Les pirates nord-coréens spécialisés dans les cryptomonnaies deviennent plus sophistiqués

La firme crypto Paradigm met en garde dans un rapport intitulé « Démystifier la menace nord-coréenne » que les attaques de cyberguerre nord-coréennes contre l’industrie des cryptomonnaies gagnent en sophistication, et que le nombre de groupes impliqués dans cette activité criminelle augmente.

Au fil des ans, la Corée du Nord a été liée à des cyberattaques de haut profil contre des plateformes d’échange de cryptomonnaies, l’argent volé étant censé financer les programmes militaires et nucléaires du pays.

L’ONU a estimé que la Corée du Nord avait volé environ 3 milliards de dollars dans des piratages de cryptomonnaies entre 2017 et 2023. Cependant, rien qu’en 2024 et 2025, ils ont déjà pillé un record de 1,7 milliard de dollars sur deux des plus grandes plateformes d’échange, WazirX et Bybit.

Les pirates utilisent de fausses offres d’emploi pour voler des cryptomonnaies, mettant des millions d’utilisateurs en risque

Il existe plusieurs factions de pirates nord-coréens, chacune spécialisée dans différents types de cyberattaques. La plus célèbre est le groupe Lazarus, qui a une histoire de ciblage des institutions financières et des plateformes d’échange d’actifs numériques.

D’autres groupes, tels que AppleJeus, Dangerous Password et Spinout, utilisent différentes méthodes (par exemple, des attaques par hameçonnage, de fausses offres d’emploi, des logiciels malveillants se faisant passer pour de vrais logiciels).

L’attaque la plus choquante à ce jour a eu lieu en février 2025, lorsque la plateforme d’échange de cryptomonnaies Bybit a été piratée pour 1,5 milliard de dollars – la plus grande cyberattaque sur une cryptomonnaie à ce jour. Bien qu’elle ait d’abord été considérée comme une arnaque par hameçonnage, une enquête approfondie a révélé que l’exploitation était basée sur une stratégie beaucoup plus avancée.

Les pirates, issus du Bureau général de la reconnaissance de la Corée du Nord, avaient compromis discrètement Safe{Wallet}, un système de portefeuille numérique utilisé par de nombreux utilisateurs de Bybit, plutôt que de lancer une attaque directe contre la plateforme. Ils ont infiltré une porte dérobée dans le logiciel, leur permettant de soutirer de l’argent sans être immédiatement remarqués.

Cette méthode était beaucoup plus sophistiquée. Au lieu de cibler les plateformes d’échange, elle visait l’infrastructure soutenant les plateformes de cryptomonnaies.

Une fois qu’ils ont volé la cryptomonnaie, les pirates la blanchissent et échappent à la détection en utilisant des techniques éprouvées et prêtes à l’emploi. Ils divisent d’abord le butin en montants plus petits, les font passer par des centaines de portefeuilles numériques, et les transforment finalement en Bitcoin (BTC).

Cette tactique rend plus difficile pour les autorités de tracer l’argent. Selon la société de sécurité Chainalysis, le groupe Lazarus a tendance à conserver l’argent volé pendant des mois, des années, voire avant de le dépenser, maximisant ainsi ses chances d’éviter la détection.

Le FBI a identifié trois membres présumés du groupe Lazarus et les a accusés de cybercrimes. En février 2021, le département de la Justice des États-Unis a inculpé deux de ces membres pour leur implication dans des cybercrimes mondiaux. Pourtant, malgré ces efforts, les pirates et cybercriminels nord-coréens ont continué à s’adapter et à trouver de nouvelles méthodes pour interférer avec les systèmes financiers.