Selon Chainalysis, les pirates informatiques liés à la Corée du Nord ont représenté près de 89 % des pertes déclarées dues à des piratages de cryptomonnaies en 2026, alors que Pyongyang a rejeté les sanctions internationales visant ses programmes de revenus et d’armement.
Résumé
- Les attaques soupçonnées d’être liées à la Corée du Nord représentent près de 89 % des pertes déclarées dues à des piratages de cryptomonnaies cette année.
- Les pertes moyennes par piratage soupçonné d’être lié à la RPDC ont atteint 185,65 millions de dollars, contre 50,65 millions de dollars en 2021.
- Les enquêteurs ont relié les fonds volés à Binance aux actifs dérobés lors de l’attaque contre Bitget en septembre, attribuée à la Corée du Nord.
- Pyongyang a rejeté une déclaration multinationale de sanctions portant sur les travailleurs à l’étranger, les activités cyber et la coopération militaire.
Chainalysis a publié ces chiffres le 30 octobre, en se fondant sur les pertes déclarées jusqu’au 29 octobre. Sur la période commençant en 2021, les opérations soupçonnées d’être nord-coréennes ont représenté 13,24 milliards de dollars sur 22,34 milliards de dollars de pertes déclarées dues à des piratages de cryptomonnaies, soit environ 59 %.
La part annuelle la plus récente se compare à 15 % en 2021. Calculée à partir des pourcentages publiés, la différence est de 74 points de pourcentage, tandis que la perte moyenne déclarée par attaque soupçonnée d’être liée à la Corée du Nord est environ 3,7 fois son niveau de 2021.
Les vols de cryptomonnaies de la Corée du Nord augmentent par attaque
Dans son évaluation de 2025, Chainalysis estimait que les pirates nord-coréens avaient volé 2,02 milliards de dollars cette année-là, soit 51 % de plus qu’en 2024, malgré un nombre moins élevé d’attaques. La firme chiffrait leurs vols cumulés jusqu’en 2025 à 6,75 milliards de dollars.
Ses chercheurs ont décrit des opérations impliquant des travailleurs informatiques intégrés à des services de cryptomonnaies et des stratagèmes d’usurpation d’identité ciblant des dirigeants. Dans les services centralisés, le rapport a identifié des attaques contre les processus de signature et l’infrastructure de clés privées, y compris des efforts visant à tromper des signataires légitimes pour qu’ils approuvent des transactions malveillantes.
La seule violation de Bybit en février 2025 a représenté 1,5 milliard de dollars. L’évaluation historique de Chainalysis a constaté que les trois plus grands piratages représentaient 69 % des pertes des services cette année-là, les violations individuelles de grande ampleur représentant une grande partie de la valeur volée.
Après l’attaque contre Binance du 29 octobre, les enquêteurs ont publié des estimations supérieures à 6 milliards de dollars pour un seul incident. Comme l’a rapporté crypto.news, Binance a estimé que sa violation de sécurité avait touché 6,3 milliards de dollars et s’est engagée à couvrir les pertes des clients à l’aide des ressources de l’entreprise et de son Secure Asset Fund for Users.
Le traçage de Binance relie deux vols d’exchange
Dans son enquête, Chainalysis a attribué le vol de Binance à TraderTraitor, un groupe de cybercriminalité nord-coréen. Les enquêteurs ont observé des actifs volés à Binance se mélangeant à des fonds provenant de l’exploit de Bitget en septembre, qui avait déjà été attribué à des acteurs nord-coréens.
La firme a décrit le lien direct entre les deux ensembles de fonds volés comme sa preuve la plus solide à l’appui de cette attribution. Son évaluation s’appuie sur l’activité blockchain observée après la violation de Binance.
Séparément, TRM Labs a attribué l’attaque à TraderTraitor avec un haut degré de confiance, citant des renseignements recueillis à la fois sur et hors de la blockchain. TRM a évalué les transferts à 6,36 milliards de dollars en utilisant les prix des actifs au moment où les fonds ont été pris et a tracé les sorties sur 10 blockchains.
Ses enquêteurs ont identifié des préparatifs commençant au moins 36 heures avant le vol, notamment de petits retraits via Tornado Cash, du code d’attaque déployé et des répétitions sur des portefeuilles. TRM a indiqué que l’opération sur Ethereum utilisait des autorisations pré-signées, tandis que les portefeuilles sur d’autres réseaux envoyaient des transferts signés ordinaires.
Les enquêteurs observent des schémas de blanchiment automatisés
Après la violation, Chainalysis a observé des milliers de transactions dans lesquelles les fonds volés circulaient à plusieurs reprises entre des adresses, revenant parfois à des portefeuilles utilisés plus tôt dans la séquence.
De nombreuses adresses ont d’abord reçu exactement 1 TRX avant d’accepter et de transmettre d’autres fonds. Les enquêteurs ont indiqué que la séquence répétée suggérait un processus automatisé de distribution des actifs volés.
Lors de l'effort initial pour échapper aux gels des stablecoins, l'attaquant a déplacé 500 millions de dollars en stablecoins vers un portefeuille utilisé pour les échanges. Sur près de 20 minutes, 325 millions de dollars ont été échangés contre 285 millions de dollars en ETH, selon l'entreprise. Les 175 millions de dollars restants ont ensuite été envoyés vers des portefeuilles intermédiaires.
Binance a ensuite annoncé avoir réservé plus de 6,34 milliards de dollars pour remplacer les actifs affectés et avoir commencé à racheter les altcoins volés en utilisant du Bitcoin, de l'Ethereum et des stablecoins.
Pyongyang rejette l'application des sanctions soutenues par les États-Unis
Dans une déclaration diplomatique distincte diffusée par la KCNA le 31 octobre, un porte-parole non nommé du ministère nord-coréen des Affaires étrangères a rejeté une initiative multinationale visant à faire appliquer les sanctions, a rapporté Reuters.
« Les sanctions et la pression peuvent fonctionner sur les faibles, mais jamais sur nous », a déclaré le porte-parole, en référence aux mesures contre le pays et son statut d'État doté de l'arme nucléaire.
La déclaration conjointe, publiée par l'Union européenne le 28 octobre, indiquait que les États-Unis, l'Australie et l'UE avaient imposé des sanctions ciblant les travailleurs à l'étranger, les activités cybermalveillantes et la coopération illégale entre la Corée du Nord et la Russie.
Émise par 11 pays et l'UE, elle appelait les membres de l'ONU à mettre en œuvre les résolutions existantes du Conseil de sécurité. Les signataires ont cité les rapports de l'Équipe de surveillance des sanctions multilatérales, établie après que la Russie a bloqué le renouvellement du mandat du précédent panel d'experts de l'ONU en 2024.
