurs

Le système a exploité un fossé spécifique : le processus de vérification d'identité a été appliqué à des personnages fabriqués plutôt qu'à de vraies personnes. Le KYC standard pour les sous-traitants à distance dans l'espace crypto repose souvent sur la soumission de documents et des vérifications de vivacité, mais le réseau de la RPDC a utilisé des données personnelles américaines volées qui ont passé ces vérifications. Pour les cabinets comptables conseillant des clients natifs de la crypto ou pour les directeurs financiers gérant des équipes Web3, la leçon est que l'authenticité des documents n'est pas la même chose que l'authenticité de l'identité.

Les entreprises devraient envisager une vérification en couches : recouper les documents d'identité soumis avec les dossiers d'identification de l'employeur, utiliser des protocoles d'appel vidéo avec des questions aléatoires, et exiger des numéros d'identification fiscale qui peuvent être validés auprès des dossiers de l'IRS pour les sous-traitants se présentant comme américains. Lorsque les sous-traitants sont payés par l'intermédiaire d'entités (comme dans le cas du réseau basé en Russie), la diligence raisonnable devrait s'étendre à la propriété effective de cet intermédiaire, et ne pas s'arrêter à son adresse enregistrée.

Logiciels comptables crypto et surveillance des transactions

Un logiciel comptable crypto robuste devrait faire plus que simplement enregistrer des écritures de journal pour la paie en stablecoins. La piste d'audit intégrée dans le logiciel, y compris les adresses de portefeuille, les hachages de transaction et les métadonnées de contrepartie, devient le principal enregistrement probant si un régulateur ou une agence d'application de la loi remet plus tard en question si un paiement a atteint une partie sanctionnée. Les entreprises qui utilisent un logiciel comptable pour actifs numériques sans exporter les données au niveau des transactions vers une couche de surveillance AML créent un angle mort que ce type de système est spécifiquement conçu pour exploiter.

Connecter les sorties du logiciel de comptabilité crypto aux API de filtrage des sanctions et conserver ces enregistrements de filtrage devient rapidement une attente de base plutôt qu'une meilleure pratique. La capacité du DOJ à retracer les produits des travailleurs IT à travers les échanges centralisés et les portefeuilles auto-hébergés dans cette affaire a été en partie possible grâce aux données en chaîne ; les entreprises qui conservent des enregistrements propres et horodatés de leurs propres flux de paie en stablecoins sont dans une bien meilleure position pour démontrer leur conformité. Pour un contexte supplémentaire sur la façon dont les agences d'application de la loi abordent la criminalité financière liée à la crypto de manière plus large, l'analyse des tendances de la criminalité en col blanc 2026 de BDO Worldwatch couvre les modèles d'enquête plus larges que les cabinets comptables doivent comprendre.

Contrôles internes : ce qu'il faut examiner maintenant

La désignation est un déclencheur immédiat pour plusieurs examens des contrôles internes. Premièrement, toute entreprise qui a embauché des sous-traitants à distance dans des rôles Web3, d'infrastructure blockchain, de développement logiciel ou de finance crypto au cours des trois dernières années devrait recouper les dossiers d'identité des sous-traitants avec la liste SDN mise à jour de l'OFAC, y compris les noms nouvellement ajoutés de cette action. Deuxièmement, les adresses de portefeuille utilisées pour recevoir des confirmations de paiement de sous-traitants ou pour envoyer la paie en stablecoins devraient être soumises à une vérification de filtrage des adresses OFAC à jour, car la liste SDN inclut désormais des adresses crypto spécifiques associées au réseau. Troisièmement, tout paiement acheminé par des entités intermédiaires russes ou émiraties justifie un nouvel examen de la propriété effective à la lumière de la structure de réseau basée en Russie divulguée par l'OFAC.

Les équipes comptables devraient documenter chacune de ces étapes avec des enregistrements datés. Si une enquête ultérieure survient, la capacité à montrer qu'un filtrage proactif a été effectué rapidement après une désignation est une preuve matérielle d'une culture de conformité et sera prise en compte dans toute analyse de pénalité de l'OFAC. Le schéma d'application croissante est clair : comme couvert dans notre analyse des sanctions du Trésor américain contre les sociétés iraniennes acceptant le Bitcoin pour le passage d'Ormuz, l'OFAC traite systématiquement les paiements en crypto comme relevant de la pleine portée de son mandat d'application.

Ce qui vient ensuite

La déclaration du Trésor présente cette action comme faisant partie d'une campagne continue plutôt que d'une désignation ponctuelle. La référence au développement de réseaux de facilitateurs signale que l'OFAC a l'intention de remonter la chaîne des travailleurs individuels vers la couche d'infrastructure : les courtiers, les sociétés intermédiaires et les opérateurs de plateformes qui rendent possibles les flux de paiement. Les entreprises du secteur des paiements en stablecoins, de la paie crypto et des RH en chaîne devraient s'attendre à d'autres désignations et éventuellement à de nouvelles directives sur les normes de diligence raisonnable pour les paiements aux sous-traitants en actifs numériques.

L'intersection des obligations AML et de la comptabilité crypto se resserre. Les cabinets comptables et les directeurs financiers qui traitent les transactions en actifs numériques comme hors du champ de leurs contrôles existants contre la criminalité financière lisent mal la direction réglementaire. L'OFAC, le DOJ et le FBI ont démontré dans cette affaire qu'ils peuvent et retraceront les flux de stablecoins des portefeuilles des employeurs aux adresses contrôlées par la RPDC, et que les entreprises intermédiaires portent une responsabilité potentielle indépendamment de l'intention.

Source : TRM Labs

Questions fréquemment posées

Qui l'OFAC a-t-il désigné le 8 juillet 2025 ?

L'OFAC a désigné Song Kum Hyok, un cyber-acteur basé en RPDC affilié à l'unité Andariel du Bureau général de reconnaissance, ainsi qu'un individu supplémentaire et quatre entités basées en Russie liées à un réseau nord-coréen de travailleurs IT. Ces désignations ajoutent ces parties à la liste des ressortissants spécialement désignés de l'OFAC, rendant illégal pour les personnes américaines de transiger avec elles.

Comment les stablecoins ont-ils été utilisés dans ce système ?

Les travailleurs à distance placés via le système étaient payés en USDC et en USDT par des employeurs américains sans méfiance. Ces fonds étaient ensuite déplacés via des portefeuilles auto-hébergés et des échanges centralisés, fragmentés pour obscurcir leur origine, et finalement consolidés pour être transférés à des opérateurs supérieurs de la RPDC. Des courtiers OTC, y compris un déjà sanctionné par l'OFAC, ont été utilisés pour convertir les produits en monnaie fiduciaire.

Une entreprise encourt-elle une responsabilité de sanctions si elle a payé sans le savoir un travailleur lié à la RPDC ?

Le régime de sanctions de l'OFAC applique une norme de responsabilité stricte : une violation peut survenir même sans connaissance de l'implication d'une partie désignée. Cependant, l'OFAC prend en compte des facteurs tels que la bonne foi, la solidité du programme de conformité d'une entreprise et la rapidité avec laquelle une entreprise se divulgue et corrige lors du calcul des pénalités. Disposer de dossiers de filtrage documentés et à jour est le facteur d'atténuation le plus important disponible.

Quelles mesures spécifiques de diligence raisonnable envers les sous-traitants les entreprises devraient-elles prendre maintenant ?

Les entreprises devraient recouper tous les dossiers d'identité des sous-traitants actuels et récents avec la liste SDN mise à jour de l'OFAC, filtrer les adresses de portefeuille utilisées pour la paie en stablecoins par rapport aux listes d'adresses cryptographiques publiées par l'OFAC, examiner la propriété effective de toute entité intermédiaire russe ou émiratie utilisée dans les accords de sous-traitance et conserver des enregistrements datés de chaque étape. Pour les nouvelles embauches, une vérification d'identité en couches qui va au-delà de la soumission de documents, comme la validation du numéro d'identification fiscale de l'IRS pour les sous-traitants se présentant comme américains, est conseillée.

Cette action d'application est-elle limitée aux entreprises américaines ?

La juridiction principale appartient aux États-Unis en vertu de l'autorité de l'OFAC et du DOJ, mais le système des travailleurs IT de la RPDC opérait à l'échelle mondiale. Les entreprises non américaines qui ont une exposition au dollar américain ou aux stablecoins, qui ont des relations bancaires avec des institutions de correspondance américaines ou qui emploient des personnes américaines dans des rôles de conformité peuvent encourir un risque secondaire. De plus, de nombreuses autres juridictions maintiennent des régimes de sanctions autonomes parallèles contre la Corée du Nord, donc les entreprises non américaines devraient vérifier leurs propres équivalents nationaux de la liste SDN en plus de la liste de l'OFAC.