Si l’objectif des pirates ordinaires est de voler des données, les cibles du Lazarus Group (le groupe Lazarus) dépassent depuis longtemps le cadre de la cybercriminalité traditionnelle.
Depuis plus de dix ans, ce groupe de pirates informatiques, que le gouvernement américain considère comme lié à la Corée du Nord, s’en prend sans relâche à des banques, des institutions financières, des entreprises technologiques et des projets de cryptomonnaies dans le monde entier. De l’attaque contre Sony Pictures au vol de 81 millions de dollars à la banque centrale du Bangladesh, en passant par le pont inter-chaînes Ronin, le réseau Harmony et le vol de près de 1,5 milliard de dollars d’actifs sur Bybit en 2025, les opérations liées à Lazarus ne cessent de redéfinir la perception des risques de cybersécurité dans le secteur financier mondial.
Leurs attaques ne visent pas seulement les failles des systèmes, mais aussi la confiance entre les personnes, les autorisations internes des entreprises et les limites de sécurité de l’ensemble des infrastructures financières.
I. Qu’est-ce que le Lazarus Group, au juste ?
Le Lazarus Group, également appelé groupe Lazarus, est le nom collectif donné par le secteur de la cybersécurité à un ensemble d’activités de cyberattaque liées à la Corée du Nord.
En 2019, le département du Trésor américain a officiellement sanctionné le Lazarus Group et indiqué qu’il était lié au Bureau général de reconnaissance de la Corée du Nord.
Les activités d’attaque qui lui sont associées comprennent les intrusions dans des institutions financières, le vol de secrets commerciaux, les rançongiciels, le vol de cryptomonnaies et le sabotage d’infrastructures réseau. Dans les travaux de recherche en cybersécurité, on trouve aussi souvent des noms tels qu’APT38, TraderTraitor et Bluenoroff, qui désignent des activités d’attaque connexes ou des groupes de menaces associés. Ces noms ne signifient toutefois pas que toutes les opérations sont menées par une seule et même équipe.
Le gouvernement américain estime que les cybercrimes liés à la Corée du Nord constituent une source importante de revenus illicites pour le pays, et qu’une partie de ces fonds pourrait servir à soutenir le régime nord-coréen et ses programmes d’armement.
II. Plus de dix ans d’attaques : les événements majeurs qui ont secoué le monde
2014 : attaque contre Sony Pictures
En novembre 2014, Sony Pictures a été victime d’une cyberattaque de grande ampleur. Les attaquants ont pénétré dans le réseau interne de l’entreprise, dérobé une grande quantité de données sensibles et utilisé un logiciel malveillant destructeur pour effacer des données, perturbant gravement ses activités.
Les données divulguées comprenaient des courriels internes de dirigeants, des informations personnelles sur des employés, des documents sur des films non encore sortis, des informations financières de l’entreprise ainsi que des secrets commerciaux.
Cet incident a fait comprendre aux entreprises du monde entier que les cyberattaques peuvent non seulement dérober des informations, mais aussi perturber directement leurs activités normales. Le gouvernement américain a par la suite lié cette attaque à des opérations informatiques associées à la Corée du Nord.
2016 : 81 millions de dollars volés à la Banque centrale du Bangladesh
C’est l’un des événements les plus célèbres de l’histoire des attaques financières liées à Lazarus.
Les attaquants ont d’abord pénétré dans les systèmes internes de la Banque centrale du Bangladesh et obtenu les identifiants de communication bancaire nécessaires. Ils ont ensuite utilisé le système de communication financière interbancaire international SWIFT pour envoyer de faux ordres de virement.
Les attaquants ont tenté de transférer environ 951 millions de dollars. Certaines transactions ont été bloquées à temps, mais environ 81 millions de dollars ont finalement été transférés avec succès.
Cet incident a révélé un risque majeur des systèmes financiers traditionnels : même les banques dotées de systèmes de paiement internationaux sophistiqués peuvent subir des pertes considérables si leurs terminaux internes, leurs identifiants ou leurs procédures opérationnelles sont compromis.
2017 : le rançongiciel WannaCry se propage dans le monde entier
En mai 2017, le rançongiciel WannaCry s’est rapidement propagé dans au moins 150 pays et a infecté environ 300 000 ordinateurs.
Le virus se propageait en exploitant une faille de Windows. Une fois les appareils infectés, il chiffrait les fichiers et exigeait des victimes une rançon en bitcoins.
Le système de santé publique britannique (NHS) a été gravement touché : les rendez-vous hospitaliers, les services de santé et les systèmes internes ont été perturbés, et plus de 19 000 rendez-vous ont été annulés.
Les États-Unis, le Royaume-Uni et d’autres pays ont ensuite publiquement attribué l’attaque WannaCry à des opérations informatiques liées à la Corée du Nord. Cet événement a prouvé que les conséquences des cyberattaques ne se limitaient plus aux pertes financières et pouvaient même affecter les services de santé et les infrastructures publiques.
2022 : environ 625 millions de dollars volés sur le pont Ronin
En mars 2022, le réseau Ronin, qui se trouve derrière le jeu blockchain Axie Infinity, a été attaqué.
Grâce à une attaque d’ingénierie sociale visant des personnes liées à Sky Mavis, les attaquants ont obtenu les autorisations nécessaires pour contrôler les nœuds validateurs et ont fini par en prendre le contrôle d’un nombre suffisant.
Les attaquants ont ensuite transféré depuis le pont Ronin environ 173 600 ETH et 25,5 millions d’USDC. Aux cours du marché de l’époque, la perte s’élevait à environ 625 millions de dollars.
Ce n’est que plusieurs jours plus tard que l’équipe du projet a découvert l’anomalie. En avril 2022, le FBI américain a officiellement attribué cette attaque au Lazarus Group et à des opérations informatiques nord-coréennes associées.
Cet incident a révélé le risque fondamental des ponts inter-chaînes : la blockchain elle-même peut fonctionner normalement, mais si le mécanisme de validation qui contrôle les transferts d’actifs entre chaînes est compromis, le système de pont tout entier peut devenir une cible.
2022 : 100 millions de dollars volés sur le pont Harmony Horizon
En juin 2022, le pont inter-chaînes Horizon du projet Harmony a été attaqué. Environ 100 millions de dollars d’actifs numériques ont été volés.
En janvier 2023, le FBI américain a officiellement confirmé que le Lazarus Group était responsable de ce vol. Par la suite, les attaquants ont transféré les fonds à l’aide de différentes adresses et de protocoles de confidentialité.
Le FBI a également révélé que des personnes impliquées avaient utilisé des protocoles de confidentialité tels que RAILGUN pour traiter une partie des ETH volés.
Cela montre que le vol des actifs n’est qu’une partie de l’attaque : le transfert, le fractionnement et le traitement des fonds volés sont également des étapes importantes de toute la chaîne criminelle.
2023 : le secteur des cryptomonnaies frappé par une série d’attaques
En 2023, les cyberattaques liées à Lazarus ont continué de viser le secteur des cryptomonnaies.
Atomic Wallet a perdu environ 100 millions de dollars, Alphapo environ 60 millions, CoinsPaid environ 37 millions et Stake.com environ 41 millions.
Le FBI américain a publié au fil du temps des informations sur l’attribution de ces attaques, établissant un lien entre ces événements et des cyberattaques liées à la Corée du Nord.
Les cibles ne se limitent plus aux grandes plateformes d’échange : elles s’étendent progressivement aux fournisseurs de portefeuilles, aux plateformes de paiement et à l’ensemble de l’écosystème des cryptomonnaies.
2025 : Bybit victime du vol d’environ 1,5 milliard de dollars d’actifs
Il s’agit de l’un des plus importants vols d’actifs de l’histoire du secteur des cryptomonnaies.
Le 21 février 2025, Bybit a été attaquée et environ 1,46 milliard de dollars d’ETH et d’actifs associés ont été transférés.
L’aspect le plus intéressant de cette attaque est que les attaquants n’ont pas simplement déchiffré le mot de passe de la plateforme d’échange : ils ont exploité les relations de confiance au sein de la chaîne d’approvisionnement et du processus de signature des transactions.
Selon les informations de l’enquête publiées par Bybit, les attaquants ont compromis les identifiants et l’infrastructure de développeurs liés à Safe, puis manipulé l’interface de signature des transactions afin que le contenu affiché aux signataires diffère de celui des transactions malveillantes réellement exécutées.
Au final, les attaquants ont pris le contrôle d’un portefeuille froid d’ETH de Bybit et transféré environ 1,46 milliard de dollars d’actifs.
Le 26 février 2025, le FBI américain a officiellement attribué cette attaque à des cyberattaquants liés à la Corée du Nord et l’a rattachée à l’opération TraderTraitor.
Le FBI a également révélé que les attaquants avaient rapidement converti une partie des actifs volés en bitcoins et autres actifs numériques, puis les avaient répartis sur un grand nombre d’adresses blockchain.
Cette attaque a sonné l’alarme dans tout le secteur : un portefeuille froid n’est pas synonyme de sécurité absolue, le mécanisme multisignature non plus, et un portefeuille matériel ne peut pas empêcher toutes les signatures malveillantes.
Le vrai problème n’est pas seulement de savoir si la clé privée a été divulguée, mais aussi de comprendre ce que contient réellement la transaction que vous signez.
III. Comment Lazarus mène-t-il ses attaques ?
L’étude de ces événements passés révèle plusieurs modes opératoires récurrents.
Le premier est l’ingénierie sociale.
Les attaquants peuvent se faire passer pour des sociétés d’investissement, des recruteurs, des développeurs, des représentants de projets ou des partenaires commerciaux afin d’entrer en contact avec leurs cibles sur X, LinkedIn, Telegram et par e-mail. Une fois la confiance établie, ils envoient de prétendus documents de travail, dossiers d’investissement, tests de code ou invitations à des réunions.
Dès que la cible télécharge et exécute un fichier malveillant, les attaquants peuvent dérober ses identifiants, accéder à son appareil, voire s’infiltrer dans le réseau interne de l’entreprise.
Le deuxième mode opératoire est l’attaque de la chaîne d’approvisionnement.
Les grandes plateformes d’échange et les projets blockchain disposent généralement de plusieurs niveaux de protection, ce qui rend difficile toute attaque directe contre leurs systèmes centraux. Les attaquants peuvent donc se tourner vers les développeurs, les prestataires tiers, les fournisseurs de logiciels et les autres partenaires disposant d’un accès aux systèmes.
L’affaire Bybit en est un exemple typique. Les attaquants ont profité de la compromission d’un environnement de développement tiers et d’une interface de transaction pour influencer la manière dont les signataires évaluaient le contenu des transactions.
Le troisième mode opératoire est le transfert de fonds sur la blockchain.
Après le vol des actifs, les attaquants peuvent répartir les fonds sur plusieurs adresses et recourir aux échanges inter-chaînes, à différentes plateformes d’échange et à des protocoles de confidentialité pour compliquer leur traçage.
Mais la blockchain n’est pas totalement anonyme. Chaque transaction laisse une trace. Même si les attaquants changent constamment d’adresse, les flux de fonds, les horaires des transactions, les sources de financement communes et les liens entre les adresses peuvent toujours fournir des pistes d’enquête.
C’est aussi pourquoi le FBI, les sociétés d’analyse blockchain et les plateformes d’échange peuvent repérer une partie des fonds volés grâce au traçage sur la chaîne.
IV. Quel a été l’impact de ces attaques sur le secteur mondial des cryptomonnaies ?
Premièrement, elles ont ébranlé la confiance dans la sécurité des institutions financières. L’affaire de la Banque centrale du Bangladesh a montré que les systèmes de paiement internationaux des banques traditionnelles pouvaient eux aussi être la cible de cyberattaques.
Deuxièmement, les risques de sécurité liés aux infrastructures des cryptomonnaies ont été réévalués. Les affaires Ronin et Harmony, entre autres, ont poussé tout le secteur à réexaminer la sécurité des ponts inter-chaînes, des portefeuilles multisignatures, des nœuds validateurs et des contrats intelligents.
Troisièmement, les coûts d’exploitation des plateformes d’échange continuent d’augmenter. La gestion des portefeuilles froids, la vérification des signatures, les audits de tiers, la surveillance sur la chaîne, la réponse aux incidents et les garanties d’assurance nécessitent tous davantage de ressources.
Quatrièmement, les actifs volés peuvent intégrer des circuits plus vastes de circulation de fonds illicites. Après avoir été transférés entre plusieurs chaînes, convertis et blanchis, ils peuvent affecter les plateformes d’échange, les protocoles DeFi et d’autres utilisateurs ordinaires.
Plus préoccupant encore, les enjeux de cybersécurité liés aux États se recoupent désormais avec le secteur des cryptomonnaies. Il ne s’agit plus de simples attaques menées par des pirates isolés, mais d’un problème complexe touchant les infrastructures financières, la sécurité internationale et la réglementation des actifs numériques.
V. Comment les utilisateurs ordinaires de cryptomonnaies peuvent-ils se protéger ?
$BNB Les investisseurs ordinaires n’ont pas besoin de maîtriser les techniques professionnelles de cybersécurité, mais ils doivent adopter de bonnes habitudes de sécurité de base.
Dans la mesure du possible, conservez les actifs importants dans un portefeuille froid séparé.
Ne téléversez jamais votre phrase de récupération ni votre clé privée sur un espace de stockage en ligne ou une messagerie.
Ne communiquez à personne votre phrase de récupération, votre clé privée ni une autorisation de signature.
N’installez pas à la légère des extensions de portefeuille fournies par des inconnus.
N’utilisez pas de logiciels de portefeuille provenant de sources douteuses.
Vérifiez régulièrement les autorisations de votre portefeuille et révoquez celles dont vous n’avez plus besoin.
Ne signez pas à l’aveugle des transactions que vous ne comprenez pas.
Avant de signer, vérifiez l’adresse du destinataire, l’adresse du contrat et le contenu de la transaction.
Méfiez-vous des autorisations de jetons illimitées.
Pour toute opération importante, commencez par effectuer un test avec un petit montant.
Pour les comptes sur les plateformes d’échange, activez également une authentification à deux facteurs distincte, privilégiez les méthodes résistantes à l’hameçonnage, comme les clés de sécurité matérielles, configurez une liste blanche d’adresses de retrait et activez les notifications de connexion et de retrait.
Il convient d’insister sur un point : un portefeuille matériel peut protéger les clés privées, mais il ne garantit pas que la transaction que vous approuvez soit sans danger. Si vous signez une transaction malveillante, un portefeuille matériel peut lui aussi devenir une porte d’entrée vers la perte de vos fonds.
Les plateformes d’échange, les projets DeFi et les équipes de développement doivent également séparer les clés privées des systèmes opérationnels, répartir les autorisations multisignatures, auditer les logiciels tiers, appliquer le principe du moindre privilège, surveiller les transactions inhabituelles et prévoir un mécanisme d’arrêt d’urgence.
VI. Le véritable sujet d’inquiétude : les cibles des cyberattaques évoluent
L’examen de l’histoire des attaques de la dernière décennie révèle une évolution nette.
De 2014 à 2017, les attaques visaient principalement les systèmes des entreprises, avec le vol de données et les rançongiciels.
De 2016 à 2020, leur portée s’est étendue aux systèmes bancaires, aux systèmes de paiement internationaux et aux institutions financières.
De 2018 à 2021, les plateformes d’échange de cryptomonnaies, les portefeuilles et les logiciels associés sont progressivement devenus des cibles prioritaires.
De 2022 à 2023, les attaques se sont étendues aux ponts inter-chaînes, à la DeFi et aux infrastructures blockchain.
En 2025, les chaînes d’approvisionnement, les environnements de développement tiers et les processus de transaction multisignature sont devenus des vecteurs d’attaque à surveiller.
Cela ne signifie pas que toutes les attaques sont menées par les mêmes personnes ou à l’aide des mêmes techniques. Cela montre plutôt que les cybermenaces liées à Lazarus touchent un nombre croissant d’infrastructures financières.
Pour le secteur des cryptomonnaies, les frontières de la sécurité évoluent.
Par le passé, on se demandait si les clés privées avaient été divulguées ou si les contrats intelligents comportaient des failles. Aujourd’hui, il faut aussi se demander si les ordinateurs des développeurs sont sécurisés, si les logiciels tiers sont fiables, si l’interface de signature a été falsifiée et si les autorisations internes ont été détournées.
Les plus de dix ans d’attaques menées par Lazarus révèlent en réalité une dure réalité : à l’ère de la finance numérique, le plus grand risque ne vient peut-être pas du piratage des systèmes, mais de l’exploitation de la confiance.
Lorsque des actifs numériques d’une valeur de plusieurs dizaines de milliards de dollars peuvent être transférés en peu de temps, tout le secteur doit se reposer une question :
Construisons-nous réellement un système financier numérique sûr, ou ne faisons-nous que transposer les risques du monde financier traditionnel sur la blockchain ?$BTC