Comment le groupe Lazarus et d’autres acteurs cyber liés à la Corée du Nord ont fait des institutions financières mondiales et des plateformes de cryptomonnaies leurs cibles, et pourquoi les forces de l’ordre internationales peinent à les traduire en justice.
Je me suis intéressé à l’histoire des cyberattaques nord-coréennes, en particulier à leur implication dans le vol de cryptomonnaies, et une question me revient sans cesse à l’esprit.
Comment un groupe de pirates informatiques peut-il voler des milliards de dollars à des institutions financières et à des plateformes d’échange de cryptomonnaies opérant dans plusieurs pays, tout en restant si difficile à arrêter physiquement par les forces de l’ordre internationales ?
Nous ne parlons pas d’un incident isolé ni d’un petit groupe de cybercriminels inexpérimentés. Nous observons un schéma d’opérations qui s’étend sur une décennie et qui implique des banques, des réseaux de paiement, des plateformes d’échange de cryptomonnaies, des ponts blockchain, des développeurs de logiciels et des investisseurs particuliers.
Le nom qui revient régulièrement dans ces enquêtes est celui du Lazarus Group, une organisation de piratage liée à la Corée du Nord.
Au fil des ans, les méthodes ont évolué. Ce qui a commencé par des attaques contre les infrastructures bancaires traditionnelles s’est progressivement étendu aux plateformes d’échange de cryptomonnaies, aux plateformes DeFi et aux écosystèmes blockchain.
Mais l’aspect le plus intéressant de cette histoire n’est pas simplement le montant de l’argent volé. C’est la difficulté croissante à mettre fin à ces opérations, à identifier les personnes qui en sont réellement responsables et à les traduire en justice.
Examinons les preuves.
1. Une décennie de cyberattaques : des banques traditionnelles aux cryptomonnaies
Vol de la Bangladesh Bank en 2016
Environ 81 millions de dollars ont été dérobés à la Bangladesh Bank au moyen de fausses instructions de paiement SWIFT. Les enquêteurs ont lié l’opération à des pirates informatiques nord-coréens.
Les attaquants ont tenté de transférer environ 951 millions de dollars, mais la plupart des transferts tentés ont été bloqués.
Rançongiciel WannaCry de 2017
Une attaque mondiale par rançongiciel a touché des centaines de milliers d’ordinateurs. Les victimes ne pouvaient plus accéder à leurs fichiers et étaient invitées à payer en bitcoins pour en retrouver l’accès.
Le service national de santé du Royaume-Uni figurait parmi les organisations touchées. Le ministère de la Justice des États-Unis a ensuite lié l’opération à des pirates informatiques nord-coréens.
2018 : BankIslami Pakistan
Cet incident est particulièrement pertinent pour le Pakistan.
Selon le ministère de la Justice des États-Unis, environ 6,1 millions de dollars ont été volés à BankIslami Pakistan lors d’une opération coordonnée de retrait d’espèces aux distributeurs automatiques, connue sous le nom de FASTCash.
Cela montre que ces opérations ne se limitaient pas aux institutions financières occidentales.
2022 : Ronin Network
Environ 625 millions de dollars en cryptomonnaies ont été dérobés au Ronin Network, associé à Axie Infinity.
Le FBI a attribué l’attaque au Lazarus Group et à APT38.
2022 : Harmony Horizon Bridge
Environ 100 millions de dollars supplémentaires ont été dérobés au Harmony Horizon Bridge. Le FBI a ensuite attribué l’attaque au Lazarus Group.
2023 : Atomic Wallet, CoinsPaid et Alphapo
Ces incidents représentaient environ :
Atomic Wallet : 100 millions de dollars.
CoinsPaid : 37 millions de dollars.
Alphapo : 60 millions de dollars.
Le FBI a lié des acteurs affiliés à la Corée du Nord à ces incidents.
2024 : WazirX, DMM Bitcoin et d’autres attaques
Plusieurs grandes plateformes et projets de cryptomonnaies ont subi des pertes importantes :
DMM Bitcoin : environ 308 millions de dollars.
WazirX : environ 235 millions de dollars.
Upbit : environ 50 millions de dollars.
Radiant Capital : environ 50 millions de dollars.
Rain Management : environ 16,13 millions de dollars.
Les gouvernements des États-Unis, du Japon et de la Corée du Sud ont attribué plusieurs de ces attaques à des acteurs nord-coréens.
Piratage de la plateforme d’échange Bybit en 2025
Ce fut un autre tournant majeur.
Environ 1,5 milliard de dollars d’actifs virtuels ont été dérobés à Bybit le 21 février 2025.
Le 26 février, le FBI a officiellement attribué l’attaque à la Corée du Nord et identifié l’activité sous le nom de TraderTraitor.
Les enquêteurs ont observé le transfert des actifs volés entre des milliers d’adresses de portefeuille et plusieurs réseaux blockchain.
Incident Binance de 2026 : 6,3 milliards de dollars
Le dernier incident signalé a considérablement relevé les enjeux.
Le 29 octobre 2026, Binance a subi un vol de cryptomonnaies signalé comme dépassant les 6 milliards de dollars.
Le 31 octobre, le FBI a officiellement attribué le vol à la Corée du Nord et identifié l’opération sous le nom de TraderTraitor.
Selon le FBI, les attaquants convertissaient principalement les actifs volés en Ethereum. D’autres opérations de blanchiment devraient passer par des plateformes DeFi et des services d’échange instantané de cryptomonnaies.
Binance a également déclaré avoir mobilisé environ 6,34 milliards de dollars pour couvrir les pertes signalées et travailler avec des partenaires du secteur afin de geler les actifs concernés.
Il ne s’agit pas simplement d’un autre incident de sécurité touchant une plateforme d’échange. Cela démontre l’ampleur du risque financier auquel on peut être exposé lorsque des attaquants sophistiqués compromettent des infrastructures essentielles d’actifs numériques.
👉 Comment ces pirates opèrent-ils réellement ?
Ce qui me préoccupe particulièrement, c’est que ces opérations ne commencent pas toujours par une attaque directe contre l’infrastructure de portefeuille d’une plateforme d’échange.
Parfois, le point d’entrée est un employé ordinaire.
Parmi les techniques qui leur sont attribuées :
Ingénierie sociale : les attaquants se font passer pour des recruteurs, des employeurs, des partenaires commerciaux ou des contacts de confiance afin d’accéder aux employés et à leurs appareils.
Diffusion de logiciels malveillants : des logiciels malveillants et des exercices de programmation peuvent compromettre des ordinateurs et exposer des identifiants sensibles.
Ciblage des employés : les personnes ayant accès aux systèmes internes, à la gestion des portefeuilles et à l’approbation des transactions deviennent des cibles de choix.
Faux recrutement informatique : des agents liés à la Corée du Nord auraient utilisé de fausses identités pour obtenir des emplois à distance dans des entreprises internationales.
Blanchiment de cryptomonnaies : les actifs volés sont transférés entre plusieurs portefeuilles, services d’échange et réseaux blockchain afin de compliquer les enquêtes.
Un avis conjoint de cybersécurité publié en septembre 2026 a décrit la campagne WaterPlum, qui ciblait des professionnels de l’informatique au moyen de fausses offres d’emploi.
Entre décembre 2025 et juillet 2026, l’avis faisait état d’au moins 30 000 appareils compromis dans plus de 100 pays, de plus de 7 000 portefeuilles de cryptomonnaies touchés et d’environ 10,71 millions de dollars de cryptomonnaies volés.
Prenez un instant pour y réfléchir.
Un développeur à la recherche d’un emploi à distance pourrait, sans le savoir, devenir un point d’entrée vers l’ensemble de l’infrastructure technologique d’une organisation.
👉 La grande question : pourquoi les agences internationales ne peuvent-elles pas arrêter ces pirates ?
C’est là que l’histoire se complique considérablement.
Nous avons des agences comme le FBI, Interpol, les forces de police nationales, les services de renseignement et des sociétés spécialisées dans les enquêtes sur la blockchain.
Elles peuvent enquêter sur les attaques, repérer les mouvements suspects de portefeuilles, publier des avis, imposer des sanctions et même obtenir des mises en accusation pénales.
Mais aucune de ces actions ne permet automatiquement de menotter un suspect.
Il y a plusieurs raisons à cela.
@ Les pirates peuvent se trouver physiquement hors de la juridiction du pays qui mène l’enquête
Selon l’acte d’accusation de 2021 du ministère de la Justice des États-Unis, trois pirates informatiques liés à l’armée nord-coréenne étaient associés à des opérations impliquant le Lazarus Group et APT38.
L’acte d’accusation allègue que certains de ces agents étaient basés dans des pays comme la Chine et la Russie.
Cela pose un sérieux problème de compétence juridictionnelle.
Un enquêteur américain peut disposer de preuves contre un suspect, mais si cette personne se trouve physiquement dans un autre pays, le FBI ne peut pas simplement y entrer pour procéder à son arrestation.
L’agence chargée de l’enquête a besoin de la coopération du pays où se trouve le suspect.
Sans cette coopération, un mandat d’arrêt peut rester inexécuté pendant des années.
@ La Corée du Nord est un territoire particulièrement difficile d’accès pour les services internationaux chargés de l’application de la loi
Considérons la situation concrète.
Si les enquêteurs identifient un suspect qui serait actif depuis la Corée du Nord, comment peuvent-ils le rejoindre physiquement ?
Ils ne peuvent pas simplement envoyer une équipe d’arrestation en territoire nord-coréen.
Ils ont besoin d’une coopération juridique internationale, d’un accès au suspect et d’une procédure judiciaire exécutoire.
Les relations politiques, les sanctions, les restrictions diplomatiques et l’absence de coopération concrète peuvent rendre ces affaires extrêmement difficiles.
C’est l’une des raisons pour lesquelles identifier un pirate lié à la Corée du Nord ne signifie pas nécessairement qu’il peut être arrêté.
@ Attribuer une attaque n’équivaut pas à prouver la responsabilité pénale d’une personne
Il existe une autre distinction importante.
Une agence peut conclure qu’une cyberattaque est liée au Lazarus Group en se fondant sur les similitudes entre les logiciels malveillants, l’infrastructure, les modes opératoires, les mouvements de portefeuilles et les renseignements recueillis.
Mais prouver qu’une personne en particulier a personnellement commis un crime précis exige un niveau de preuve différent.
Les enquêteurs doivent établir :
Qui contrôlait réellement les systèmes compromis ?
Qui a initié ou autorisé les transactions ?
Qui contrôlait les portefeuilles ayant reçu les fonds volés ?
Quels éléments relient le suspect à l’opération ?
Ces preuves peuvent-elles être présentées au tribunal et résister à un examen juridique ?
Une adresse blockchain ne révèle pas automatiquement l’identité réelle de son propriétaire.
L’attribution peut être techniquement convaincante tout en nécessitant des preuves supplémentaires pour engager des poursuites pénales.
@ Les cryptomonnaies circulent plus vite que les procédures judiciaires internationales
C’est sans doute l’un des défis les plus sérieux.
Lorsque des cryptomonnaies volées transitent par plusieurs portefeuilles, plateformes d’échange, ponts et applications décentralisées, les enquêteurs doivent suivre les mouvements des actifs dans plusieurs juridictions.
Ils peuvent devoir contacter différentes plateformes d’échange, cellules de renseignement financier, autorités de régulation et forces de l’ordre.
Chaque pays a ses propres lois, procédures et exigences pour geler ou saisir des actifs.
Lorsqu’une demande officielle parvient à une autre juridiction, les fonds peuvent déjà avoir été transférés à plusieurs reprises.
Une blockchain peut fournir un historique permanent des transactions, mais cela ne garantit pas que les enquêteurs puissent immédiatement identifier les personnes qui contrôlent les portefeuilles.
@ Le recours à des intermédiaires complique les enquêtes
Des opérations liées à la Corée du Nord ont également impliqué des facilitateurs et des blanchisseurs d’argent dans des pays tiers.
Ces intermédiaires peuvent contribuer à :
Convertir des cryptomonnaies en monnaies traditionnelles.
Ouvrir des comptes sur des plateformes d’échange à l’aide de fausses identités.
Faire transiter des fonds par différents réseaux financiers.
Donner accès à des services financiers internationaux.
Dissimuler le lien entre le vol initial et le destinataire final.
Cela crée un niveau intermédiaire supplémentaire entre les pirates à l’origine de l’opération et l’argent.
Les enquêteurs peuvent parvenir à identifier un facilitateur ou à geler un portefeuille sans pour autant atteindre immédiatement les personnes qui ont planifié et exécuté l’attaque initiale.
@ La coopération internationale n’est pas toujours rapide ni cohérente
Imaginez un vol impliquant une plateforme d’échange dans un pays, un pirate opérant depuis un autre, des serveurs situés dans un troisième pays et des cryptomonnaies volées transitant par des plateformes enregistrées dans plusieurs autres juridictions.
Quel pays dirige l’enquête ?
Qui est habilité à geler les actifs ?
Quelle agence recueille les preuves ?
Qui poursuit les suspects ?
Ce ne sont pas des questions simples.
Une analyse publiée en 2026 par le Center for Strategic and International Studies a souligné les difficultés liées à la fragmentation des réglementations internationales, à la lenteur de la coopération transfrontalière et à l’absence d’un système pleinement coordonné pour enquêter sur les produits du crime liés aux cryptomonnaies, les geler et les confisquer.
Le problème n’est pas que les agences internationales ne font rien. Le problème, c’est que leurs compétences et leur capacité d’action concrète sont réparties entre différents pays.
👉 Les agences internationales ont-elles réellement identifié et inculpé certains de ces pirates ?
Oui. Et cette distinction est importante.
En septembre 2018, le ministère de la Justice des États-Unis a inculpé le programmeur nord-coréen Park Jin Hyok dans le cadre d’un complot présumé impliquant le vol de la Bangladesh Bank, WannaCry et l’attaque contre Sony Pictures.
En février 2021, le ministère de la Justice a annoncé des inculpations supplémentaires contre trois programmeurs liés à l’armée nord-coréenne :
Park Jin Hyok
Jon Chang Hyok
Kim Il
Le FBI a également publié un avis de recherche concernant Park Jin Hyok.
Cependant, inculper quelqu’un et l’arrêter physiquement sont deux choses très différentes.
L’avis de recherche du FBI indique que le dernier lieu connu où se trouvait Park est la Corée du Nord.
Cela illustre la difficulté fondamentale : les enquêteurs peuvent identifier des suspects, monter des dossiers, obtenir des mandats et imposer des sanctions, mais appréhender physiquement les suspects reste un défi distinct.
Dans le même temps, les autorités internationales ont mieux réussi à poursuivre des facilitateurs, des réseaux de recrutement informatique frauduleux et des intermédiaires du blanchiment d’argent situés hors de Corée du Nord.
Autrement dit, la réponse internationale ne se limite pas à tenter d’arrêter les pirates eux-mêmes. Elle cible également les réseaux financiers et opérationnels qui leur permettent d’agir.
👉 Pourquoi est-il plus facile de geler des cryptomonnaies volées que d’arrêter les personnes qui en sont responsables ?
C’est une distinction que tout investisseur en cryptomonnaies devrait comprendre.
Lorsque les enquêteurs identifient des fonds volés détenus par une plateforme d’échange centralisée, ils peuvent demander à celle-ci de geler les actifs concernés.
Mais lorsque ces actifs sont transférés vers des portefeuilles en auto-garde, des protocoles décentralisés ou des services opérant dans des juridictions où la coopération est limitée, la situation devient beaucoup plus difficile.
Considérons trois scénarios différents :
__ Les enquêteurs identifient un portefeuille et les fonds sont transférés vers une plateforme d’échange centralisée coopérative. Il peut alors être possible de geler les actifs.
__ Les fonds transitent par plusieurs applications décentralisées et services interchaînes. Le traçage se complique.
__ Les enquêteurs repèrent les mouvements du portefeuille, mais ne peuvent pas établir qui contrôle les adresses de destination. Ils peuvent savoir où l’argent est allé sans savoir qui le contrôle physiquement.
C’est pourquoi les sociétés d’analyse de la blockchain, les plateformes d’échange et les forces de l’ordre doivent de plus en plus travailler ensemble.
Les alertes du FBI concernant Bybit en février 2025 et Binance en octobre 2026 montrent toutes deux l’importance de la coopération avec les plateformes d’échange, les opérateurs d’infrastructures blockchain et les services DeFi.
👉 Quelles leçons les plateformes d’échange de cryptomonnaies doivent-elles tirer de cette décennie ?
Je pense que le secteur doit aller au-delà de la sécurité élémentaire des portefeuilles.
Les principales vulnérabilités se trouvent peut-être dans les systèmes qui les entourent.
Voici cinq domaines qui méritent une attention particulière :
✅ Approbations indépendantes des transactions
Les retraits importants devraient nécessiter plusieurs approbations indépendantes, plutôt que de dépendre d’un système ou d’un employé unique qui pourrait être compromis.
✅ Sécurité des employés et des développeurs
La vérification des antécédents, la sécurité des appareils, la restriction des autorisations et l’examen attentif du code externe sont essentiels.
✅ Surveillance des transactions en temps réel
Les schémas de retrait inhabituels, les activités suspectes des portefeuilles et les changements inattendus dans le comportement des transactions devraient déclencher des alertes immédiates.
✅ Mécanismes d’intervention d’urgence
Les plateformes d’échange devraient disposer de procédures claires pour suspendre les retraits, se coordonner avec les opérateurs blockchain et demander le gel d’actifs.
✅ Audits de sécurité indépendants
Les audits de sécurité devraient examiner l’ensemble de l’infrastructure de signature des transactions, les autorisations internes, la chaîne d’approvisionnement logicielle et les intégrations tierces.
✅ Ma conclusion : le véritable enjeu est la responsabilité
Après avoir examiné ces incidents, je ne pense pas que la principale question de sécurité du secteur des cryptomonnaies soit simplement de savoir si une autre plateforme d’échange sera piratée.
Ce risque existera toujours.
La question la plus importante est de savoir si le secteur et les services internationaux chargés de l’application de la loi peuvent collaborer assez rapidement pour identifier les attaquants, démanteler leurs réseaux financiers, récupérer les actifs volés et, à terme, traduire les responsables en justice.
L’histoire, de la Bangladesh Bank en 2016 à Bybit en 2025, en passant par l’incident signalé chez Binance en octobre 2026, montre à quel point le paysage des menaces a changé.
Mais il y a une différence entre tracer une transaction, identifier un groupe de pirates, prouver la responsabilité pénale d’une personne et l’arrêter physiquement.
Ce sont quatre défis distincts.
Et c’est peut-être là la réalité la plus dérangeante de la cybercriminalité moderne : le monde peut voir des milliards de dollars circuler sur une blockchain transparente, tout en peinant à mettre les responsables derrière les barreaux.
Pour les investisseurs en cryptomonnaies, cela rappelle que la transparence, la décentralisation et les technologies avancées ne garantissent pas automatiquement la sécurité.
Le secteur a besoin de contrôles internes plus rigoureux, d’une meilleure coopération internationale et d’une véritable responsabilisation. Car récupérer l’argent volé est important, mais empêcher la prochaine attaque l’est encore plus.
#BinanceToResumePhaseOneOfWithdrawals #BinanceHadAlreadyCovered$6BofHackLoss #FBIConfirmsNorthKoreaIsResponsibleForBinanceCryptoHack #BinanceSAFUFundTransferCompleted7499BTC #BinanceRecovery90% of stolen assets
