3 milliards de dollars volés par les hackers nord-coréens : le casse du siècle

Imaginez que quelqu'un entre dans votre coffre-fort numérique, prenne vos actifs et disparaisse sans laisser de traces. C'est exactement ce qui est arrivé à l'industrie des cryptomonnaies ces dernières années. Mais ce n'était pas un cambrioleur solitaire avec un ordinateur portable dans un café. C'était une armée d'État. Selon les évaluations du Conseil de sécurité des Nations Unies rapportées en décembre 2024, la Corée du Nord a volé environ 3 milliards de dollars en actifs numériques entre 2017 et 2023. Et ce chiffre ne cesse de grimper.

Pourquoi devriez-vous vous soucier de cela ? Parce que chaque dollar volé finance directement les programmes d'armes de destruction massive de Pyongyang. Ce n'est pas juste un problème informatique ; c'est un défi géopolitique majeur qui redéfinit la sécurité financière mondiale. Les groupes de hackers soutenus par l'État nord-coréen ont orchestré l'une des campagnes de vol de cryptomonnaies les plus étendues de l'histoire de la cybercriminalité. Ils ont frappé 58 fois distinctement, utilisant des tactiques d'ingénierie sociale si sophistiquées qu'elles font pâlir les escroqueries classiques.

L'ampleur du désastre financier

Les chiffres sont vertigineux. En 2024 seulement, les hackers nord-coréens ont dérobé 1,34 milliard de dollars à travers 47 incidents différents. Cela représente une augmentation de plus de 100 % par rapport aux 660 millions de dollars volés en 2023. À titre de comparaison, le marché total du vol de cryptomonnaies en 2024 s'élevait à 2,2 milliards de dollars. La Corée du Nord, bien qu'elle ne soit responsable que de 20 % des incidents, a capturé 61 % de toutes les sommes volées dans le monde. Cette disproportion montre une chose claire : ils visent gros et ils réussissent.

Cette efficacité n'est pas due au hasard. Elle résulte d'une approche méthodique et patiente. Contrairement aux pirates opportunistes, les acteurs nord-coréens passent des mois à infiltrer une organisation avant de frapper. Leur objectif n'est pas seulement le gain immédiat, mais la génération de revenus stables pour contourner les sanctions économiques qui étranglent leur économie traditionnelle.

Qui sont les coupables ?

Vous avez probablement entendu parler du Lazarus Group, un groupe de cyberespionnage nord-coréen tristement célèbre pour ses attaques contre les institutions financières et les entreprises technologiques. Mais le paysage s'est diversifié. Aujourd'hui, plusieurs autres entités travaillent main dans la main avec Lazarus :

• TraderTraitor, responsable de vols majeurs comme celui d'Atomic Wallet (100 millions de dollars).
• Jade Sleet, spécialisé dans les attaques ciblant les plateformes d'échange.
• UNC4899 et Slow Pisces, qui complètent l'arsenal offensif de Pyongyang.

Ces groupes opèrent souvent sous des couvertures différentes, rendant l'attribution complexe. Chainalysis, une firme de renseignement sur la blockchain, a dû réviser plusieurs analyses, découvrant parfois que certains gros hacks n'étaient pas liés à la Corée du Nord, tandis que d'autres incidents mineurs étaient nouvellement identifiés comme étant attribuables à Pyongyang.

La méthode DMM : quand LinkedIn devient une arme

Prenons l'exemple le plus frappant de 2024 : le vol de 308 millions de dollars auprès de la plateforme japonaise DMM en mai. Comment ont-ils fait ? Ils n'ont pas cassé le code de la blockchain. Ils ont cassé les humains.

Tout a commencé fin mars 2024. Des agents nord-coréens, se faisant passer pour des recruteurs sur LinkedIn, ont contacté des employés de Ginco, une entreprise japonaise spécialisée dans les logiciels de portefeuilles crypto pour les entreprises. Ils ont envoyé aux victimes un script Python malveillant, déguisé en test technique pré-embauche hébergé sur GitHub. Une fois la victime compromise, les attaquants ont exploité les informations de cookie de session pour usurper l'identité de l'employé. Ils ont accédé au système de communication non chiffré de Ginco. Le coup de grâce est venu mi-mai, lorsqu'ils ont manipulé une demande de transaction légitime faite par un employé de DMM, détournant 4 502,9 BTC vers leurs propres portefeuilles.

Le blanchiment d'argent : un art complexe

Voler la crypto est une chose. L'utiliser sans se faire prendre en est une autre. Les hackers nord-coréens ont développé des techniques de blanchiment d'argent ultra-sophistiquées. Après le vol massif chez Bybit en février 2025, estimé à près de 1,5 milliard de dollars en Ether - le plus grand vol de cryptomonnaies de l'histoire selon Chainalysis - les enquêteurs du FBI ont observé une conversion rapide des actifs.

Ils utilisent des échanges décentralisés (DEX) et des ponts inter-chaînes (cross-chain bridges) pour convertir l'Ether en Bitcoin ou d'autres devises numériques. Ensuite, ils dispersent les fonds à travers des milliers de portefeuilles virtuels différents. Ce processus, appelé "mixing" ou "tumbling", brouille les pistes et complique énormément le travail des forces de l'ordre qui tentent de retracer l'origine des fonds. TRM Labs, une autre firme d'analyse, note que cette capacité à recycler rapidement les fonds permet à Pyongyang de résister à la pression économique internationale.

Pourquoi cela affecte-t-il votre portefeuille ?

Vous pourriez penser que ces histoires concernent uniquement les grandes entreprises. Détrompez-vous. L'impact est systémique. L'industrie de la cryptomonnaie a subi des pertes cumulées dépassant les 5 milliards de dollars dus aux opérations nord-coréennes entre 2017 et 2024, sans compter l'incident Bybit de 2025.

Ces pertes ont des conséquences directes :

• Augmentation des coûts d'assurance : Les plateformes d'échange paient davantage pour assurer leurs actifs, coûts qui sont souvent répercutés sur les utilisateurs via des frais de transaction plus élevés.
• Réglementation accrue : Les gouvernements durcissent les règles KYC (Know Your Customer) et AML (Anti-Money Laundering), rendant l'accès aux services financiers décentralisés plus complexe pour les particuliers.
• Perte de confiance : Chaque hack majeur ébranle la confiance des investisseurs institutionnels, ralentissant l'adoption généralisée de la blockchain.

De plus, il existe une dimension nationale. Les États-Unis et les autorités internationales affirment que ces fonds financent directement les programmes de missiles balistiques de la Corée du Nord. Ainsi, chaque transaction suspecte peut avoir une implication sécuritaire globale.

Comment se protéger en tant qu'utilisateur individuel ?

Même si vous n'êtes pas une grande entreprise, vous pouvez être une cible. Voici quelques mesures concrètes inspirées des leçons tirées des attaques nord-coréennes :

1. Soyez sceptique sur LinkedIn : Si un recruteur inconnu vous envoie un lien GitHub pour un "test technique", vérifiez l'URL. Ne téléchargez jamais de scripts exécutables sans les analyser dans un environnement isolé.
2. Utilisez des portefeuilles matériels (Hardware Wallets) : Stockez vos cryptos hors ligne. Les hackers peuvent voler vos clés privées en ligne, mais ils ne peuvent pas physiquement accéder à votre clé USB Ledger ou Trezor aussi facilement.
3. Activez l'authentification à deux facteurs (2FA) partout : Privilégiez les applications d'authentification (comme Authy ou Google Authenticator) plutôt que les SMS, qui sont vulnérables aux attaques par SIM-swapping.
4. Surveillez les mouvements anormaux : Utilisez des outils de suivi de blockchain pour voir si des transactions inattendues partent de vos adresses publiques.

La menace évolue constamment. Les experts en cybersécurité prévoient que les opérations nord-coréennes continueront de s'étendre en portée et en sophistication. À mesure que les sanctions internationales s'intensifient, Pyongyang cherchera des méthodes encore plus créatives pour extraire de la valeur du secteur crypto. Rester informé est votre meilleure défense.