Précédent international : une plateforme de cryptomonnaies poursuit la Corée du Nord pour 1,5 milliard de dollars
La plateforme Bybit poursuit la Corée du Nord devant un tribunal fédéral de Washington, affirmant que le groupe de hackers Lazarus opère sous le parrainage du régime et lui a volé un demi-million de jetons Ethereum d'une valeur de 1,5 milliard de dollars. Le tribunal a ordonné le gel des avoirs, mais la majeure partie de l'argent a déjà été blanchie et a disparu dans le réseau.
Bybit, l'une des plus grandes plateformes d'échange de cryptomonnaies au monde, prend une mesure juridique sans précédent et dépose une plainte contre le gouvernement de la Corée du Nord, son agence de renseignement militaire (RGB) et le tristement célèbre groupe de hackers Lazarus.
La plainte, déposée devant le tribunal fédéral du district de Columbia à Washington, marque la première fois dans l'histoire qu'une entité commerciale privée du secteur des cryptomonnaies poursuit directement un État souverain pour une cyberattaque et le vol d'actifs numériques. Dans le monde juridique, cette démarche est déjà qualifiée de précédent international qui pourrait changer les règles du jeu dans la lutte contre le cyberterrorisme parrainé par des États.
Seulement 5 % de la somme récupérée
Selon Bybit, en février 2025, Lazarus, identifié par les autorités de renseignement américaines comme un groupe de hackers opérant sous le parrainage du gouvernement nord-coréen, a volé environ 500 000 jetons Ethereum, pour une valeur totale de 1,5 milliard de dollars.
Selon les soupçons, les hackers ont trompé le système interne de Bybit : les employés qui étaient censés approuver le transfert de fonds ont vu sur l'écran que tout était en ordre et que l'argent devait arriver à destination, mais en pratique, ils ont approuvé — sans le savoir — un transfert de centaines de millions de dollars vers le compte des pirates.
Malgré les efforts pour suivre les fonds, la majeure partie a déjà disparu. Selon les estimations, environ 90 % des fonds ne sont plus traçables, après que les hackers ont utilisé des méthodes d'obscurcissement sophistiquées : mélange de l'argent avec d'autres fonds, transfert entre différents réseaux blockchain et vente par l'intermédiaire de tiers — tout cela pour rompre le lien entre l'argent volé et ceux qui le détiennent actuellement. En cours de route, la majeure partie de l'Ethereum a été convertie en Bitcoin.
Bybit ne s'est pas contentée de poursuivre les fonds volés, mais a déposé une plainte RICO (une loi initialement destinée à lutter contre le crime organisé) contre la Corée du Nord, le RGB et Lazarus. Le juge a déjà statué que « Bybit a démontré une forte probabilité de succès dans la plainte » et a ordonné le gel des actifs volés qui ont été retrouvés.
Cependant, la Corée du Nord ne reconnaît pas l'autorité des tribunaux américains et ses représentants ne devraient pas se présenter aux audiences, donc récupérer 1,5 milliard de dollars directement auprès de Pyongyang, selon les experts, relève de la fiction. Néanmoins, jusqu'à présent, Bybit a réussi à récupérer environ 48,4 millions de dollars et à geler 30,5 millions de dollars supplémentaires sur plus de 28 plateformes — soit environ 5 % de la somme volée.
Parallèlement, d'autres pays sont impliqués dans l'affaire. Les autorités allemandes ont récemment fermé eXch, une plateforme de cryptomonnaies qui, selon les rapports, était utilisée pour blanchir de l'argent volé provenant de diverses sources, y compris, semble-t-il, une partie de l'argent volé à Bybit. De plus, une opération conjointe des autorités allemandes et suisses a mis fin aux services de Cryptomixer.io, une plateforme conçue pour masquer l'origine de l'argent volé.
Deepfakes sur Zoom : la Corée du Nord améliore ses attaques
Le groupe de hackers Kimsuky, identifié à la Corée du Nord, a commencé à utiliser ses propres systèmes d'intelligence artificielle (IA) pour planifier et exécuter des cyberattaques contre des entreprises de cryptomonnaies — selon une nouvelle étude de la société sud-coréenne de cybersécurité Genians.
Contrairement à l'utilisation de services d'IA courants comme ChatGPT, le groupe exécute les modèles directement sur ses propres ordinateurs. L'avantage pour lui est clair : les informations sensibles sur les cibles ne passent pas par des serveurs externes qui pourraient exposer l'activité. Il utilise cette infrastructure pour écrire des logiciels malveillants, analyser des informations sur les cibles et préparer des documents falsifiés difficiles à distinguer des vrais.
Ce n'est pas le seul groupe à adopter ces nouveaux outils. Un autre groupe, BlueNoroff, également identifié au régime de Pyongyang, opère avec une méthode tout aussi sophistiquée : il crée de faux participants pour des appels Zoom, en utilisant une combinaison de visages créés par IA et de mouvements corporels copiés à partir de réunions réelles précédentes. La victime est invitée à un tel appel sans savoir qu'elle parle en réalité à un personnage artificiel. À la fin de l'appel, un logiciel malveillant est installé sur son ordinateur, vérifiant quels portefeuilles de cryptomonnaies elle possède.
Les données indiquent une tendance claire : environ 80 % des cibles de ces groupes opèrent dans l'industrie des cryptomonnaies, et les fondateurs et PDG représentent près de la moitié des cibles identifiées. Au-delà des attaques externes, la Corée du Nord infiltre également occasionnellement des employés sous de fausses identités directement dans des entreprises de cryptomonnaies pour obtenir un accès interne aux systèmes.
Des voleurs dirigés par le régime
La plainte de Bybit, semble-t-il, n'est que la partie émergée de l'iceberg. Selon un rapport publié le mois dernier par la société d'analyse blockchain TRM Labs, les hackers identifiés à la Corée du Nord ont volé environ 600 millions de dollars en cryptomonnaies rien qu'entre janvier et avril 2026 — et ils sont responsables d'environ 76 % de la valeur totale des cryptomonnaies volées dans le monde au cours de cette période. Un tel taux, selon les experts, ne peut provenir d'une activité pirate de hackers isolés, mais d'un système coordonné et dirigé par les services de renseignement du régime dictatorial.
Le mois d'avril a été particulièrement notable : en deux semaines, deux plateformes de cryptomonnaies, Drift Protocol et Kelp DAO, ont subi des pertes de centaines de millions de dollars chacune. Dans les deux cas, les attaquants ont choisi de ne pas se concentrer sur les vulnérabilités techniques du code, mais ont frappé directement l'infrastructure d'authentification et les systèmes de signature numérique — un mode opératoire similaire à celui qui a caractérisé le piratage de Bybit. La similitude dans la méthode d'attaque renforce l'évaluation selon laquelle il s'agit de la même infrastructure d'attaque, gérée de manière centralisée par le groupe Lazarus et ceux qui l'exploitent.
