Payer un prestataire en crypto ? Vérifiez le portefeuille

Onze gouvernements ont publié le même avertissement le même jour. Le 31 juillet 2026, les États-Unis, le Japon, la Corée du Sud, le Royaume-Uni, l'Australie, le Canada, la France, l'Allemagne, l'Italie, les Pays-Bas et la Nouvelle-Zélande ont diffusé une alerte conjointe sur les informaticiens nord-coréens — des gens qui postulent à des emplois à distance tout à fait ordinaires sous une identité empruntée, font réellement le travail, et renvoient le salaire à Pyongyang.

Ce qui a fait les gros titres, ce sont les entretiens. L'alerte indique que ces candidats utilisent désormais de la vidéo deepfake générée par IA en temps réel pour tenir un appel en direct sous les traits de quelqu'un d'autre. C'est un problème de recrutement, et les RH sont déjà en train de le ruminer.

Ce que presque personne n'a traité, c'est ce qui se passe après l'embauche. Ils demandent à être payés en crypto.

Pourquoi c'est le paiement qui pose le problème juridique

Recruter quelqu'un sous un faux nom, c'est gênant. Payer un portefeuille inscrit sur une liste de sanctions, c'est une infraction.

Le Trésor américain l'a rendu très concret le 12 mars 2026, quand l'OFAC a désigné six personnes et deux entités pour la fraude aux informaticiens nord-coréens. La désignation s'est accompagnée de 21 adresses crypto ajoutées à la liste SDN, réparties entre Ethereum, Tron et Bitcoin. Amnokgang Technology Development Company, qui gère des délégations d'informaticiens à l'étranger, en représentait sept : trois Ethereum, quatre Tron. Yun Song Guk a apporté deux adresses Ethereum. Hoang Minh Quang, une adresse Bitcoin. Une désignation déjà existante visant Sim Hyon Sop en a récupéré onze de plus.

Et puis il y a Nguyen Quang Viet, un dirigeant d'entreprise vietnamien qui, selon le Trésor, a converti environ 2,5 millions de dollars en crypto pour ces travailleurs entre mi-2023 et mi-2025. C'était la tuyauterie. Les salaires entraient comme des paiements ordinaires, la crypto ressortait de l'autre côté.

Le Trésor estime que le dispositif a rapporté près de 800 millions de dollars pour la seule année 2024.

La responsabilité sans faute, c'est exactement ce que ça veut dire

Voilà la partie qui prend les petites structures de court. Le volet civil de l'OFAC fonctionne sans faute. Personne n'a à démontrer que vous saviez, que vous avez été négligent, ni que vous aviez la moindre raison de vous méfier. Il suffit de démontrer que la transaction a eu lieu.

En 2026, le plafond d'une infraction civile au titre de l'IEEPA est de 377 700 dollars, ou le double de la valeur de la transaction, le montant le plus élevé étant retenu. Réglez douze fois une facture mensuelle de 6 000 dollars à une adresse listée et vous avez douze infractions, pas une.

Vous ne serez pas prévenu avant. Il n'existe aucune notification quand un portefeuille que vous payez depuis le printemps se retrouve désigné à l'automne. La liste SDN bouge, l'adresse enregistrée dans votre logiciel comptable non, et rien dans ce logiciel ne surveille quoi que ce soit.

À quoi ressemblent vraiment les signaux d'alerte

Les recommandations publiques sur le sujet sont constantes depuis quelques années, et les indices côté paiement n'ont rien de spectaculaire :

• Le prestataire évite le virement classique et pousse vers la crypto ou un service de transfert d'argent.
• Il demande que le paiement aille sur un compte au nom de quelqu'un d'autre, avec un « ami » ou une « agence » qui prend une commission pour l'usage.
• L'adresse de versement change souvent, ou on vous demande de répartir une facture sur deux adresses.
• L'USDT sur Tron revient en permanence. C'est peu coûteux, rapide et liquide.

Rien de tout cela ne prouve quoi que ce soit isolément. Beaucoup de freelances honnêtes dans des pays au système bancaire cassé préfèrent les stablecoins, et cuisiner quelqu'un là-dessus n'est pas un programme de conformité. Mais une embauche à distance que vous n'avez jamais rencontrée physiquement, un onboarding bâclé et une adresse de versement qui n'arrête pas de bouger, cette combinaison-là mérite dix minutes de votre attention.

Dix minutes avant le premier versement

Contrôler une adresse de versement est le garde-fou le moins cher dont vous disposez, et il intervient avant que l'argent parte. Vous collez l'adresse et vous savez si elle figure sur une liste de sanctions, si elle a reçu des fonds depuis un mixeur, et quel genre de contreparties elle a déjà croisées. Passer l'adresse dans une vérification prend quelques secondes et vous laisse quelque chose à archiver.

Gardez le résultat. Ce n'est pas un détail. Si un jour une banque ou un régulateur demande comment vous avez vérifié un bénéficiaire, « nous avons analysé l'adresse le jour de son intégration, voici le rapport » est une conversation très différente de « nous n'y avons jamais pensé ».

Refaites-le régulièrement. Une fois par mois suffit pour un prestataire récurrent. La liste bouge.

Ce qu'un résultat propre ne veut pas dire

Soyez honnête sur les limites, parce que la plupart des acteurs du secteur ne le sont pas.

Un portefeuille tout neuf sans historique ressort propre. Forcément : il n'y a rien à noter. Quelqu'un qui génère une adresse fraîche pour chaque facture passera à chaque fois, et un très grand nombre de gens parfaitement légitimes aussi. L'analyse d'adresse repère les adresses connues comme mauvaises et l'exposition traçable à celles-ci. Elle ne dit rien sur qui détient les clés.

Elle vient donc s'ajouter aux choses ennuyeuses : vérifier les pièces d'identité face à un être humain, confirmer que la personne en visio est bien celle du passeport, refuser de rediriger les paiements vers des tiers, et conserver la trace de tout ça. L'alerte du 31 juillet existe précisément parce que la couche identité est en train d'être battue par les deepfakes. La couche argent est le seul endroit où la preuve est publique et permanente.

Le chiffre qui devrait vous gêner

Chainalysis chiffre les vols de crypto liés à la Corée du Nord à 2,02 milliards de dollars en 2025, soit près de 60 % de tout ce qui a été volé en crypto cette année-là, et environ 6,75 milliards en cumulé. Le dispositif des informaticiens en est la moitié silencieuse. Pas d'exploit, pas de piratage de bridge, pas de gros titre. Juste des factures.

Le ministère américain de la Justice tire sur le fil : une action civile en confiscation portant sur plus de 7,7 millions de dollars en crypto, NFT et autres actifs numériques rattachés au réseau de blanchiment qui se trouve derrière ces travailleurs. L'alerte du Département d'État est directe sur ce que cela implique pour les employeurs : contracter avec ces travailleurs et les payer pour des services rendus peut enfreindre le droit national de plusieurs pays, dont le Japon, les États-Unis et la Corée du Sud.

Si vous employez des ingénieurs à distance et que vous en payez certains en crypto, vous êtes quelque part dans la chaîne que ces affaires décrivent. Pas comme cible. Comme payeur.

Vous ne pouvez plus vérifier un visage de façon fiable en visio. Une adresse, si. Faites-le avant que le premier paiement parte, sauvegardez ce qui revient, et regardez à nouveau le mois suivant. Ça coûte moins qu'une heure de travail du prestataire.