Les régulateurs sud-coréens perdent patience après le piratage d'Upbit

La Corée du Sud s'apprête à imposer des obligations au niveau bancaire aux plateformes d'échange de cryptomonnaies après une faille de sécurité d'environ 30 millions de dollars sur Upbit, la plus grande plateforme du pays, qui a mis en lumière de graves lacunes en matière de sécurité.

La Commission des services financiers (FSC), principal organe de régulation financière de Corée du Sud, a indiqué que les plateformes d'échange de cryptomonnaies pourraient être soumises à une responsabilité sans faute, à des normes de risque informatique plus strictes, à des critères d'audit élargis et à des amendes liées à leur chiffre d'affaires.

Le piratage d'Upbit survenu le 27 novembre est attribué au groupe Lazarus de Corée du Nord et s'inscrit dans une augmentation générale des cyberattaques alimentées par l'IA ciblant les entreprises et institutions financières coréennes.

« Le groupe Lazarus a prouvé qu'il était très dynamique et qu'il saurait évoluer et s'adapter avec les temps, surtout lorsque de nouvelles technologies comme la cryptomonnaie émergent », a déclaré Robert Sanchez, expert en gestion de la criminalité financière.

Usurpation d'identité assistée par l'IA

L'attaque contre Upbit a probablement impliqué des identifiants d'administrateur compromis, suggérant des faiblesses opérationnelles internes plutôt que des vulnérabilités de la blockchain.

Il a précisé que les attaquants modernes passent beaucoup de temps à « traquer » leurs cibles potentielles sur des sites comme LinkedIn.

« Ils identifieront les administrateurs et pourraient même utiliser l'IA pour soutenir leurs activités frauduleuses », a déclaré Sanchez. « Ils recueillent progressivement des informations, parfois en se faisant passer pour des employés, et tentent de reverse-engineer l'accès afin d'atteindre les clés privées protégées des comptes crypto. »

Un réveil brutal

Le gouverneur du Service de supervision financière (FSS), Chan-jin Lee, a déclaré que les lacunes en matière de sécurité d'Upbit montrent pourquoi Corée du Sud doit poursuivre la mise en œuvre des révisions de la phase deux de la loi sur la protection des utilisateurs d'actifs virtuels, introduite en juillet 2024. Il a ajouté que la loi actuelle ne rend pas pleinement responsables les fournisseurs de services en cas d'échecs de sécurité.

Selon la FSS, Upbit a attendu six heures avant d'informer les autorités de la faille. Des parlementaires sud-coréens ont accusé l'échange de ralentir la divulgation pour éviter de faire de l'ombre à sa fusion hautement médiatisée avec le géant d'internet Naver.

« La sécurité des systèmes est la ligne de vie des actifs virtuels », a déclaré Chan-jin Lee, ajoutant que la nouvelle amendment introduira un cadre réglementaire comparable à la loi sur les marchés financiers.

Les échanges de cryptomonnaies font face à une surveillance accrue

Ce n'est pas la première fois qu'Upbit est ciblé par le groupe Lazarus lié à la Corée du Nord. Le 26 novembre 2019, des pirates informatiques ont volé environ 49 millions de dollars dans des portefeuilles chauds. Upbit a précisé que les pertes ne provenaient pas des comptes des utilisateurs.

Cet incident s'inscrit dans un schéma plus large. Au total, 86 activités de piratage informatique liées à la Corée du Nord ont été recensées d'octobre l'an dernier à septembre cette année, selon le rapport « Tendances des cybermenaces 2025 et perspectives pour 2026 » publié par AhnLab le 27 novembre.

Le président Jae Myung Lee a appelé à renforcer les sanctions en cas de négligence des entreprises face aux violations de données. Hoon-sik Kang, chef de cabinet, a critiqué Upbit pour avoir géré son budget de sécurité informatique de manière ad hoc et pour n'avoir pas prévu de budget dédié à la cybersécurité.

Upbit a indiqué qu'elle prévoit de rembourser intégralement les fonds volés de ses clients et aurait gelé 1,77 million de dollars d'actifs liés à la faille. Elle a affirmé être déterminée à tracer le vol et à récupérer les actifs dérobés.

Cependant, tracer les fonds volés est extrêmement difficile car le groupe Lazarus est réputé pour utiliser des outils sophistiqués conçus pour garder les autorités hors de sa piste.

« Les mélangeurs de cryptomonnaies sont conçus pour brouiller les transactions et rompre la piste papier », explique l'expert en criminalité financière Robert Sanchez. « Le groupe Lazarus est connu pour les utiliser régulièrement, même si des progrès sont réalisés pour désanonymiser cette technologie. »

Charges opérationnelles plus lourdes

La Corée du Sud envisage une règle de responsabilité sans faute qui obligerait les plateformes d'échange à rembourser les pertes des clients, même lorsque les plateformes ne sont pas directement responsables d'une faille de sécurité. Il s'agit d'une mesure traditionnellement appliquée aux banques et institutions financières en Corée, et non aux échanges de crypto-actifs.

Cette règle permettrait au gouvernement d'infliger aux échanges de crypto-actifs des amendes pouvant atteindre 3 % de leur chiffre d'affaires annuel en cas de piratage. Ces sanctions visent à inciter le secteur à accorder plus d'importance à la sécurité.

Cependant, l'industrie coréenne des crypto-actifs peine déjà à trouver une viabilité commerciale pour les actifs numériques.

« De nombreuses altcoins, à l'exception du Bitcoin, manquent toujours d'un objectif clair, et les entreprises associées ne se portent pas bien », a déclaré Louis Ko, PDG de la startup Bitcoin Nonce Lab. « Certains projets survivent grâce aux investissements, mais cela n'est pas durable. »

Ko a indiqué que la volonté de la Corée d'imposer aux échanges une responsabilité financière en cas de piratage pourrait contraindre les petites plateformes à quitter le marché.

« Le marché des crypto-actifs en Corée reste très petit. À l'exception de quelques grands échanges, la plupart des entreprises de crypto-actifs peinent à créer une valeur réelle pour leurs clients. »

Il a déclaré que la réglementation actuelle en matière de crypto-actifs impose à toute entreprise liée aux cryptos de respecter les mêmes exigences strictes qu'un échange de crypto-monnaies.

« Le standard de sécurité minimum, l'ISMS, coûte environ 100 millions de KRW (75 000 USD) par an pour son maintien. La plupart des entrepreneurs de ce secteur ont besoin d'un tel niveau de capital pour même commencer à opérer. »

La Corée du Sud exige que les principaux fournisseurs de services en ligne se conforment à un régime de cybersécurité soutenu par l'État connu sous le nom de Système de gestion de la sécurité de l'information (ISMS).

Ko a indiqué que l'incertitude, aggravée par le durcissement du régime réglementaire en Corée, pourrait pousser certaines entreprises de crypto à chercher à l'étranger ou à accélérer le commerce souterrain. Il met en évidence une tendance selon laquelle des projets d'altcoins ont émis des tokens via des canaux illégaux, entraînant des structures de vente pyramidales et d'importantes pertes pour les investisseurs.

Des amendements législatifs sont attendus au premier semestre 2026 alors que la Corée renforce la sécurité et les règles de lutte contre le blanchiment d'argent grâce à sa coordination élargie avec le Groupe d'action financière (GAFI).

Robert Sanchez a déclaré que l'éducation reste le véritable bouclier lorsqu'il s'agit de suivre les menaces.

« L'usurpation d'identité et le spear-phishing restent parmi les tactiques les plus courantes utilisées par les attaquants ; ainsi, la formation et l'éducation dans ces domaines devraient être une pratique standard pour toute organisation », a-t-il déclaré. « Cela nécessite des procédures internes robustes et bien définies pour contrer ces menaces. »