La plupart des vols de cryptomonnaies sont opportunistes, menés par des individus ou de petits groupes en quête d'un gain rapide. Une catégorie de vol plus restreinte mais disproportionnellement dommageable est différente, non seulement par son ampleur mais par sa nature. Elle est menée par des groupes de piratage publiquement liés par des agences gouvernementales à un État-nation, opérant avec la patience, les ressources et la discipline opérationnelle d'un appareil de renseignement plutôt que d'une entreprise criminelle ordinaire. Les rapports publics du FBI, du Trésor américain et des sociétés d'analyse blockchain se sont concentrés massivement sur la Corée du Nord dans cette catégorie, et l'ampleur documentée de cette activité est désormais suffisamment importante pour représenter une part significative de l'ensemble du vol de cryptomonnaies dans le monde.
Qui se cache derrière ces attaques
Le FBI a officiellement attribué le vol de Bybit de février 2025, le plus grand casse crypto jamais enregistré, à un groupe qu'il suit sous le nom de TraderTraitor, qu'il identifie comme faisant partie de l'appareil plus large du Lazarus Group associé à la Corée du Nord. Le FBI a également nommé des individus spécifiques, dont Park Jin Hyok, dans ses documents publics de personnes les plus recherchées en lien avec une activité cybercriminelle connexe. Ces attributions ne sont pas des étiquettes informelles de l'industrie. Ce sont des conclusions formelles publiées par une agence fédérale d'application de la loi, distinctes des spéculations sur les attaquants qui circulent parfois après une brèche sans un tel appui.
L'ampleur de l'activité
Selon le rapport 2026 sur la criminalité crypto de Chainalysis, des acteurs liés à la Corée du Nord ont volé environ deux milliards de dollars en cryptomonnaies rien qu'en 2025, soit une hausse de cinquante et un pour cent par rapport à l'année précédente, portant leur total cumulatif publiquement suivi à environ six milliards trois quarts de dollars. Le même rapport a révélé que le vol lié à la Corée du Nord représentait une majorité de l'ensemble des cryptomonnaies volées via des piratages et des exploits sur la période mesurée. L'activité s'est poursuivie en 2026, avec environ trois cent neuf millions de dollars volés sur une douzaine d'incidents rien qu'au premier trimestre, y compris une part de l'exploit du Drift Protocol traité dans notre guide sur le fonctionnement des exploits DeFi.
Une attribution publique de cette ampleur provient de conclusions formelles du FBI et du Trésor, ainsi que d'analyses indépendantes publiées par des sociétés de renseignement blockchain, et non de spéculations informelles, ce qui permet de la rapporter avec confiance plutôt que de la traiter comme une rumeur.
Techniques caractéristiques documentées dans les rapports publics
Cibler les humains, pas seulement le code
Le vol de Bybit illustre un schéma plus large documenté à travers de multiples incidents : plutôt que d'attaquer directement l'infrastructure blockchain d'une cible, ces groupes ont à plusieurs reprises compromis des machines de développeurs, des chaînes d'approvisionnement logicielles tierces, et les humains responsables d'approuver les transactions, utilisant l'accès obtenu pour manipuler ce qu'un signataire légitime voit avant d'approuver un transfert.
Un cycle de blanchiment structuré et patient
Les rapports publics décrivent un schéma de blanchiment distinct associé au vol lié à la Corée du Nord, déplaçant les fonds par tranches typiquement maintenues sous les cinq cent mille dollars chacune sur un cycle d'environ quarante-cinq jours, et s'appuyant fortement sur des services de transfert d'argent en langue chinoise, des ponts inter-chaînes et des protocoles de mixage plutôt que de déplacer les fonds volés directement et visiblement vers un point unique de conversion en liquide. Nos guides sur le blanchiment inter-chaînes et les services de mixage traitent ces mécanismes de manière plus technique.
Réutilisation d'infrastructure éprouvée à travers plusieurs casses
Le mixeur Sinbad.io, par exemple, a été documenté par Chainalysis et le Trésor américain comme ayant traité des fonds non pas d'un seul vol mais de plusieurs incidents majeurs liés au Lazarus Group, y compris les casses du pont Horizon et d'Axie Infinity, avant d'être saisi et sanctionné. Ce schéma de réutilisation de la même infrastructure de blanchiment à travers des opérations apparemment sans lien est l'une des façons dont les analystes et les enquêteurs parviennent à relier des incidents en apparence distincts aux mêmes acteurs.
Au-delà du piratage : le stratagème des faux travailleurs informatiques
Tout le vol crypto lié à un État ne passe pas par un exploit technique. Le ministère de la Justice américain a documenté un stratagème distinct, largement poursuivi en justice, dans lequel la Corée du Nord dépêche des travailleurs informatiques formés pour se faire passer pour des développeurs de logiciels indépendants et se faire embaucher à distance par des entreprises, y compris des sociétés de cryptomonnaies et de blockchain, en utilisant des identités américaines volées ou empruntées, des ordinateurs relais, ainsi que des facilitateurs complices ou involontaires basés aux États-Unis. Selon les annonces du ministère de la Justice, un tel stratagème a utilisé les identités volées d'au moins quatre-vingts personnes américaines et a généré plus de cinq millions de dollars de revenus pour le gouvernement nord-coréen sur plusieurs années, conduisant à des plaidoyers de culpabilité de facilitateurs basés aux États-Unis en 2025.
En juin 2025, un grand jury fédéral a inculpé directement des ressortissants nord-coréens, marquant les premières charges américaines portées contre les faux travailleurs eux-mêmes plutôt que seulement contre leurs facilitateurs domestiques. Selon cet acte d'accusation, les individus se sont infiltrés dans une entreprise blockchain basée à Atlanta et une société crypto distincte basée en Serbie en obtenant un accès légitime de développeur, puis ont abusé de cet accès pour voler environ neuf cent quinze mille dollars en cryptomonnaies, blanchissant le produit via des services de mixage et des comptes-écrans conformes aux schémas de blanchiment plus larges décrits ci-dessus. Ce stratagème illustre que pour un acteur suffisamment patient et doté de ressources étatiques, obtenir la confiance au niveau développeur au sein d'une organisation cible peut être un point d'entrée tout aussi efficace qu'une vulnérabilité technique, et nettement plus difficile à détecter pour un responsable du recrutement lors d'un entretien à distance standard.
Comment l'attribution est réellement établie
L'attribution publique d'un vol majeur à un groupe lié à un État n'est pas faite à la légère, et s'appuie généralement sur une combinaison d'indicateurs techniques, tels que la réutilisation de code malveillant et le chevauchement d'infrastructure avec des campagnes déjà documentées, et d'expertise financière retraçant les fonds volés jusqu'à des wallets et des services de blanchiment déjà associés à des incidents antérieurs. Le FBI a périodiquement publié des avis de service public nommant directement TraderTraitor et des opérateurs du Lazarus, demandant aux fournisseurs de services de cryptomonnaies de bloquer les transactions liées à des adresses spécifiques associées à un vol donné, une mesure pratique destinée à ralentir le blanchiment dans les suites immédiates d'une attaque.
La réponse politique mondiale
L'Office of Foreign Assets Control du Trésor américain a sanctionné un éventail d'individus, d'adresses de wallet et de services liés à l'activité de blanchiment nord-coréenne, y compris le mixeur Sinbad et, à un moment donné, Tornado Cash. Cette sanction contre Tornado Cash a ensuite été levée en 2025 à la suite d'une décision de justice sur la manière dont les contrats intelligents autonomes peuvent être légalement traités, une évolution traitée plus en détail dans notre guide sur le fonctionnement des services de mixage sur une enquête, bien que le régime de sanctions plus large ciblant les acteurs liés à l'État et les adresses spécifiques qu'ils contrôlent se soit poursuivi.
La Corée du Nord est-elle le seul acteur lié à un État à surveiller
Les rapports publics et les attributions formelles se concentrent massivement sur la Corée du Nord en matière de vol de cryptomonnaies soutenu et à grande échelle, et cette concentration est reflétée fidèlement tout au long de ce guide plutôt que comme une hypothèse sur le domaine dans son ensemble. Les chercheurs en sécurité ont documenté d'autres groupes affiliés à des États-nations menant des activités de cyberespionnage et des attaques perturbatrices contre un éventail de cibles, mais la combinaison spécifique d'ampleur, de persistance et de motivation financière directe observée dans le vol de cryptomonnaies lié à la Corée du Nord, tel que mesuré en milliards de dollars par Chainalysis et formellement attribué par le FBI et le Trésor, n'est pas égalée par une activité comparablement documentée et publiquement attribuée à d'autres États dans le domaine des cryptomonnaies spécifiquement. Ce guide se concentre sur ce que les rapports publics fiables soutiennent réellement plutôt que de spéculer sur d'autres acteurs sans ce même niveau d'attribution.
Ce que cela signifie pour l'industrie et pour les victimes
Un groupe de piratage lié à un État est un adversaire d'une nature sensiblement différente d'un escroc individuel ou d'un chasseur d'exploits occasionnel. Il peut se permettre de passer des mois à infiltrer l'environnement de développement d'une cible avant même de tenter un vol, il peut absorber la perte d'un canal de blanchiment et basculer immédiatement vers un autre, et il n'est pas dissuadé par la perspective d'une arrestation individuelle comme pourrait l'être un criminel ordinaire. Pour les exchanges et les protocoles, cela signifie que la sécurité doit tenir compte d'un adversaire patient et bien doté en ressources, pas seulement d'attaquants opportunistes. Pour les victimes individuelles d'une brèche plus tard attribuée à l'un de ces groupes, cela signifie généralement que les efforts de récupération dépendent fortement d'un traçage rapide et de la coopération internationale des forces de l'ordre, puisque la négociation informelle avec l'attaquant, parfois possible après un exploit indépendant plus modeste, n'est pas une voie réaliste.
Cela signifie aussi que l'implication publique du FBI, y compris l'attribution nominative et les demandes de blocage d'adresses spécifiques, fait elle-même partie intégrante de la réponse, puisqu'elle mobilise simultanément les exchanges et les équipes de conformité de toute l'industrie plutôt que de laisser chaque plateforme enquêter seule sur un incident. Les victimes d'un incident plus tard attribué à un groupe lié à un État doivent s'attendre à ce que leur affaire soit traitée comme faisant partie d'une enquête fédérale bien plus vaste et en cours plutôt que comme une affaire isolée, ce qui peut signifier des mises à jour individuelles plus lentes mais aussi l'accès à un bien plus large ensemble de ressources de traçage et d'antécédents que ne le recevrait typiquement un vol plus petit et indépendant.
Questions fréquentes
TraderTraitor est un groupe spécifique que le FBI suit comme faisant partie de l'appareil plus large du Lazarus Group associé à la Corée du Nord. Les rapports publics utilisent parfois les deux noms de manière quelque peu interchangeable, mais TraderTraitor désigne plus précisément le sous-groupe que le FBI a attribué à des incidents tels que le vol de Bybit.
Selon le rapport 2026 sur la criminalité crypto de Chainalysis, le total cumulatif publiquement suivi du vol attribué à des acteurs liés à la Corée du Nord a atteint environ six milliards trois quarts de dollars, dont environ deux milliards de dollars volés rien qu'en 2025, soit une hausse de cinquante et un pour cent par rapport à l'année précédente.
Les rapports publics et les conclusions de sanctions du Trésor américain décrivent le vol de cryptomonnaies lié à la Corée du Nord comme un mécanisme de financement significatif pour l'État, offrant un moyen de générer d'importantes sommes en devises fortes en dehors du système bancaire traditionnel, soumis à d'importantes sanctions internationales contre le pays.
Une récupération partielle s'est produite dans certains cas, généralement lorsque les fonds sont gelés dans un exchange ou un service avant d'être entièrement blanchis, ou grâce à une action internationale des forces de l'ordre. Une récupération complète est rare étant donné la sophistication et la patience du processus de blanchiment utilisé par ces groupes, ce qui explique pourquoi la prévention et la détection rapide restent la principale défense.
Sources et lectures complémentaires
- 2026 Crypto Crime Report Introduction · Chainalysis
- FBI Confirms North Korean Lazarus Group Behind $1.5 Billion Bybit Crypto Heist · Picus Security
- Treasury Sanctions Mixer Used by the DPRK to Launder Stolen Virtual Currency · U.S. Department of the Treasury
- Two North Korean Nationals and Three Facilitators Indicted for Multi-Year Fraudulent Remote Information Technology Worker Scheme · U.S. Department of Justice