Corée du Nord et deux tiers des pertes crypto du 1er semestre : ne pas mélanger deux comptages

Correction (2026-09-11) : ① les comptages de deux organismes (TRM Labs et Blockaid) étaient de nouveau mélangés dans la liste du texte ; c'est corrigé (les 789 millions de dollars et les 74% du vol de clés privées viennent de Blockaid, pas de TRM). ② La phrase qui attribuait les deux attaques d'avril à Lazarus et à sa sous-unité TraderTraitor a été retirée. TRM considère que l'auteur de l'attaque contre Drift est un groupe nord-coréen différent de TraderTraitor, et précise que l'identification du groupe est toujours en cours. ③ Le passage qui expliquait l'écart entre les 76% de TRM (document du 30 avril) et les 66% (document du 1er juillet) par la seule différence de période a été corrigé : le document de juillet réévalue le même point d'avril à 71%. ④ Le cumul de 6,75 milliards de dollars et l'estimation annuelle 2025 de l'ordre de 2 milliards de dollars, introuvables dans les documents cités, ont été retirés, et le communiqué du département du Trésor des États-Unis a été ajouté aux sources. ⑤ L'explication selon laquelle « les plateformes d'échange ayant renforcé leur sécurité, les attaques se sont déplacées vers la DeFi » allait dans le sens inverse du document TRM cité : elle a été retirée. Le conseil de choisir un service selon sa part de stockage à froid a également été retiré, faute de données publiques comparables. ⑥ Correction complémentaire du 2026-09-11 : les deux chiffres 2025 de TRM sont désormais présentés côte à côte dans le texte. Le document de décembre 2025 donne l'année entière uniquement sous forme de limite basse, au moins 1,5 milliard de dollars, tandis que le document de juillet 2026 donne environ 1,7 milliard de dollars pour le seul premier semestre 2025. Ces deux valeurs ne se contredisent pas, mais elles ne doivent pas être lues à la suite. ⑦ La liste des recommandations de TRM a été ramenée aux trois points du document original (signature matérielle, gestion des clés, approbation par plusieurs personnes pour les transferts importants). La « conservation des actifs » qui figurait dans la version précédente n'est pas dans le document d'origine. ⑧ Les pertes de 2025 sont réécrites comme dans le document original : plus de 2,7 milliards de dollars, dont la part nord-coréenne est bien plus de la moitié. La date de première publication (2026-08-02) est conservée.

On lit souvent que « la Corée du Nord a capté les deux tiers des pertes liées aux piratages du premier semestre ». Mais ce chiffre vient de quel organisme, et il est divisé par quoi ? Nous plaçons côte à côte, sans les mélanger, les chiffres de deux organismes qui ne comptent pas la même chose.

Ce qui s'est passé

• Le 1er avril, environ 285 millions de dollars d'actifs numériques ont été siphonnés de Drift, une plateforme décentralisée de contrats à terme basée sur Solana.
• Le 18 avril, 292 millions de dollars supplémentaires ont été dérobés à KelpDAO, un protocole basé sur Ethereum.
• En additionnant les deux, on obtient 577 millions de dollars, soit environ 90% des 643 millions de dollars que TRM Labs rattache à la Corée du Nord. Autrement dit, le total ne vient pas d'une multitude de petits piratages, mais se concentre sur quelques grosses attaques.
• TRM Labs indique que les compromissions d'infrastructure et d'exploitation représentent environ 76% du montant total dérobé, alors qu'elles ne comptent que pour environ 15% des incidents. Ce type de compromission ne vise pas une faille du code : il vise les voies d'accès humaines et techniques, comme les clés privées (la clé qui ouvre un portefeuille, un peu comme un mot de passe) ou les comptes. Ces attaques sont donc peu nombreuses, mais chacune fait beaucoup plus de dégâts.

On ne peut pas attribuer les deux attaques à un seul et même auteur. Dans son document du 30 avril, TRM Labs estime que les deux sont liées à la Corée du Nord. Mais elle évalue que l'auteur de l'attaque contre Drift est un groupe nord-coréen différent de TraderTraitor, et écrit que l'identification du groupe est toujours en cours. Pour KelpDAO, elle explique que la façon de blanchir l'argent après le vol ressemble aux méthodes habituelles de TraderTraitor. Lazarus est le nom d'un groupe que le département du Trésor des États-Unis a désigné comme lié au Bureau général de reconnaissance nord-coréen, en le plaçant sous sanctions en septembre 2019. Mais nous n'avons trouvé, pour cet article, aucun document désignant nommément Lazarus comme auteur des deux attaques d'avril 2026. La Corée du Nord a publiquement démenti ce type d'analyses. Cet article ne vérifie pas lui-même qui a fait quoi : il rapporte l'évaluation d'organismes d'enquête. C'est différent d'une décision définitive de justice.

Même période, deux comptages différents : l'erreur à éviter

Dans les articles coréens consacrés à ce sujet, l'erreur la plus fréquente consiste à coller un pourcentage de Blockaid sur un total de TRM Labs. Les deux organismes ne comptent pas les mêmes incidents ni les mêmes montants, donc leur base de division n'est pas la même.

Retrouver le dénominateur à partir du pourcentage

Voici une vérification que chacun peut refaire. Dans les chiffres de Blockaid rapportés par VOA, le vol de clés privées représente 789 millions de dollars, soit 74%. Si l'on divise 789 millions de dollars par 0,74, on obtient environ 1,07 milliard de dollars, ce qui correspond, aux arrondis près, aux « environ 1,1 milliard de dollars » du même article. En revanche, si l'on divise ces mêmes 789 millions de dollars par les 972 millions de TRM, on obtient environ 81%, ce qui ne colle pas avec les 74%. Quand un pourcentage et un total ne s'accordent pas, c'est que les deux chiffres viennent de comptages différents.

Pour la même raison, à l'intérieur même des documents de TRM, il faut regarder de quel mois ils datent. Les 76% évoqués plus haut correspondaient à la part par type de compromission. Les 76% dont il est question ici correspondent à la part de la Corée du Nord : ce sont donc deux chiffres différents. Le document publié par TRM le 30 avril, intitulé « La Corée du Nord a capté 76% de la valeur des piratages crypto en 2026 avec seulement deux attaques », divise sur une base cumulée du 1er janvier au 30 avril 2026. Or, le document du 1er juillet sur le premier semestre revient sur ce même point d'avril et le réévalue à « 71% jusqu'à avril ». Autrement dit, l'écart entre 76% (fin avril) et 66% (fin juin) ne s'explique pas par la seule différence de période. Il peut aussi contenir une révision interne du comptage de TRM. Nous n'avons pas trouvé, pour cet article, d'explication indiquant pourquoi 76% est devenu 71%. Cela signifie que, même chez un seul organisme, on ne peut pas enchaîner directement des chiffres issus de publications différentes.

Pourquoi cet argent compte

Le 6 mai 2022, en annonçant des sanctions contre un mixeur d'actifs numériques (un service qui brouille le trajet de l'argent pour rendre le suivi difficile), le département du Trésor des États-Unis écrivait ceci : « Sous la pression de fortes sanctions américaines et onusiennes, la Corée du Nord s'appuie sur des activités illicites, dont des vols informatiques visant des plateformes d'échange d'actifs numériques et des institutions financières, pour financer ses programmes illégaux d'armes de destruction massive (ADM) et de missiles balistiques. » Les organismes d'enquête vont dans le même sens : les sanctions ayant fermé les voies normales pour gagner des devises, le piratage joue le rôle d'une source de financement de contournement.

Voici l'évolution des montants. Dans son document du 18 décembre 2025, TRM Labs estimait que les pertes mondiales liées aux piratages cette année-là avaient dépassé 2,7 milliards de dollars, et que la part revenant à la Corée du Nord en représentait bien plus de la moitié. Il s'agit du comptage arrêté au jour de publication de ce document, et non d'un chiffre définitif établi après la fin de l'année. Le même document rattachait, pour la seule année 2025, au moins 1,5 milliard de dollars à des activités liées à la Corée du Nord. Les 643 millions de dollars du premier semestre 2026 sont inférieurs à ce montant. Mais il s'agit d'un semestre, que l'on ne peut pas placer sur la même ligne qu'une année entière. Le cumul de 6,75 milliards de dollars et l'estimation annuelle 2025 de l'ordre de 2 milliards de dollars, qui figuraient dans la version précédente, ont été retirés : ils sont introuvables sur la page TRM citée.

Un point mérite d'être précisé ici. Le rapport de TRM sur le premier semestre 2026 indique environ 1,7 milliard de dollars pour le seul premier semestre 2025. Or le document de décembre 2025 se contentait d'indiquer, pour l'année entière, au moins 1,5 milliard de dollars. « Au moins » étant une limite basse, on ne peut pas dire que l'une des deux valeurs est fausse. Simplement, en ne lisant que le document de décembre, on risque de sous-estimer l'ampleur de l'année. Il ne faut donc pas enchaîner les deux valeurs pour en tirer une tendance annuelle. La règle appliquée plus haut aux 76% et aux 66% vaut aussi ici.

À noter également : les « 29,7% (340,4 millions de dollars) » de 2023, souvent cités, correspondent à un cumul arrêté au troisième trimestre 2023. Les placer sur la même ligne que des chiffres annuels définitifs pour tracer une tendance donne une image plus faible que la réalité.

La Corée du Sud n'échappe pas au phénomène. Upbit, la plus grande plateforme d'échange du pays, s'est fait dérober 342 000 ETH en 2019 (environ 58 milliards de wons à l'époque). Le 27 novembre 2025, elle a de nouveau subi une attaque au cours de laquelle environ 44,5 milliards de wons d'actifs numériques sont sortis vers l'extérieur. Un responsable du ministère des Sciences et des TIC a déclaré : « Avoir été piraté le même jour et de la même manière qu'il y a six ans rend très probable qu'il s'agisse du même groupe nord-coréen. » C'est une estimation du gouvernement et du secteur de la sécurité, pas une décision définitive de justice.

Voir les chiffres — le montant baisse, mais…

Si le montant a baissé, ce n'est pas parce que le nombre d'attaques a diminué. Le premier semestre 2026 compte 207 incidents. TRM explique l'écart par le fait qu'« il y a eu moins de vols de grande ampleur dans le reste de l'écosystème qu'en 2025 ». L'organisme ajoute qu'« il ne faut pas confondre la baisse des montants dérobés avec un environnement devenu plus sûr ». Autrement dit, un total en baisse ne signifie pas une menace en baisse. C'est une valeur qui dépend de la survenue, ou non, d'un très gros incident.

Le débat : la menace recule-t-elle, ou devient-elle plus précise ?

Le secteur de la sécurité insiste sur un point : la baisse des montants ne doit pas se lire comme un recul de la menace. L'argument, c'est la structure décrite plus haut. Les compromissions d'infrastructure et d'exploitation ne représentent que 15% des incidents, mais 76% des montants. Cela veut dire que viser la gestion des clés et les personnes fait beaucoup plus de dégâts que chercher une faille dans le code.

À l'inverse, certains voient dans cette baisse le résultat des sanctions et du renforcement de la sécurité. Mais l'explication avancée dans la version précédente — « les plateformes d'échange ayant renforcé leur sécurité, les attaques se sont déplacées vers la DeFi (la finance décentralisée, des services financiers qui fonctionnent par programme, sans société intermédiaire) » — allait dans le sens inverse du document TRM cité : elle a été retirée. Dans son document de décembre 2025, TRM estime au contraire que les cibles nord-coréennes se sont déplacées des bridges (des services qui font le pont entre blockchains différentes) vers des services centralisés, plus vulnérables à la manipulation des personnes. La raison avancée : un service centralisé peut provoquer des pertes bien plus lourdes qu'un seul bridge. Au bout du compte, les documents publics disponibles aujourd'hui ne permettent pas de trancher sur la raison principale de la baisse des montants. Il faut aussi garder à l'esprit que la Corée du Nord dément ces analyses elles-mêmes.

La suite : que faut-il surveiller ?

Trois choses méritent d'être suivies. D'abord, savoir si l'observation de TRM (décembre 2025) sur le déplacement des cibles, des bridges vers les services centralisés, se confirme dans la durée. Ensuite, savoir si la part des compromissions d'infrastructure et d'exploitation reste aussi élevée. Si c'est le cas, la défense devra porter moins sur l'audit du code que sur la gestion des clés et sur la réponse aux manipulations visant les personnes de l'intérieur. Enfin, savoir si un très gros incident isolé réapparaît dans le comptage du second semestre.

Pour un particulier, il est difficile de choisir « le service le plus sûr » à partir de ces seules statistiques : il n'existe pas de données publiques permettant de comparer la part de stockage à froid (un portefeuille coupé d'Internet) d'une plateforme à l'autre. Dans son rapport semestriel, TRM recommande trois choses : la signature par matériel dédié, une gestion solide des clés, et l'approbation par plusieurs personnes lors des transferts de montants importants. Autrement dit, mieux vaut mettre le poids sur les contrôles qui protègent réellement l'argent que sur l'audit du code. Ce sont là des points qui relèvent de ce qu'un service doit mettre en place, et non de ce qu'un particulier peut choisir. Cet article ne recommande aucune décision d'investissement sur un service ou un actif en particulier.

Ce que cet article n'a pas pu vérifier

• Le rapport original de Blockaid — les chiffres de 55% et 74% ont été vérifiés par l'intermédiaire de l'article de VOA. Nous n'avons pas pu ouvrir le rapport publié directement par Blockaid. Il reste aussi à confronter au document d'origine le total : « environ 1,1 milliard de dollars » ou un montant de l'ordre de 1,07 milliard.
• La raison pour laquelle TRM a révisé la part arrêtée à avril — nous n'avons pas trouvé d'explication indiquant pourquoi les 76% du document du 30 avril sont devenus 71% dans celui du 1er juillet (révision du comptage ou changement de base de division).
• Le chiffre définitif pour l'année 2025 — TRM n'a indiqué qu'une limite basse, « au moins 1,5 milliard de dollars ». L'estimation de l'ordre de 2 milliards de dollars publiée par un autre organisme n'a pas pu être vérifiée, lors de cette correction, dans un document publié directement par cet organisme : elle a donc été retirée du texte.
• Les détails de l'incident Upbit de 2025 — le nombre de types d'actifs dérobés et le nombre d'adresses externes de destination n'ont pas pu être vérifiés, lors de cette relecture, dans un document publié directement par une institution : ils ont donc été retirés du texte.
• Le montant cumulé blanchi lié aux sanctions de l'OFAC — nous n'avons pas pu vérifier le texte original de l'avis de sanctions : il a donc été retiré du texte.

Cet article a été préparé par nuloq, avec l'aide d'outils d'IA, à partir des documents listés ci-dessus dans « Sources ». Lors de la correction du 11 septembre 2026, les documents réellement ouverts et lus sont : le rapport semestriel de TRM Labs du 1er juillet 2026, son document du 30 avril 2026, son document sur les tendances longues du 18 décembre 2025 et le communiqué du département du Trésor des États-Unis du 6 mai 2022. Le rapport original de Blockaid n'a pas pu être ouvert : les chiffres qui s'y rapportent sont donc tous donnés tels que rapportés par VOA. Lors de la correction complémentaire du 11 septembre 2026, nous avons rouvert le rapport semestriel de TRM du 1er juillet et son document du 18 décembre pour vérifier dans le texte d'origine les « environ 1,7 milliard de dollars » du premier semestre 2025, le « plus de 2,7 milliards de dollars », le « bien plus de la moitié » et les trois points de recommandation. L'analyse sur les auteurs relève de l'évaluation d'organismes d'enquête et n'a pas été établie définitivement par un tribunal. Les chiffres des comptages varient selon l'organisme et la date d'arrêté. Le but est d'informer, pas de servir de base à une décision d'investissement, et toute erreur constatée sera corrigée.