Les pirates

Publié le 2025-12-18 23:18:00. Une attaque d’envergure attribuée à un groupe de pirates informatiques nord-coréens a permis de dérober plus de 1,5 milliard de dollars en cryptomonnaies à la plateforme d’échange Bybit, révélant une sophistication croissante des tactiques utilisées par Pyongyang pour financer son régime.

• Fin 2025, Bybit a détecté une sortie anormale de fonds de ses portefeuilles chauds, s’élevant à plus de 1,5 milliard de dollars en éther et jetons associés.
• L’attaque n’est pas due à une faille technique, mais à une infiltration progressive des systèmes internes de Bybit par les pirates.
• Le groupe de hackers, connu sous le nom de “Groupe Lazare”, est lié au régime nord-coréen et utilise des techniques de blanchiment de fonds sophistiquées.

L’attaque contre Bybit, l’une des plus importantes plateformes d’échange de cryptomonnaies au monde, illustre une tendance alarmante : la multiplication des cyberattaques menées par des acteurs étatiques à des fins financières. L’incident, survenu fin 2025, a mis en lumière la vulnérabilité des infrastructures numériques, même celles réputées les plus sécurisées.

En quelques heures, plus de 1,5 milliard de dollars (environ 1,36 milliard d’euros) en éther et autres jetons ont disparu des portefeuilles chauds de Bybit. L’entreprise a rapidement suspendu partiellement ses activités et sollicité l’aide de cabinets médico-légaux et d’agences de sécurité, mais une grande partie des fonds avait déjà été dispersée à travers un réseau complexe d’adresses, de ponts entre chaînes et de plateformes intermédiaires.

Contrairement à ce que l’on pourrait penser, l’attaque ne résulte pas d’une faille technique majeure ou d’une tentative de craquage du système. Les enquêteurs ont rapidement établi que les pirates informatiques avaient accédé aux systèmes de Bybit en progressant graduellement à travers les comptes internes, jusqu’à atteindre les contrôles permettant le transfert des fonds. Une infiltration subtile et méthodique, plutôt qu’une attaque frontale.

Bybit a assuré qu’elle couvrirait les pertes avec ses propres réserves, mais l’incertitude a persisté quant à l’ampleur réelle des dégâts et à la manière dont une telle attaque avait pu se produire sur une plateforme présentée comme l’une des plus sûres du marché. L’affaire a rapidement fait écho à des schémas déjà connus des experts en cybersécurité.

Les investigations ont rapidement pointé du doigt le Groupe Lazare, un réseau de hackers lié au régime nord-coréen. Ce groupe est régulièrement accusé d’attaques financières et cyberattaques visant à générer des revenus pour Pyongyang, en particulier depuis le durcissement des sanctions internationales.

Un récent rapport de TRM Labs, une société spécialisée dans l’analyse de la criminalité financière et de la blockchain, confirme que l’attaque contre Bybit reproduit les tactiques observées lors d’autres vols majeurs attribués à des acteurs nord-coréens : compromission de l’accès interne, utilisation d’identifiants légitimes et dispersion rapide des fonds pour les rendre difficiles à retracer.

Entre 2023 et 2025, plus de la moitié de l’argent volé lors de piratages de cryptomonnaies à l’échelle mondiale a été attribuée au Groupe Lazare par des sociétés médico-légales privées et des agences de sécurité. Les attaques ciblent principalement les bourses, les processeurs de paiement et les services de dépôt fiduciaire, suivant des procédures similaires.

Les méthodes d’infiltration se sont également affinées. Les premiers contacts ne se font plus uniquement par le biais de lignes de code, mais de plus en plus sur des plateformes professionnelles comme LinkedIn. Des faux profils, se faisant passer pour des recruteurs, des investisseurs ou des développeurs seniors, contactent des employés de l’écosystème crypto avec des offres d’emploi plausibles. Après plusieurs échanges, ils envoient un document technique piégé, contenant des logiciels malveillants qui volent les cookies du navigateur, les informations de connexion, les clés SSH ou les jetons de service cloud.

Dans certains cas, les attaquants restent des semaines, voire des mois, à l’intérieur des systèmes, observant les flux internes et augmentant leurs privilèges avant de procéder au vol. Une patience et une discrétion qui rendent leur détection d’autant plus difficile.

Pour les régulateurs et les plateformes, le défi est de taille. Les outils traditionnels, tels que les listes noires d’adresses, les sanctions contre les mélangeurs de cryptomonnaies et la surveillance d’une seule chaîne, s’avèrent insuffisants lorsque le blanchiment de l’argent se déroule en dehors de la blockchain.

« Il ne s’agit pas simplement d’un défi de cybersécurité. L’activité de vol de crypto en Corée du Nord constitue un problème de sanctions, de sécurité nationale et de criminalité financière, et y remédier nécessite des renseignements en temps réel et une coordination transfrontalière soutenue. »

Chris Wong, ancien agent du FBI spécialisé dans la Corée du Nord et responsable des relations avec les forces de sécurité au TRM Labs

Les fonds volés sont immédiatement fragmentés et transférés entre différentes chaînes – Ethereum, Avalanche, Bitcoin – avant de se concentrer sur des actifs très liquides, notamment l’USDT sur le réseau Tron. Le processus quitte ensuite la blockchain pour entrer dans un circuit parallèle d’intermédiaires de gré à gré, d’échanges imbriqués et de courtiers bancaires parallèles.

Ces réseaux d’opérateurs, pour la plupart d’origine chinoise, achètent à bas prix les actifs cryptographiques volés et sont responsables du règlement en dehors du système financier formel. La coordination se fait via des plateformes de messagerie telles que WeChat et des courtiers privés qui achètent et vendent des cryptomonnaies en dehors des échanges visibles. La compensation finale peut prendre la forme de yuans, de biens ou de paiements à des sociétés écrans liées au régime nord-coréen.

Dans le cas de Bybit, des sociétés médico-légales, dont TRM Labs, ont suivi des centaines de millions de dollars en mouvement en quelques jours à travers des portefeuilles intermédiaires, des échanges décentralisés et des ponts interchaînes, avant qu’ils ne disparaissent dans ce réseau de blanchiment.

La principale réussite de la Corée du Nord n’est pas seulement le volume d’argent volé, mais sa capacité à exécuter ces attaques de manière répétée et à grande échelle, avec une efficacité qui dépasse aujourd’hui la capacité des États à couper tout le circuit. La question demeure : comment arrêter un régime qui a appris à se financer grâce au système qu’il tente de contourner ?