Comment le piratage est devenu l'arme maîtresse de la Corée du Nord sous sanctions

Un trou de 6,3 milliards de dollars dans la plus grande bourse du monde

Le 29 octobre 2026, des pirates ont vidé plus de 6 milliards de dollars d'actifs numériques de Binance, la plus grande bourse de cryptomonnaies, dans le plus grand vol jamais enregistré. Binance chiffre la perte à 6,34 milliards. TRM Labs estime le montant à environ 6,36 milliards sur dix blockchains, l'essentiel en une vingtaine de minutes ; Elliptic avance environ 6,43 milliards.

Le 31 octobre, le Bureau fédéral d'enquête a déclaré la République populaire démocratique de Corée responsable, en nommant l'opération TraderTraitor. Avec le Secret Service et le fisc américain, le bureau a indiqué que le groupe convertissait les gains en Ethereum et a exhorté les bourses à bloquer les transactions liées aux 628 adresses publiées.

Binance a remplacé environ 90 pour cent des actifs volés dès le 31 octobre, sans perte pour les clients. Le 3 novembre, Kim Yo Jong, sœur du dirigeant Kim Jong Un, a rejeté l'accusation par l'agence KCNA, la qualifiant de « rhétorique absurde » et de « provocation éculée ». Une semaine plus tard, Elliptic a rapporté que le blanchiment était en cours, par des jetons créés pour ressembler à des transactions ordinaires.

Une intrusion de plusieurs mois qui s'est achevée en vingt minutes

Les assaillants ont passé des mois à s'infiltrer : un faux entretien d'embauche a incité un ingénieur à télécharger un code malveillant, puis un outil falsifié a été installé en juin sur la machine d'un développeur de portefeuilles. Le codirecteur général Richard Teng a évoqué un ordinateur portable compromis et un logiciel conçu pour effacer ses traces.

C'est la même opération que le FBI tient pour responsable du vol de 1,5 milliard de dollars subi par Bybit en février 2025. Un avis conjoint américain de 2022 avait déjà désigné TraderTraitor comme une opération nord-coréenne liée au groupe Lazarus, et un avis du FBI de septembre 2024 avertissait de campagnes d'ingénierie sociale contre les sociétés de cryptomonnaies.

La piste du blanchiment est bien cartographiée. Elliptic a rapporté le 9 novembre que des opérateurs liés à la Corée du Nord avaient créé six jetons jetables sur la blockchain NEAR entre le 5 et le 7 novembre, FUK, OLCCL, MEILI, MMLI, DABI et SINU, et fait transiter environ 430 000 dollars par leurs pools de liquidité. Son suivi compte plus de 20 000 portefeuilles, 16 blockchains, 36 services et 65 000 transactions. Environ 2,85 milliards de dollars, soit 44 pour cent, avaient été gelés ou saisis au 9 novembre, tandis qu'environ 3 milliards restaient dans des adresses liées au vol.

Que prouve l'attribution sur la destination de l'argent ?

L'attribution du FBI est une déclaration d'enquêteurs, pas une décision de justice; et Pyongyang la nie. Aucune preuve publique n'a montré la destination finale de l'argent : les analystes estiment que ces vols pourraient financer les programmes d'armement, mais aucun rapport ne relie des fonds précis à des achats précis.

Binance n'a pas publié de conclusion sur la cause profonde, et le chemin entre l'ordinateur compromis et l'infrastructure de signature reste confidentiel. La part réellement convertie en espèces reste floue : la part gelée est comptée, la part logée dans des adresses signalées aussi, et l'écart est ce que les blanchisseurs traitent en ce moment.

Le FBI a demandé aux opérateurs de THORChain de refuser les transactions listées, mais THORChain ne s'est pas engagée à agir. Et aucune des 628 adresses ne figure sur la liste des sanctions du Trésor américain, selon American Banker; TraderTraitor n'est pas désignée, et le blocage reste donc volontaire.

Un braquage qui vaut le sixième du revenu d'un pays

Lee Ho-ryung, de l'Institut coréen d'analyses de défense, estime les 6,3 milliards volés à environ un sixième du revenu national annuel; et à environ quinze fois les 420 à 430 millions de dollars de ses exportations l'an dernier.

Elliptic estime que la Corée du Nord a volé pour 7,6 milliards de dollars de cryptomonnaies cette année, plus que toute autre année, et un rapport d'octobre 2025 a constaté que Pyongyang blanchissait la cryptomonnaie volée par des courtiers en Chine, en Russie et au Cambodge. Le piratage d'État n'est pas un monopole nord-coréen : la France a accusé l'unité iranienne Shahid Kaveh d'avoir piraté des réfrigérateurs de supermarchés.

Les clients de Binance ont retiré 4,72 milliards de dollars nets au 2 novembre, et la bourse cherche à enrayer les sorties. Le ministère sud-coréen des Affaires étrangères y voit une source de financement des programmes nucléaires et balistiques, mais aussi une menace pour l'économie numérique mondiale; un avertissement à chaque bourse, banque et régulateur qui détient l'argent d'autrui en ligne.

Les sanctions ont créé l'incitation ; la cryptomonnaie a construit la route

Les sanctions ont fermé l'économie licite de la Corée du Nord, 420 millions d'exportations contre 6,3 milliards volés, et la cryptomonnaie a offert un canal sans banque, sans port et sans compte de correspondant. Sans accès au système financier formel, l'État a industrialisé le système informel, et les compétences construites pendant des années sont celles que l'économie formelle récompense partout ailleurs.

L'opération montre cette professionnalisation : des mois d'accès discret, un outil falsifié, un drainage de vingt minutes, puis des sauts de chaîne et des jetons jetables qui rompent le lien entre les portefeuilles des voleurs et ceux des bénéficiaires. Chaque étape répond à la défense précédente : les listes de blocage échouent quand le seul lien est un pool de liquidité, et la réponse d'Elliptic consiste à retracer ce qui a financé chaque pool. Washington mène la même bataille sur le matériel, comme le montre le scandale d'espionnage chez Nvidia.

Les États-Unis peuvent nommer le groupe, publier 628 adresses et alerter le secteur, mais ils ne peuvent arrêter personne dont on croit qu'il se trouve en Corée du Nord, ni contraindre un service décentralisé à coopérer, et n'ont pas inscrit le groupe sur leur liste de sanctions. L'application de la loi s'arrête au bord du réseau.

Le braquage qui réécrit le budget de sécurité de chaque bourse

Chaque grande bourse devra désormais répondre à la question à laquelle Binance répond : comment un outil falsifié et un faux entretien ont atteint l'infrastructure de signature, et ce que son examen va conclure. Les chaînes d'approvisionnement des outils, le filtrage des menaces internes et la preuve des réserves sont passés en tête du budget de sécurité, et les 4,72 milliards de retraits nets montrent que la confiance, et non le code, est le bilan qui compte.

Désigner TraderTraitor transformerait la liste volontaire du FBI en obligation légale ; refuser laisserait le blocage à la bonne volonté des opérateurs de nœuds. Quoi qu'il en soit, les routes de courtiers du rapport d'octobre 2025, Chine, Russie, Cambodge, reviendront dans le prochain cycle de sanctions. Le système de pression a plus d'un front : l'Iran est resté dans le traité de non-prolifération alors même que les partisans de la ligne dure évoquent la bombe.

Que surveiller dans la trace, le gel et la désignation ?

Trois chiffres : la part gelée, environ 2,85 milliards de dollars ; la part encore logée dans des adresses liées au vol, environ 3 milliards ; et le nombre de portefeuilles, de services et de transactions du suivi d'Elliptic. Il faudra surveiller si le Trésor désigne TraderTraitor ou l'une des 628 adresses, si THORChain répond au FBI, et ce que l'examen de Binance conclura.

À Séoul, il faudra surveiller le nouvel organe de cyberdéfense et les groupes de travail avec les États-Unis et le Japon. Le prochain rapport multinational montrera si les routes de courtiers passant par la Chine, la Russie et le Cambodge ont changé; et si les 7,6 milliards volés cette année augmentent encore avant la fin de l'année.