La Corée du Nord a capté les deux tiers des piratages crypto en 2026

Le groupe de piratage soutenu par un État le plus efficace au monde reste nord-coréen — les chiffres de cette année le confirment encore.

Ce qui s'est passé

Un rapport de la société d'analyse blockchain TRM Labs, basée à San Francisco, montre que sur les quelque 1,1 milliard de dollars dérobés dans le monde par piratage de cryptomonnaies au premier semestre 2026, 643 millions de dollars sont attribués à des pirates liés à la Corée du Nord — une part de 55 à 66% selon le calcul retenu ; limitée aux quatre premiers mois de l'année, cette part grimpe même à 76%.

• Le 1er avril, 285 millions de dollars ont été siphonnés de Drift, une plateforme de contrats à terme décentralisée basée sur Solana.
• Plus tard dans le mois, 292 millions de dollars supplémentaires ont été dérobés à KelpDAO, un protocole de prêt basé sur Ethereum.
• Ces deux seules attaques représentent environ 90% du butin nord-coréen de 643 millions de dollars — quelques frappes massives et précises plutôt que de nombreuses petites attaques.
• Sur l'ensemble des piratages crypto, 789 millions de dollars — 74% des pertes totales — proviennent de vols de clés privées plutôt que de failles de code, les attaquants ciblant de plus en plus la gestion des clés et les employés via l'ingénierie sociale.

Ces attaques sont attribuées à Lazarus, le groupe de piratage lié au Bureau général de reconnaissance nord-coréen, et à sa sous-unité TraderTraitor. La Corée du Nord conteste publiquement l'attribution de TRM Labs.

Pourquoi cet argent compte — le contexte

TRM Labs et le Trésor américain estiment tous deux qu'une part substantielle des cryptomonnaies volées par la Corée du Nord finance ses programmes nucléaire et balistique. Les sanctions internationales bloquant les circuits normaux de devises fortes, le piratage de cryptomonnaies est devenu de facto un contournement. L'an dernier, l'Office of Foreign Assets Control (OFAC) du Trésor américain a sanctionné des individus et entités liés au réseau de blanchiment cybernétique nord-coréen, estimant qu'ils avaient blanchi plus de 3 milliards de dollars via des piratages et des programmes de travailleurs informatiques expatriés.

La trajectoire parle d'elle-même. Selon TRM Labs, la Corée du Nord a dérobé un cumul de 6,75 milliards de dollars d'actifs numériques depuis 2016. Jusqu'au troisième trimestre 2023, sa part des pertes mondiales liées aux piratages crypto était de 29,7% (340,4 millions de dollars) ; en 2025, elle est passée à environ 60% d'un total mondial de 2,06 milliards de dollars — portée en grande partie par le vol d'environ 1,5 milliard de dollars sur la plateforme Bybit en février 2025, toujours le plus important piratage crypto isolé jamais enregistré.

La Corée du Sud en a fait l'expérience directe. Upbit, la plus grande plateforme du pays, a perdu l'équivalent de 58 milliards de wons en Ethereum au profit de Lazarus en 2019, avant d'être visée à nouveau le 27 novembre 2025, lorsque 24 types d'actifs cryptographiques d'une valeur de 44,5 milliards de wons — dont du Solana — ont été transférés vers 165 adresses externes. Les autorités et les chercheurs en sécurité ont désigné Lazarus dans les deux cas.

Les chiffres

En ne regardant que le total du premier semestre 2026, le montant est en fait en baisse par rapport à l'an dernier.

Une grande partie de cette baisse s'explique par l'absence d'un événement isolé aussi massif que le piratage de Bybit en 2025 (1,5 milliard de dollars), plutôt que par une diminution du nombre d'attaques. La part de la Corée du Nord dans le total mondial reste, elle, dominante.

Le débat — la menace recule-t-elle ou se précise-t-elle ?

TRM Labs et d'autres chercheurs en sécurité mettent en garde contre l'idée de lire la baisse en dollars comme un signe d'affaiblissement de la menace. Plusieurs signaux pointent dans l'autre sens : 74% des pertes totales proviennent de vols de clés privées et d'ingénierie sociale plutôt que de failles de code, et des chercheurs ont trouvé des indices d'utilisation d'outils d'IA dans la reconnaissance derrière des attaques comme celles de Drift et KelpDAO. La lecture qui domine : les opérations sont passées de sondages indiscriminés à des frappes de précision sur un nombre réduit de cibles.

D'autres attribuent la baisse à de meilleures défenses : les plateformes ont transféré davantage d'avoirs vers le stockage à froid et adopté des contrôles multi-signatures, rendant les intrusions directes plus difficiles — poussant les attaquants vers des protocoles DeFi moins sécurisés. Le déni de la Corée du Nord quant à l'attribution de TRM Labs entretient par ailleurs un autre débat, sur la solidité des évaluations de menace sur lesquelles s'appuie la réponse internationale.

Ce qu'il faut surveiller

Trois éléments méritent d'être suivis. D'abord, vers où se déplacent les cibles — des plateformes centralisées vers la DeFi, puis vers le segment le moins sécurisé du moment. Ensuite, l'ampleur réelle du recours à l'IA dans la reconnaissance et l'ingénierie sociale — de quoi forcer une refonte des stratégies de détection et de défense. Enfin, si de nouvelles sanctions et une coordination internationale renforcée réduisent réellement les montants effectivement volés et blanchis.

Pour la Corée du Sud, le simple fait qu'Upbit ait été visée à deux reprises constitue un avertissement. Les utilisateurs de plateformes et services DeFi nationaux devraient privilégier les services dotés d'une authentification multifacteur robuste et d'une forte proportion de stockage à froid, et rester attentifs aux alertes de transactions inhabituelles lors de retraits importants. Côté gouvernement et industrie, la défense contre le vol de clés privées et l'ingénierie sociale ciblant les employés apparaît comme la prochaine ligne de front.

Cet article est une analyse propre à nuloq fondée sur le rapport de TRM Labs et les informations publiques listées en Sources, rédigée avec l'aide d'outils d'IA. Il est fourni à titre d'information uniquement, sans valeur de conseil en investissement, et les chiffres sous-jacents peuvent varier selon l'institut de recherche et la date d'arrêté. Toute erreur constatée sera corrigée.