Des pirates nord-coréens ont dérobé environ 7,61 milliards de dollars en cryptomonnaies lors de 38 incidents entre janvier et octobre 2026, selon la société d’analyse de la blockchain BitOK. Lors des six attaques majeures, ils ont pris le contrôle des personnes et des systèmes qui autorisent les retraits, plutôt que d’exploiter des failles dans le code.
Les gels et les saisies ont permis de récupérer 2,86 milliards de dollars, laissant 4,75 milliards hors de portée. Binance représente à elle seule 6,41 milliards de dollars du total, tandis que 32 vols de moindre ampleur visant des particuliers et des entreprises s’élèvent à 178,4 millions de dollars.
Pourquoi les audits de code n’ont pas arrêté les pirates nord-coréens
Selon le rapport de BitOK, chaque retrait lors des six plus grandes attaques comportait des signatures valides ou avait passé les contrôles standards. Chez Binance, le point d’entrée était l’ordinateur portable d’un ingénieur DevOps et un conteneur de service de signature.
Cela correspond aux conclusions précédentes sur le déroulement du piratage en octobre. Ailleurs, les attaquants ont compromis les signataires multisig de Drift, une plateforme de trading basée sur Solana, un vérificateur unique de bridge chez KelpDAO et le système de portefeuille de Bitget.
Avant chaque coup, les opérateurs ont testé l’itinéraire exact avec de petites sommes. Le contrat d’attaque de Binance, par exemple, a été exécuté publiquement quatre heures avant le vol.
Le calendrier ressemble à celui d’une journée de bureau. Sur un échantillon de 540 transactions, 48 % de l’activité a eu lieu entre 16 h et 21 h, heure de Pyongyang.
Les opérateurs ont même chômé pendant les jours fériés nord-coréens, où aucune activité n’a été enregistrée. Le samedi, le dimanche et le lundi réunis n’ont représenté que 10 % des transactions.
Une fois l’attaque lancée, toutefois, la routine a changé. Des scripts ont pris le relais et les mouvements de fonds se sont poursuivis 24 heures sur 24.
Des minutes pour échanger, des jours pour disparaître
La rapidité détermine ce qui peut encore être gelé. En quelques minutes, les pirates nord-coréens ont échangé des stablecoins contre de l’ETH ou emprunté de l’ETH en mettant en garantie les actifs volés, car aucun émetteur ne peut geler l’ETH.
Après l’exploitation de la faille du bridge rsETH en avril, les 52 440 premiers ETH ont quitté les protocoles de prêt en un peu plus de huit minutes. Les fonds sont ensuite restés inactifs pendant 2,5 à 5 jours, avant que des scripts ne les acheminent via THORChain, un protocole d’échange inter-chaînes.
Le blanchiment s’est révélé peu coûteux. Sur 2 257 échanges liés à Binance, d’une valeur de 55,8 millions de dollars, les coûts totaux se sont élevés à seulement 0,50 %.
Les gels n’ont donc fonctionné que là où les stablecoins n’avaient pas encore été transférés. Chez Binance, 43 % des fonds volés ont été gelés ou saisis, contre 6 % pour l’ensemble des autres grandes attaques réunies.
Même dans ce cas, le facteur temps a joué contre eux. Tether a reçu sa première demande de gel 34 minutes après le retrait de Binance. À ce moment-là, 345 millions d’USDT avaient déjà quitté l’adresse d’origine.
La piste la plus nette provenait d’une erreur lors du nettoyage. Après avoir fait transiter 5 047 ETH par Umbra, un outil de confidentialité à adresses furtives, puis par le bridge Stargate, l’opérateur a regroupé les poussières restantes dans un seul portefeuille.
Le 31 août, 150 adresses ont transféré leurs fonds vers cette adresse collectrice en 3 minutes et 36 secondes. Ce regroupement a relié les vols d’AFX et du 28 août, puis des adresses de Bitget ont suivi en septembre. Au total, le portefeuille n’a reçu que 0,27 ETH.
Des adresses de règlement communes relient désormais cinq attaques menées par des pirates nord-coréens, de KelpDAO en avril à Binance en octobre. Selon BitOK, cela désigne un seul opérateur de blanchiment, même si les piratages ont pu être menés par des équipes différentes.
« Les petits soldes résiduels sont devenus la piste la plus évidente laissée par l’opérateur cette année », a déclaré BitOK.
Les clés de signature, nouvelle surface d’attaque
Chainalysis avait déjà attribué le vol de Bitget à la Corée du Nord en octobre. Les données de BitOK montrent désormais comment les pirates nord-coréens répètent une même méthode sur les plateformes d’échange et les protocoles DeFi.
Le point faible s’est déplacé des contrats intelligents vers les employés, les appareils et les services de signature. Les gels par les émetteurs ne sont utiles que pendant les premières minutes, et Binance a depuis couvert la plupart des pertes de ses utilisateurs sur ses propres réserves.