Bybit poursuit la Corée du Nord en justice, et cela pourrait fonctionner

La bourse a déposé une plainte civile devant un tribunal fédéral américain contre la Corée du Nord, son agence de renseignement et le groupe Lazarus pour le piratage de 1,5 milliard de dollars de février 2025. Un juge a déjà gelé les avoirs volés. L'affaire teste si le droit civil peut faire ce que l'application pénale n'a pas fait.

Le 7 août 2026, Bybit a annoncé avoir déposé une plainte civile devant le tribunal de district des États-Unis pour le district de Columbia contre la République populaire démocratique de Corée, son agence de renseignement, le Bureau général de reconnaissance, et le groupe Lazarus. La plainte concerne la violation du 21 février 2025 qui a drainé plus de 400 000 Ether et Ether mis en jeu de la bourse basée à Dubaï, un incident évalué à environ 1,5 milliard de dollars à l'époque et toujours le plus grand vol de crypto-monnaies jamais enregistré.

Le dépôt est inhabituel à presque tous les égards. Une entreprise privée poursuit une nation souveraine devant un tribunal américain. Les défendeurs comprennent une agence de renseignement d'État et un groupe de pirates qui opère sous sa direction. Les avoirs volés ont été blanchis à travers des milliers de portefeuilles, convertis entre blockchains, et passés par des services de mélange conçus pour briser la piste de transaction. Et pourtant, un juge fédéral a accordé une injonction préliminaire, ce qui signifie qu'un tribunal a déjà déterminé qu'il existe suffisamment de preuves et de base juridique pour geler les avoirs volés identifiables pendant que l'affaire se poursuit.

La question n'est pas de savoir si le procès est symboliquement important. Il l'est clairement. La question est de savoir s'il peut produire un résultat pratique : la récupération des fonds volés, la création d'un précédent juridique pour les affaires futures, ou les deux. L'affaire arrive à un moment où l'industrie de la crypto-monnaie cherche des outils institutionnels pour compléter ses défenses techniques. Le traçage de la blockchain, la coopération des bourses et les primes aux bogues ont été les principaux mécanismes de récupération après les grands piratages. Une plainte civile soutenue par une ordonnance d'un tribunal fédéral introduit un instrument juridique qui n'a pas été largement testé dans le contexte de la crypto-monnaie mais qui a un profond précédent dans les litiges traditionnels de recouvrement d'avoirs.

Ce que la plainte affirme réellement

La plainte nomme trois défendeurs. La République populaire démocratique de Corée est nommée comme un État souverain qui a dirigé le vol par l'intermédiaire de son appareil de renseignement. Le Bureau général de reconnaissance, la principale organisation de renseignement étranger de la Corée du Nord, est nommé comme l'agence qui a supervisé l'opération. Le groupe Lazarus est nommé comme l'acteur de la menace qui a exécuté la mise en œuvre technique.

L'affaire est déposée en vertu de théories de responsabilité civile qui n'exigent pas que les défendeurs comparaissent devant le tribunal. Bybit poursuit la réclamation par les mécanismes juridiques disponibles contre les États souverains et leurs agents lorsque ces États sont accusés de parrainer des actes qui causent un préjudice financier à des parties privées. La loi sur les immunités souveraines étrangères protège généralement les gouvernements étrangers des poursuites devant les tribunaux américains, mais des exceptions existent pour le terrorisme parrainé par l'État et certaines activités commerciales.

Parallèlement à la plainte, Bybit a obtenu une injonction préliminaire visant les défendeurs John Doe, des individus et entités non identifiés qui détiennent des avoirs liés au vol. L'injonction leur interdit de transférer, vendre ou autrement disposer des avoirs identifiés. Une injonction préliminaire n'est pas une décision finale. Elle préserve les biens pendant le litige. Mais l'obtenir exige de démontrer à un juge que le demandeur est susceptible de réussir sur le fond et que les avoirs seraient en risque de dissipation sans l'ordonnance.

Le PDG de Bybit, Ben Zhou, a présenté le dépôt en mettant l'accent sur la responsabilité plutôt que sur le recouvrement financier. « Notre objectif n'a jamais changé : protéger nos utilisateurs en premier, récupérer ce que nous pouvons, et faire en sorte que les personnes derrière ces attaques soient tenues responsables », a déclaré Zhou dans un communiqué.

Comment le piratage de février 2025 s'est déroulé

La violation s'est produite le 21 février 2025, lorsque des attaquants ont compromis l'infrastructure de sécurité de Bybit et ont drainé plus de 400 000 ETH et stETH de la plateforme. Les actifs étaient évalués à environ 1,5 milliard de dollars à l'époque, ce qui en fait le plus grand vol de cryptomonnaies jamais enregistré.

Le FBI a attribué l'attaque à des acteurs nord-coréens en quelques jours. Le bureau a identifié les auteurs sous le nom opérationnel TraderTraitor et a exhorté les plateformes d'échange, les validateurs et les entreprises de blockchain à bloquer les transactions liées aux adresses identifiées dans l'opération de blanchiment. La rapidité de l'attribution était remarquable. Les agences de renseignement américaines suivaient les opérations du groupe Lazarus depuis des années, et les signatures en chaîne de l'attaque correspondaient à des modèles de campagnes nord-coréennes précédentes.

Les attaquants ont rapidement blanchi les fonds volés. Au cours de la première semaine, une partie importante de l'ETH a été convertie en Bitcoin via des ponts inter-chaînes. Le Bitcoin a ensuite été dispersé sur des milliers de portefeuilles selon un modèle conçu pour submerger les outils de traçage. En mars 2025, le PDG de Bybit a rapporté que 88,87 % des fonds volés restaient traçables, tandis que 7,59 % avaient disparu via des mélangeurs de cryptomonnaies et 3,54 % avaient été gelés.

L'architecture juridique de la plainte reflète une stratégie calculée pour relever le défi inhabituel de poursuivre une nation souveraine et son appareil de renseignement. En déposant dans le district de Columbia, Bybit place l'affaire dans une juridiction où les tribunaux fédéraux traitent régulièrement des affaires impliquant des États étrangers et des sanctions internationales. L'exception FSIA pour le terrorisme parrainé par l'État est bien établie dans ce tribunal, avec des décennies de précédents issus d'affaires contre l'Iran, la Syrie et la Libye fournissant une feuille de route pour que les plaignants puissent poursuivre des défendeurs souverains qui refusent de comparaître. L'injonction préliminaire gelant les actifs volés démontre que le tribunal est disposé à exercer sa compétence et à émettre des ordres exécutoires même avant que les défendeurs ne répondent, ce qui, dans une affaire contre la Corée du Nord, pourrait ne jamais se produire.

La part traçable a diminué au cours des mois suivants. En avril 2025, Zhou a révélé que 27,6 % des fonds volés ne pouvaient plus être suivis. Les attaquants ont utilisé une combinaison de protocoles inter-chaînes, de services de mélange et de plateformes décentralisées pour brouiller les pistes. Chaque saut entre les chaînes et chaque passage par un mélangeur rendaient les fonds restants plus difficiles à suivre.

Bybit a couvert le déficit immédiat par des achats d'ETH, des prêts et des dépôts de contreparties du secteur. La plateforme a continué à traiter les retraits des clients tout au long de la crise, évitant ainsi l'effondrement de liquidité qui a suivi d'autres piratages majeurs de plateformes. La réponse opérationnelle a été largement saluée comme l'une des récupérations post-piratage les plus efficaces de l'histoire du secteur.

L'ampleur de l'opération de blanchiment révèle la sophistication de l'appareil nord-coréen. Les attaquants n'ont pas simplement envoyé l'ETH volé à un seul mélangeur et attendu. Ils ont exécuté un pipeline en plusieurs étapes. D'abord, l'ETH a été échangé contre d'autres jetons via des plateformes décentralisées pour rompre le lien direct avec les portefeuilles de Bybit. Ensuite, les jetons ont été pontés vers d'autres chaînes, principalement Bitcoin, via des protocoles inter-chaînes. Le Bitcoin a ensuite été divisé sur des milliers de portefeuilles nouvellement créés selon un modèle appelé blanchiment en "chaîne de pelage", où chaque portefeuille envoie une petite partie vers une destination et transmet le reste au portefeuille suivant de la chaîne. Chaque étape ajoutait une couche d'obscurcissement, et l'ensemble du processus était automatisé à l'aide de scripts qui s'exécutaient plus rapidement que les analystes humains ne pouvaient suivre en temps réel.

Pourquoi une action civile et pourquoi maintenant

Le moment du dépôt soulève une question évidente : pourquoi attendre 18 mois ? La réponse implique à la fois une stratégie juridique et l'évolution des preuves disponibles.

Les enquêtes pénales sur le piratage sont en cours. Les agences d'application de la loi américaines, y compris le FBI, poursuivent leurs propres affaires contre les acteurs nord-coréens. L'action civile de Bybit est explicitement distincte de ces procédures pénales. La plateforme ne dépend pas des délais ou des priorités des procureurs.

L'infrastructure de blanchiment que le groupe Lazarus a employée après le piratage de Bybit illustre comment les hackers soutenus par des États ont professionnalisé leurs opérations pour exploiter les lacunes structurelles de la conformité des cryptomonnaies. En quelques heures après le vol, l'Ether volé a transité par une cascade de portefeuilles intermédiaires conçus pour briser la chaîne de provenance. Les fonds ont ensuite afflué à travers des échanges décentralisés, des ponts inter-chaînes et des services de mélange qui n'effectuent pas de vérifications de connaissance du client. Au moment où les agences de maintien de l'ordre ont commencé à coordonner leur réponse, une partie importante des actifs volés avait déjà été convertie en bitcoin et acheminée à travers des couches d'obfuscation supplémentaires. Cette dispersion rapide est une signature des opérations cryptographiques nord-coréennes, affinée par des années de pratique lors de multiples vols très médiatisés.

Un procès civil offre plusieurs avantages que la poursuite pénale ne présente pas. Premièrement, le fardeau de la preuve est plus léger. Les affaires pénales exigent une preuve au-delà de tout doute raisonnable. Les affaires civiles exigent une prépondérance de la preuve. Deuxièmement, un plaignant civil contrôle sa propre affaire. Bybit peut poursuivre le recouvrement à son propre rythme plutôt que d'attendre une poursuite pénale qui pourrait prendre des années pour aboutir à un jugement.

Troisièmement, et le plus concrètement, un procès civil avec une injonction préliminaire donne à Bybit un instrument juridique que les échanges et les dépositaires doivent respecter. Lorsque Bybit identifie des fonds volés sur une plateforme, elle peut désormais se référer à une ordonnance du tribunal plutôt que de compter sur une coopération volontaire. Les échanges qui refusent de geler les actifs couverts par une ordonnance fédérale s'exposent à des risques juridiques propres.

L'écart de 18 mois a également permis à la traçabilité de la blockchain de mûrir. Les premières semaines après un piratage majeur sont chaotiques. Les fonds se déplacent rapidement à travers les chaînes et les mélangeurs. Avec le temps, une partie de ce mouvement s'arrête. Les fonds restent dans des portefeuilles. Ils aboutissent sur des échanges où le retrait nécessite une interaction avec des entités réglementées. L'injonction préliminaire cible ces points de repos, les portefeuilles et les comptes où se trouvent actuellement les fonds volés traçables.

Peut-on réellement poursuivre la Corée du Nord et obtenir un recouvrement

C'est la question qui rend cette affaire inhabituelle. Poursuivre une nation souveraine devant un tribunal étranger n'est pas une pratique courante, et recouvrer un jugement contre un pays qui ne participe pas au système financier international présente des défis évidents.

Le cadre juridique pour poursuivre des gouvernements étrangers devant les tribunaux américains est régi par la loi sur les immunités souveraines étrangères. Dans des circonstances normales, les États étrangers sont immunisés contre les poursuites devant les tribunaux américains. Mais des exceptions existent. L'exception pour terrorisme, ajoutée après les amendements de 1996, permet des réclamations contre les États désignés comme sponsors du terrorisme. La Corée du Nord figure sur la liste des États sponsors du terrorisme du département d'État depuis 2017.

La question de savoir si le vol de cryptomonnaies relève de l'exception pour terrorisme est une question juridique que le tribunal devra examiner. Les affaires précédentes relevant de cette exception impliquaient des actes de violence physique, des prises d'otages et un soutien matériel à des organisations terroristes. Un piratage de cryptomonnaies commis pour un gain financier plutôt que pour une violence politique pourrait tester les limites de la loi.

Même si Bybit obtient un jugement par défaut (il est peu probable que la Corée du Nord envoie des avocats pour défendre l'affaire), recouvrer ce jugement contre un État qui opère en dehors du système financier conventionnel est un défi distinct. La valeur pratique du procès ne réside pas dans l'extraction d'un paiement de Pyongyang mais dans les effets accessoires : l'injonction préliminaire qui gèle les actifs, le précédent juridique que les futures victimes pourront invoquer, et le signal aux échanges et aux dépositaires que les actifs gelés sont soutenus par une ordonnance du tribunal.

La composante John Doe du procès est potentiellement plus exploitable. Si les identités des individus ou entités détenant les fonds volés sont découvertes au cours du litige, ils peuvent être ajoutés à l'affaire et soumis à des mesures d'exécution. Contrairement à la Corée du Nord elle-même, les individus qui détiennent des cryptomonnaies volées et ne se conforment pas à une ordonnance fédérale font face à des conséquences qui peuvent être appliquées.

Le schéma plus large du vol de cryptomonnaies nord-coréen

Le piratage de Bybit n'était pas un incident isolé. C'était le plus grand événement unique dans une campagne soutenue de vol de cryptomonnaies que les agences de renseignement américaines attribuent à l'État nord-coréen.

Les groupes nord-coréens ont volé environ 2,02 milliards de dollars en cryptomonnaies au cours de 2025, selon les données de Chainalysis. L'attaque de Bybit représentait la majeure partie de ce total. Cumulativement, les groupes liés à la Corée du Nord ont volé environ 6,75 milliards de dollars en actifs numériques sur plusieurs années d'opérations.

La menace s'est poursuivie en 2026. En avril, des attaques liées à Lazarus auraient drainé 577 millions de dollars de Drift Protocol et KelpDAO lors de deux incidents distincts. Les attaques ont utilisé des méthodes techniques différentes mais partageaient le même manuel opérationnel : identifier une vulnérabilité dans un protocole DeFi ou un échange, l'exploiter rapidement, et déplacer les fonds volés à travers une chaîne de blanchiment pré-planifiée qui traverse plusieurs blockchains en quelques heures.

L'ampleur du vol a des implications géopolitiques. Les agences de renseignement américaines et sud-coréennes ont évalué que la Corée du Nord canalise les produits du vol de crypto vers ses programmes d'armement, y compris le développement nucléaire et de missiles. Cette évaluation est l'une des raisons pour lesquelles le FBI a attribué l'attaque de Bybit si rapidement et pourquoi les autorités américaines ont été exceptionnellement actives pour coordonner le gel des fonds avec les échanges. L'ampleur de la brèche de février 2025, dépassant tous les incidents précédents d'un facteur trois, a forcé l'industrie à confronter l'insuffisance de ses mécanismes de réponse existants et à envisager si une action civile pourrait combler le vide d'application que la poursuite pénale a laissé ouvert.

Pour l'industrie de la crypto, la menace nord-coréenne est devenue une hypothèse de sécurité de base plutôt qu'un risque exceptionnel. Les échanges, les protocoles DeFi et les opérateurs de ponts conçoivent désormais leurs modèles de sécurité avec les attaquants parrainés par l'État comme principal scénario de menace. Le procès de Bybit ajoute une dimension juridique à ce qui a été principalement une réponse technique et opérationnelle.

Le schéma des attaques nord-coréennes révèle également une préférence pour cibler les points d'infrastructure où de grandes quantités de valeur sont concentrées dans une seule opération de signature. L'attaque de Bybit a compromis le processus par lequel l'échange déplaçait des fonds entre les portefeuilles froids et chauds. L'attaque du pont Ronin a ciblé l'ensemble de validateurs qui contrôlait les transferts inter-chaînes. Dans les deux cas, les attaquants ont identifié le moment où une seule action compromise pouvait déplacer le maximum de valeur. Ce schéma de ciblage a forcé les échanges à repenser la façon dont ils structurent les transactions de grande valeur, ajoutant le calcul multipartite, les modules de sécurité matériels et l'exécution à retardement à ce qui étaient auparavant des opérations de routine.

Ce que le cas signifie pour les futures récupérations de piratage

Le procès de Bybit pourrait créer un modèle pour la façon dont les échanges et autres victimes poursuivent les fonds volés devant les tribunaux civils. Les précédents grands piratages, y compris le vol du pont Ronin en 2022 et l'exploit de Wormhole la même année, reposaient principalement sur la coopération des forces de l'ordre, les gels volontaires par les acteurs de l'industrie et les programmes de primes.

Un procès civil avec une injonction préliminaire ajoute une couche que la coopération volontaire ne peut pas fournir : la contrainte. Lorsqu'un tribunal ordonne le gel des actifs, le dépositaire qui les détient a l'obligation légale de s'y conformer. L'ordonnance transforme une demande en exigence, et la non-conformité entraîne des conséquences juridiques.

L'approche à double voie, civile et pénale simultanément, compte également. Les affaires pénales avancent selon le calendrier des procureurs et servent des objectifs d'application publique. Les affaires civiles avancent selon le calendrier du plaignant et servent les objectifs de recouvrement du plaignant. Lorsque les deux voies fonctionnent en parallèle, les fonds volés subissent des pressions de multiples directions juridiques.

Pour les victimes plus petites qui n'ont pas les ressources de Bybit, le précédent compte plus que le cas spécifique. Si le procès réussit à geler et éventuellement à récupérer les actifs volés, il crée une feuille de route que d'autres victimes peuvent suivre. S'il produit des opinions judiciaires publiées sur les questions de compétence et d'immunité, ces opinions deviennent des outils que les futurs plaignants peuvent utiliser pour rationaliser leurs propres affaires.

Le cas teste également la volonté de l'industrie de la crypto de coopérer avec les ordonnances des tribunaux civils. Les échanges qui reçoivent des demandes de gel appuyées par une injonction fédérale font face à un calcul différent de celui des échanges qui reçoivent des demandes informelles d'une victime de piratage. La formalisation juridique du processus de récupération pourrait accélérer la conformité à travers l'écosystème des échanges.

Il y a aussi un argument de dissuasion, bien que sa force contre un acteur étatique soit discutable. La plupart des pirates informatiques criminels pèsent le profit attendu contre la peine attendue. Pour une agence de renseignement d'État qui canalise les produits du vol vers des programmes d'armement, le calcul est différent. Mais le procès crée des coûts au stade du blanchiment. Chaque échange qui gèle des actifs en réponse à l'ordonnance du tribunal réduit le montant qui atteint sa destination prévue. Si le procès civil rend le blanchiment 5 ou 10 pour cent plus difficile, cela se traduit par des centaines de millions de dollars de valeur volée qui ne peuvent pas être convertis en espèces. Sur plusieurs opérations, la friction incrémentale au stade du blanchiment se compose en une réduction significative de l'efficacité du programme.

Ce qu'il faut surveiller

Respect de l'injonction préliminaire. L'ordonnance n'a d'effet que dans la mesure où les dépositaires et les plateformes d'échange sont disposés à l'appliquer. Surveillez les rapports faisant état de gel de fonds par les plateformes en réponse à l'ordonnance, ou les litiges où les dépositaires contestent la portée de l'injonction.

Ajout de défendeurs supplémentaires à l'affaire. La structure John Doe permet à Bybit d'ajouter des individus et des entités identifiés au fur et à mesure de l'avancement de l'enquête. Si le traçage de la blockchain mène à des dépositaires, des plateformes d'échange ou des bureaux de gré à gré spécifiques qui ont traité les fonds volés, ils pourraient devenir parties au procès.

Réponse ou non-réponse de la Corée du Nord. Les défendeurs souverains devant les tribunaux américains invoquent généralement soit l'immunité et contestent la compétence, soit ignorent simplement la procédure. L'approche de la Corée du Nord déterminera si l'affaire se poursuit par jugement par défaut ou par un litige contesté sur les questions de compétence.

Taux de recouvrement par rapport à la voie pénale. Bybit travaille avec les forces de l'ordre depuis février 2025. Le procès civil se déroule désormais en parallèle. La comparaison des montants recouvrés par chaque voie indiquera si le litige civil ajoute une capacité de recouvrement significative au-delà de ce que l'application de la loi pénale obtient seule.

Poursuites subséquentes d'autres victimes de piratage. Si l'affaire Bybit survit aux contestations de compétence et produit un recouvrement d'avoirs, d'autres victimes de piratages parrainés par des États pourraient déposer des plaintes civiles similaires. Surveillez les cas de victimes des attaques de Drift Protocol et de KelpDAO, également attribuées au groupe Lazarus.

Coordination internationale sur le gel des avoirs. L'ordonnance du tribunal américain s'applique aux entités relevant de la juridiction américaine, mais les cryptomonnaies volées circulent à l'échelle mondiale. Surveillez les actions en justice parallèles dans des juridictions comme Singapour, le Royaume-Uni et l'UE, où les plateformes d'échange et les dépositaires peuvent détenir des parties des fonds blanchis. Un gel coordonné multi-juridictionnel serait nettement plus efficace qu'une ordonnance d'un seul pays.

Adaptation nord-coréenne à la pression juridique. Les groupes de piratage parrainés par l'État adaptent leurs techniques de blanchiment en réponse aux mesures d'exécution. Si le procès civil rend plus difficile le blanchiment traditionnel basé sur les échanges, les attaquants pourraient se tourner vers le commerce de pair à pair, les échanges décentralisés sans KYC, ou les chaînes de confidentialité. La rapidité et la nature de cette adaptation indiqueront le degré de friction que l'approche juridique crée.

Questions fréquemment posées