La Corée du Nord a volé 76 % de la valeur totale des piratages crypto en 2026 — Avec seulement deux attaques

Un programme de piratage parrainé par un État, construit à l’intérieur d’un gouvernement sanctionné, a exécuté 12 minutes de code et s’est enfui avec 577 millions de dollars. Ce n’est pas de la cybercriminalité. C’est une guerre financière menée par l’État — et l’industrie crypto en est le champ de bataille principal.

📊 T2 2026 — Le trimestre le plus piraté de l’histoire de la crypto

◆ Des pirates ont mené 83 incidents au T2 2026 — le trimestre avec le plus grand nombre d’exploits jamais enregistré dans l’histoire de l’industrie crypto ; les pertes totales pour le trimestre ont atteint 755,3 millions de dollars (Crypto Economy)

◆ D’ici la fin du mois de mai 2026, les pertes totales liées aux piratages DeFi sur l’année ont dépassé 840 millions de dollars, sur plus de 50 incidents — une hausse de 70 % d’une année sur l’autre par rapport à la même période en 2025 (altFINS)

◆ Avril 2026 a été identifié comme le mois le plus catastrophique de l’histoire de la DeFi — plus de 30 attaques distinctes suivies, rapportant aux attaquants environ 635 millions de dollars au total ; l’un des plus hauts montants de pertes mensuelles depuis le début de 2025 (Finextra)

◆ Dès le 24 juin 2026, SecondFi, dans l’écosystème Cardano, a été exploité pour un montant estimé à 19,4–20 millions de dollars, en lien avec une faille dans son logiciel propriétaire de génération de portefeuilles — des analystes de SlowMist estimant jusqu’à 129 millions d’ADA compromises (Bitcoin Foundation)

🇰🇵 Le groupe Lazarus de Corée du Nord — Les chiffres vérifiés

◆ Les groupes de piratage nord-coréens représentaient 76 % de la valeur totale des piratages crypto en 2026 sur la période allant jusqu’à avril — non pas parce qu’ils ont lancé une vague d’attaques, mais parce que deux attaques totalisant 577 millions de dollars ont éclipsé tout le reste ; ces deux attaques ne représentent que 3 % du nombre d’incidents en 2026 (TRM)

◆ Des acteurs liés à la DPRK ont volé 2,02 milliards de dollars en 2025, soit une hausse de 51 % d’une année sur l’autre ; le vol crypto total attribué à la Corée du Nord dépasse désormais 6,75 milliards de dollars depuis 2017 (Sanctions.io)

◆ Rien que sur les deux dernières semaines d’avril, le groupe a siphonné plus de 500 millions de dollars à partir de deux exploits ; un chercheur senior en sécurité blockchain chez CertiK a déclaré que l’industrie crypto doit commencer à voir Lazarus comme les banques voient les acteurs cyber de niveau « État-nation » — « comme une menace constante et bien financée, pas seulement comme un autre titre d’actualité » (CoinDesk)

◆ Le Groupe d’experts des Nations unies estime que le vol de crypto alimente une proportion significative du développement des missiles balistiques et des armes nucléaires de la Corée du Nord. Cela est documenté dans des rapports du Conseil de sécurité, avec une analyse détaillée des transactions liant des produits attribués à des réseaux d’approvisionnement en armements (Sanctions.io)

🌉 Attaque n°1 — Drift Protocol : 285 millions de dollars, 12 minutes, 6 mois de planification

◆ La brèche du Drift Protocol, le 1er avril 2026, impliquait trois semaines de préparation avant l’attaque et plusieurs mois d’ingénierie sociale pour compromettre les signataires du protocole — le vidage complet de 285 millions de dollars a ensuite été exécuté en environ 12 minutes (TRM)

◆ L’attaque Drift n’était pas un exploit de code — c’était une opération d’ingénierie sociale de six mois visant les personnes qui contrôlaient les clés administrateur ; les compromissions de clé privée ont représenté la majorité des fonds volés, et les audits de contrats intelligents n’offrent aucune protection contre un développeur ciblé par une équipe soutenue par un État, patiente depuis des mois (Phemex)

◆ Les jetons volés ont été convertis en USDC via Jupiter, acheminés vers Ethereum, puis échangés contre ETH — répartis sur de nouveaux portefeuilles avant de rester ensuite inactifs ; le ETH volé n’a plus bougé depuis le jour du vol, ce qui correspond à la stratégie documentée de la Corée du Nord : conserver les produits pendant des mois ou des années avant d’exécuter un décaissement structuré (TRM)

🌉 Attaque n°2 — KelpDAO : 292 millions de dollars via une seule faille de pont

◆ Le 18 avril 2026, KelpDAO a été exploité pour environ 290 millions de dollars après que deux serveurs blockchain hébergés par LayerZero ont été compromis — un jeton lié au réseau Ethereum a été vidé via un message inter-chaînes falsifié ; la déclaration de LayerZero indique : « les indicateurs préliminaires suggèrent une attribution à un acteur étatique très sophistiqué, probablement le groupe Lazarus de la DPRK » (UPI)

◆ L’attaquant a exploité le contrat de pont du protocole et a créé des jetons non adossés, puis les a utilisés pour emprunter de vrais actifs — Cyvers a décrit cela comme « exactement la façon dont ce type d’exploit explose si vite » et a confirmé qu’il s’agissait d’un événement de contagion entre protocoles, touchant au moins 9 protocoles simultanément ; Aave V3, SparkLend, Fluid, Compound et Euler ont tous basculé en mode gel de l’exposition (CryptoPotato)

◆ Après que le Conseil de sécurité d’Arbitrum a gelé environ 75 millions de dollars des fonds volés, environ 175 millions de dollars en ETH ont été déplacés via THORChain et convertis en Bitcoin — le même itinéraire de blanchiment que celui utilisé dans le vol Bybit de 2025 ; THORChain a traité la grande majorité des produits des deux incidents, convertissant des centaines de millions de dollars d’ETH volé en Bitcoin sans intervention de l’opérateur (TRM)

◆ Plus de 13 milliards de dollars ont été effacés du total DeFi TVL dans les deux jours suivant, rien que la brèche de KelpDAO (UPI)

🦠 Le nouveau vecteur d’attaque que personne n’avait vu venir — « Mach-O Man »

◆ Le groupe Lazarus mène désormais une campagne axée sur macOS, baptisée « Mach-O Man », visant des dirigeants dans des entreprises fintech et crypto via des communications professionnelles de routine — en utilisant une technique d’ingénierie sociale appelée ClickFix : les victimes sont attirées vers de fausses réunions en ligne et on leur demande de coller une commande dans le terminal Mac, accordant ainsi aux attaquants l’accès aux systèmes d’entreprise et financiers (CoinDesk)

◆ Mach-O Man est un kit de malwares modulaire qui efface souvent sa trace avant que les victimes ne réalisent qu’elles ont été compromises — « La plupart des victimes de ce piratage ne se rendront pas compte que leur sécurité a été violée tant que les dégâts ne seront pas déjà causés, moment où le malware aura déjà été effacé », selon le chercheur senior en sécurité blockchain de CertiK (CoinDesk)

◆ Le 12 mars 2026, l’OFAC a désigné de nouvelles cibles de sanctions liées au programme de travailleurs informatiques de la Corée du Nord, qui a évolué : d’agents postulant à des emplois à distance auprès de sociétés crypto, à l’orchestration de faux recrutements — en se faisant passer pour des recruteurs de grandes entreprises Web3 et IA afin de moissonner des identifiants, du code source et l’accès VPN (Sanctions.io)

⚠️ Pourquoi les ponts inter-chaînes restent la cible la plus rémunératrice

◆ Les vulnérabilités de ponts inter-chaînes ont représenté 351 millions de dollars — près de la moitié — des pertes totales du T2 2026 ; l’exploit du pont LayerZero, à lui seul, a permis la brèche de KelpDAO (Blockchain News)

◆ Les ponts conservent de grands pools d’actifs verrouillés et reposent sur des systèmes de messagerie inter-chaînes difficiles à vérifier — lorsqu’un pont cède, un attaquant peut vider l’intégralité des réserves soutenant des jetons tokenisés (wrapped) sur plusieurs chaînes, dans une seule transaction, ce qui fait des ponts les cibles les plus rentables dans la DeFi ; le problème est d’ordre architectural, pas seulement lié à l’implémentation (1inch)

◆ Mitchell Amador, PDG de la plateforme de bug bounty Immunefi, a mis en garde contre le fait que les avancées en intelligence artificielle aggravent ces tendances — décrivant l’essor du piratage assisté par IA comme une « apocalypse des vulnérabilités », les attaquants exploitant l’apprentissage automatique pour tirer parti de faiblesses à une échelle sans précédent (Crypto Economy)

🔍 La réalité malaisante

Les comptes compromis représentent désormais plus de 50 % de toutes les attaques DeFi, en nombre d’incidents — dépassant pour la première fois les exploits de contrats intelligents comme principale source de pertes ; en valeur, l’asymétrie est encore plus marquée (altFINS)

Le schéma est cohérent dans chaque grand incident de 2026 : le code n’est plus le maillon le plus faible. Ce sont les humains qui contrôlent les clés. Une campagne de six mois d’ingénierie sociale ciblant un seul développeur suffit à vider un protocole détenant des centaines de millions. Aucun audit ne le détecte. Aucune mise à niveau de contrat intelligent ne l’empêche. Le modèle de sécurité de l’industrie a été conçu pour la mauvaise menace.

Alors que la Corée du Nord mène une opération cyber financée par l’État, qui a volé 6,75 milliards de dollars de crypto depuis 2017 pour financer des programmes d’armement — les plateformes crypto mondiales devraient-elles être légalement tenues de mettre en place des standards de cybersécurité au niveau gouvernemental, ou est-ce que cela contredit fondamentalement ce que la finance décentralisée est censée être ?

#CryptoSecurity #DeFiHacks #BlockchainSecurity #LazarusGroup #Web3