Lazarus Group Transfère 19,4 M$ En Bitcoin

Et si l’un des acteurs les plus redoutés de l’écosystème crypto venait de se rappeler à notre souvenir de la manière la plus concrète qui soit ? Ce 28 août 2026, des analystes on-chain ont repéré un mouvement de 244,148 Bitcoin, évalu environ 19,42 millions de dollars au moment de la transaction. Derrière ces chiffres se cache le nom que tout le monde préfère éviter : le Lazarus Group, longuement associé aux opérations cybernord-coréennes. Le simple fait que ces portefeuilles se soient remis en mouvement suffit à relancer les questions sur la traçabilité des fonds volés, la capacité des autorités à bloquer les flux et la vulnérabilité persistante des plateformes d’échange.

Un retour remarqué sur la blockchain

Lookonchain a signalé l’opération dans un message publié le 28 août. Selon ces observations, des adresses attribuées au groupe ont transféré 244,148 BTC environ une heure avant l’alerte. Au moment où le prix du Bitcoin évoluait autour de 79 500 dollars, la valeur de l’opération atteignait précisément 19,42 millions de dollars. Aucune destination n’a été précisée dans le texte de l’alerte : on ignore si les fonds ont rejoint un exchange, un mixeur ou simplement un autre portefeuille contrôlé par les mêmes opérateurs.

Cette absence d’information publique change tout. Un transfert de portefeuille à portefeuille ne signifie pas nécessairement une tentative de cash-out. La blockchain enregistre les mouvements avec une transparence presque brutale, mais l’attribution d’une adresse à une organisation repose encore largement sur le travail d’analystes spécialisés et d’entreprises de renseignement on-chain. Sans destination claire, impossible de conclure à une vente ou à une conversion en monnaie fiduciaire.

Ce n’est d’ailleurs pas le premier mouvement d’envergure signalé en août. Douze jours plus tôt, le 12 août, le même compte d’analyse avait rapporté le transfert de 262,2 BTC, alors valorisés autour de 16,64 millions de dollars, vers une adresse nouvellement créée. Là encore, il s’agissait d’un simple déplacement interne plutôt que d’une vente ouverte. Cumulés, ces deux mouvements d’août dépassent les 36 millions de dollars en Bitcoin. Personne n’a cependant confirmé qu’ils provenaient du même stock de liquidités ni qu’ils poursuivaient le même objectif.

Pourquoi la destination des fonds reste l’élément clé

L’historique des portefeuilles liés au groupe montre à quel point le lieu d’arrivée des bitcoins compte. En mars 2025, cinq adresses inconnues avaient reçu un total de 44,07 BTC, soit environ 3,76 millions de dollars à l’époque, provenant de wallets attribués à Lazarus. Ces sorties avaient fait chuter le solde suivi à 13 441 BTC. Chaque déplacement réduit le volume visible dans les adresses surveillées et complique le travail des enquêteurs.

Les analystes le répètent régulièrement : tant que les fonds restent dans un réseau de portefeuilles contrôlés, ils peuvent être déplacés, divisés ou regroupés sans jamais apparaître sur une plateforme réglementée. Le moment où ils tentent de rejoindre un exchange ou un service de mixage devient alors le point de friction le plus intéressant pour les autorités et les entreprises de compliance.

Le poids de l’affaire Bybit dans le contexte actuel

Impossible d’évoquer ces mouvements sans revenir sur le vol historique de Bybit. En février 2025, l’exchange avait subi une attaque attribuée par le FBI à des acteurs nord-coréens opérant sous le nom de TraderTraitor. Le préjudice s’élevait à 1,5 milliard de dollars. Une partie des actifs avait été convertie en Bitcoin et dispersée sur des milliers d’adresses à travers plusieurs blockchains.

Le 7 août 2026, Bybit a engagé une action civile devant un tribunal fédéral de Washington. L’entreprise vise la Corée du Nord, le Lazarus Group et le Reconnaissance General Bureau, principal service de renseignement du pays selon le Trésor américain. Un juge a rendu une injonction préliminaire interdisant aux défendeurs non identifiés de transférer, vendre ou disposer de certains actifs liés à l’affaire. Cette mesure conserve le statut quo pendant la procédure ; elle ne constitue en aucun cas un jugement définitif sur la propriété ou la responsabilité.

Le FBI anticipait déjà que les actifs seraient déplacés à nouveau avant d’être éventuellement échangés contre des monnaies nationales.

Alerte publique du FBI après l’attaque Bybit

Dans son alerte, le bureau demandait explicitement aux exchanges, aux ponts, aux services DeFi, aux sociétés d’analyse blockchain et aux opérateurs de nœuds de bloquer les transactions impliquant les adresses identifiées. En avril 2025, le PDG de Bybit, Ben Zhou, indiquait que 27,6 % des fonds volés n’étaient plus traçables. La dispersion massive sur de nombreux wallets Bitcoin avait rendu le suivi beaucoup plus complexe.

À ce jour, Lookonchain n’a établi aucun lien public entre le transfert du 28 août et le vol Bybit. Aucune agence gouvernementale ni aucune société de renseignement blockchain n’a non plus identifié publiquement l’origine exacte des 244 BTC concernés.

Une année 2025 particulièrement lucrative pour les hackers nord-coréens

Les chiffres de Chainalysis donnent la mesure de l’ampleur du phénomène. L’entreprise estimait que les acteurs nord-coréens avaient volé au moins 2,02 milliards de dollars en cryptomonnaies au cours de l’année 2025, soit une hausse de 51 % par rapport à l’année précédente. Le cumul historique atteignait alors au minimum 6,75 milliards de dollars.

Toujours selon ce rapport de décembre 2025, les opérations nord-coréennes représentaient 76 % de la valeur totale perdue dans les attaques contre les services crypto cette année-là. Les attaquants auraient multiplié les montants extraits par opération réussie tout en réduisant le nombre d’incidents confirmés. Une stratégie qui privilégie la qualité et l’impact financier plutôt que la quantité d’attaques.

Chainalysis soulignait également un changement de méthode. Les opérateurs se tournaient de plus en plus vers l’ingénierie sociale et l’accès interne. Certains se faisaient passer pour des candidats à un poste afin de pénétrer des entreprises crypto. D’autres simulaient des offres de recrutement pour des sociétés Web3 ou d’intelligence artificielle connues. L’objectif restait le même : obtenir un accès légitime avant de déclencher le vol.

L’attaque KelpDAO de 2026 : une illustration récente

En avril 2026, une nouvelle opération a frappé KelpDAO. Environ 116 500 rsETH, valorisés autour de 292 millions de dollars, ont été drainés via le pont basé sur LayerZero. LayerZero a attribué l’attaque avec un niveau de confiance préliminaire à l’unité TraderTraitor du Lazarus Group.

Selon Chainalysis, les attaquants avaient compromis l’infrastructure qui fournissait les informations blockchain au système de vérification de LayerZero. En injectant de fausses données, ils ont provoqué le déblocage d’actifs sur un contrat Ethereum sans qu’aucun brûlage de tokens correspondant n’ait eu lieu sur le réseau source. Une intervention rapide a permis de bloquer une seconde tentative d’environ 95 millions de dollars. Le conseil de sécurité d’Arbitrum a également gelé plus de 30 000 ETH liés aux transactions aval des attaquants.

En juin, les analyses montraient que l’attaquant de KelpDAO avait déjà fait passer environ 220 millions de dollars d’actifs non gelés par des services de confidentialité. Les routes empruntées comprenaient THORChain, Wasabi, Tornado Cash et Umbra. Environ 1,7 million de dollars restaient encore dans les portefeuilles d’origine.

Le cadre des sanctions américaines

Depuis septembre 2019, le Bureau de contrôle des avoirs étrangers du Trésor américain (OFAC) a placé le Lazarus Group sous sanctions dans le cadre d’un décret visant le gouvernement nord-coréen. Lazarus, Bluenoroff et Andariel ont été identifiés comme des groupes de pirates informatiques contrôlés par l’État et liés au Reconnaissance General Bureau.

Cette désignation entraîne des conséquences concrètes. Tout bien appartenant à Lazarus qui entre aux États-Unis ou tombe sous le contrôle d’une personne américaine doit être bloqué et signalé à l’OFAC. Les réglementations interdisent de manière générale aux ressortissants américains de réaliser des transactions avec les entités sanctionnées, sauf autorisation spécifique de l’agence.

Le Trésor a rappelé que le groupe avait ciblé des gouvernements, des institutions financières, des médias, des industriels, des opérateurs d’infrastructures et des entreprises de cryptomonnaies. Parmi les opérations historiques attribuées figurent le piratage de Sony Pictures en 2014 et l’attaque ransomware WannaCry qui avait touché des ordinateurs dans au moins 150 pays.

Les autorités américaines ont également agi contre des services utilisés pour blanchir des fonds. En 2022, le Trésor a sanctionné le mixeur Blender.io après avoir établi qu’il avait traité plus de 20,5 millions de dollars provenant du vol d’environ 620 millions de dollars sur le réseau Ronin. Le FBI a ensuite attribué cette attaque au Lazarus Group et à APT38.

En août 2023, le FBI avait déjà mis en garde les entreprises crypto contre des mouvements de Bitcoin volés par les acteurs TraderTraitor. L’agence estimait alors que le groupe pourrait tenter de liquider plus de 40 millions de dollars en Bitcoin et avait publié six adresses de portefeuilles à surveiller.

Ce que ces transferts révèlent sur l’état de la traçabilité

La transparence de la blockchain reste à double tranchant. D’un côté, chaque mouvement est public et horodaté. De l’autre, la capacité à relier une adresse à un acteur concret dépend encore d’un travail d’analyse humain et d’outils spécialisés. Les labels attribués par les sociétés de renseignement on-chain ne sont pas infaillibles, mais ils constituent aujourd’hui la base de la plupart des alertes publiques.

Les groupes comme Lazarus ont parfaitement compris cette dynamique. En multipliant les adresses, en passant par des ponts inter-chaînes et en utilisant des services de confidentialité, ils allongent considérablement le temps nécessaire pour suivre les fonds. Chaque étape supplémentaire dilue la certitude et augmente le coût de l’enquête.

Les plateformes d’échange et les services DeFi se retrouvent ainsi en première ligne. Dès qu’une adresse signalée tente d’interagir avec un service réglementé, les outils de conformité doivent réagir. Le problème est que les attaquants disposent souvent d’un réseau dense de wallets intermédiaires avant d’atteindre ces points de friction.

Les implications pour les investisseurs et les plateformes

Pour un investisseur individuel, le risque direct d’un tel transfert reste limité. Ces mouvements se déroulent généralement loin des marchés publics. En revanche, ils rappellent que la sécurité des exchanges et des protocoles DeFi n’est jamais acquise. Les montants en jeu dans les attaques réussies atteignent désormais des centaines de millions, voire des milliards de dollars.

Les plateformes, elles, doivent renforcer en permanence leurs mécanismes de détection. Les listes d’adresses fournies par le FBI ou les sociétés d’analyse deviennent des outils de screening indispensables. Mais la vitesse à laquelle les fonds sont dispersés impose une réactivité quasi immédiate.

Sur le plan réglementaire, chaque nouvel incident renforce la pression sur les législateurs. Les sanctions existent déjà. Leur efficacité dépend cependant de la capacité des acteurs privés à les appliquer et de la coordination internationale. Les mixeurs et les protocoles de confidentialité restent des points de tension majeurs entre le droit à la vie privée et la lutte contre le blanchiment.

Une stratégie qui évolue sans cesser d’être efficace

Ce qui frappe dans le parcours du Lazarus Group, c’est la capacité d’adaptation. Après les vols d’envergure sur les bridges et les exchanges, les méthodes se sont orientées vers l’infiltration par ingénierie sociale. L’attaque KelpDAO a ensuite montré que la compromission d’infrastructures de données oracles ou de systèmes de vérification pouvait générer des gains massifs avec une sophistication technique élevée.

Les mouvements de Bitcoin observés en août 2026 s’inscrivent dans cette continuité. Même si leur origine exacte n’est pas encore établie publiquement, ils confirment que les portefeuilles attribués au groupe restent actifs et que les montants en jeu restent importants. Chaque transfert maintient la pression sur les équipes de compliance et sur les autorités.

La question n’est plus de savoir si ces acteurs continueront à opérer. Elle porte plutôt sur la capacité de l’écosystème à réduire le temps entre le vol initial et le gel des fonds, et sur la possibilité de rendre les cash-out de plus en plus coûteux et risqués.

Le rôle central des sociétés d’analyse on-chain

Lookonchain, Chainalysis et d’autres acteurs jouent aujourd’hui un rôle d’alerte précoce. Sans leurs labels et leurs publications, de nombreux mouvements resteraient invisibles pour le grand public. Ces entreprises croisent des données de transactions, des patterns comportementaux et des informations ouvertes pour attribuer des clusters d’adresses à des organisations connues.

Cette activité n’est pas sans limites. Une attribution peut être contestée ou affinée avec le temps. Pourtant, elle constitue actuellement le meilleur outil disponible pour suivre des acteurs étatiques qui opèrent en dehors de tout cadre légal traditionnel. Les alertes publiques servent aussi d’avertissement aux plateformes et aux utilisateurs.

Dans le cas précis du 28 août, l’absence de destination divulguée laisse le champ libre aux interprétations. Certains y verront une simple réorganisation interne de liquidités. D’autres y liront une préparation à un futur cash-out. Seul le suivi des adresses de destination permettra de trancher dans les semaines ou les mois à venir.

Ce que l’on peut raisonnablement attendre dans les prochains mois

Plusieurs scénarios restent ouverts. Les 244 BTC peuvent rester dormants dans de nouveaux portefeuilles pendant de longues périodes. Ils peuvent aussi être fractionnés et dirigés progressivement vers des services de mixage ou des bridges. Une partie pourrait tenter de rejoindre des exchanges situés dans des juridictions moins regardantes sur les sanctions.

Les autorités américaines, de leur côté, poursuivront probablement le travail d’identification et de gel lorsque cela est techniquement possible. L’injonction obtenue par Bybit montre que les procédures civiles peuvent compléter les enquêtes pénales. La coopération avec les plateformes reste cependant indispensable pour transformer une alerte en action concrète.

Pour l’écosystème crypto dans son ensemble, ces événements rappellent une réalité persistante : tant que des acteurs étatiques y voient une source de financement, les attaques de grande ampleur resteront une menace structurelle. Les progrès en matière de sécurité et de conformité existent, mais ils se heurtent à une adversité déterminée et bien financée.

Une leçon plus large sur la nature des fonds volés

Les bitcoins déplacés le 28 août ne sont peut-être pas issus du vol Bybit. Ils pourraient provenir d’autres opérations plus anciennes ou plus récentes. Cette incertitude elle-même est instructive. Une fois qu’un actif entre dans le circuit des portefeuilles attribués à un groupe sanctionné, il devient difficile de le distinguer clairement des autres liquidités du même cluster.

Cette porosité complique le travail des enquêteurs et des plateformes. Elle explique aussi pourquoi les autorités publient régulièrement des listes d’adresses à surveiller. Chaque nouveau mouvement peut révéler des connexions jusqu’alors invisibles entre différents stocks de fonds volés.

Au final, le transfert de 19,4 millions de dollars n’est pas un événement isolé. Il s’inscrit dans une série longue et continue d’opérations qui ont déjà déplacé plusieurs milliards de dollars hors de l’écosystème légitime. Chaque alerte on-chain maintient la pression et rappelle que la bataille pour la traçabilité est loin d’être terminée.

Les prochaines semaines diront si ces 244 Bitcoin rejoignent des services de conversion ou restent dans l’ombre des portefeuilles privés. En attendant, le simple fait qu’ils se soient remis en mouvement suffit à relancer l’attention sur l’un des acteurs les plus déterminés de la cybercriminalité étatique liée aux cryptomonnaies.

Dans un secteur où la confiance repose en partie sur la capacité à suivre et à geler les flux illicites, chaque nouveau transfert de cette envergure constitue un test grandeur nature. Les outils d’analyse progressent. Les méthodes des attaquants évoluent en parallèle. L’équilibre reste fragile, et le Lazarus Group continue de démontrer qu’il sait en tirer parti.