Corée Du Nord Derrière 89% Des Hacks Crypto 2026

Imaginez un acteur unique capable de siphonner près de neuf dixièmes des fonds volés dans les piratages de cryptomonnaies en une seule année. Ce n’est plus de la fiction. Selon les données fraîchement publiées par Chainalysis, les groupes liés à la Corée du Nord concentreraient environ 89 % des pertes signalées en 2026. Un pourcentage qui force le respect… et l’inquiétude.

La montée en puissance d’un acteur d’État dans le cyberespace crypto

Depuis plusieurs années, les spécialistes de la blockchain observent une évolution claire. Les opérations attribuées à Pyongyang ne se multiplient pas forcément en volume, mais elles gagnent en sophistication et en ampleur. En 2021, ces mêmes acteurs représentaient seulement 15 % des pertes. Aujourd’hui, le chiffre atteint presque 90 %. L’écart est abyssal.

Chainalysis a compilé les données jusqu’au 29 octobre 2026. Le constat est sans appel : sur l’ensemble des montants déclarés volés cette année, la part nord-coréenne domine largement. Et ce n’est pas qu’une question de proportion. La taille moyenne des attaques a aussi explosé. Chaque opération suspecte génère désormais des pertes bien plus élevées qu’il y a cinq ans.

Des chiffres qui donnent le vertige

Entre 2021 et fin octobre 2026, les opérations liées à la Corée du Nord auraient totalisé 13,24 milliards de dollars sur un ensemble de 22,34 milliards de pertes signalées. Cela représente déjà 59 % du total historique. Mais c’est surtout l’accélération récente qui impressionne.

En 2025, ces groupes avaient déjà volé 2,02 milliards de dollars, soit 51 % de plus que l’année précédente, et ce avec moins d’attaques. La logique est claire : moins de coups, mais des coups beaucoup plus lourds. L’attaque moyenne suspectée passe d’environ 50,65 millions de dollars en 2021 à près de 185,65 millions aujourd’hui. Un bond d’un facteur 3,7.

Ces chiffres ne sortent pas de nulle part. Ils s’inscrivent dans une stratégie de long terme. Pyongyang utilise depuis longtemps le cyberespace pour contourner les sanctions internationales et financer ses programmes prioritaires. Les cryptomonnaies, par leur nature frontière et leur rapidité de transfert, offrent un terrain de jeu idéal.

Des méthodes de plus en plus raffinées

Les chercheurs de Chainalysis décrivent des modes opératoires qui vont bien au-delà du simple piratage technique. On retrouve des travailleurs informatiques infiltrés au sein même de services crypto, des campagnes d’usurpation d’identité visant les dirigeants, et des attaques ciblées sur les processus de signature et les infrastructures de clés privées.

L’objectif n’est plus seulement de forcer une faille. Il s’agit souvent de tromper des signataires légitimes pour qu’ils valident eux-mêmes des transactions malveillantes. Cette approche hybride, mélangeant ingénierie sociale et technique, rend la détection bien plus complexe.

Dans le cas des plateformes centralisées, les points faibles restent les mêmes : les procédures de signature multi-signatures, les portefeuilles chauds mal isolés, et la confiance trop rapide accordée à certains collaborateurs. Les groupes nord-coréens semblent parfaitement maîtriser ces angles morts.

Le précédent Bybit et l’accélération de 2025

L’année 2025 avait déjà sonné l’alarme. Le piratage de Bybit, estimé à 1,5 milliard de dollars, avait à lui seul représenté une part massive des pertes de services. Chainalysis avait alors noté que les trois plus grandes attaques de l’année concentraient 69 % des fonds volés. La concentration du risque est devenue flagrante.

Cette dynamique s’est poursuivie et amplifiée en 2026. Les montants unitaires grimpent, les opérations se densifient, et les liens entre différentes attaques deviennent plus visibles pour les analystes blockchain.

L’attaque Binance d’octobre 2026, un tournant

Le 29 octobre 2026, Binance a annoncé une faille de sécurité d’une ampleur inédite. Les estimations initiales dépassaient déjà les 6 milliards de dollars. La plateforme a rapidement communiqué sur un montant affecté d’environ 6,3 milliards et s’est engagée à indemniser les utilisateurs via ses fonds propres et le Secure Asset Fund for Users.

Chainalysis a rapidement attribué cette opération au groupe TraderTraitor, déjà connu pour ses liens avec la Corée du Nord. L’élément le plus convaincant, selon les enquêteurs, réside dans le mélange observé entre les fonds volés chez Binance et ceux provenant de l’attaque contre Bitget survenue en septembre, elle aussi attribuée aux mêmes acteurs.

La connexion directe entre les deux pools de fonds volés constitue notre preuve la plus solide en faveur de l’attribution.

Équipe d’analyse Chainalysis

TRM Labs, de son côté, a confirmé l’attribution avec un niveau de confiance élevé. Le cabinet a évalué les transferts à 6,36 milliards de dollars en se basant sur les prix au moment du vol. Les fonds ont ensuite circulé sur une dizaine de blockchains distinctes.

Les préparatifs n’ont pas été improvisés. Les analystes ont repéré des mouvements dès 36 heures avant l’attaque : de petits retraits sur Tornado Cash, le déploiement de code malveillant et des répétitions de portefeuilles. Sur Ethereum, l’opération a reposé sur des autorisations pré-signées. Sur d’autres réseaux, il s’agissait de transferts ordinaires signés.

Le blanchiment automatisé sous la loupe

Une fois les fonds sortis, le schéma de dispersion a frappé les observateurs. Des milliers de transactions ont fait circuler les actifs entre de nombreuses adresses, parfois en revenant vers des portefeuilles déjà utilisés plus tôt dans la chaîne. Un motif répétitif a particulièrement attiré l’attention : de nombreuses adresses recevaient d’abord exactement 1 TRX avant d’accepter et de transférer des montants plus importants.

Ce type de séquence laisse penser à un processus largement automatisé. L’objectif est clair : diluer les fonds, multiplier les chemins et compliquer le traçage. Dans les premiers instants, alors que les stablecoins risquaient d’être gelés, les attaquants ont déplacé 500 millions de dollars de stablecoins vers un portefeuille de swap. En moins de vingt minutes, 325 millions ont été échangés contre 285 millions d’ETH. Les 175 millions restants ont été envoyés vers des adresses intermédiaires.

Binance a réagi en réservant plus de 6,34 milliards de dollars pour reconstituer les actifs affectés. La plateforme a également commencé à racheter des altcoins volés en utilisant du Bitcoin, de l’Ethereum et des stablecoins. Une démonstration de solidité financière, mais aussi un rappel du coût extrême que peuvent atteindre ces incidents.

La réponse diplomatique de Pyongyang

Le même jour où ces analyses circulaient, la Corée du Nord a publié une déclaration diplomatique par l’intermédiaire de KCNA. Un porte-parole anonyme du ministère des Affaires étrangères a rejeté une initiative multinationale visant à renforcer l’application des sanctions.

Les sanctions et les pressions peuvent fonctionner sur les faibles, mais jamais sur nous.

Porte-parole du ministère nord-coréen des Affaires étrangères

Cette déclaration faisait référence à un communiqué conjoint publié le 28 octobre par les États-Unis, l’Australie et l’Union européenne, rejoints par onze pays au total. Le texte ciblait explicitement les travailleurs nord-coréens à l’étranger, les activités cybernétiques malveillantes et la coopération militaire illégale avec la Russie.

Les signataires appelaient tous les membres des Nations unies à appliquer les résolutions existantes du Conseil de sécurité. Ils s’appuyaient notamment sur les rapports de l’équipe multilatérale de suivi des sanctions, créée après que la Russie a bloqué le renouvellement du précédent panel d’experts de l’ONU en 2024.

Le message de Pyongyang est sans ambiguïté. Les sanctions sont présentées comme inefficaces face à un régime qui affirme tenir bon. Dans le même temps, les chiffres de Chainalysis montrent que les flux de cryptomonnaies volées continuent d’alimenter, selon les analystes, les programmes prioritaires du pays.

Pourquoi les échanges restent des cibles privilégiées

Les plateformes centralisées concentrent d’énormes volumes d’actifs. Elles représentent donc des cibles logiques pour des acteurs à la recherche de liquidités importantes et relativement liquides. Malgré les progrès en matière de sécurité, les points de friction humains et organisationnels persistent.

Les processus de signature, la gestion des clés, la vérification des collaborateurs et la rapidité d’exécution des transactions restent des zones sensibles. Les groupes sophistiqués exploitent précisément ces interstices. Ils n’ont pas besoin de casser une cryptographie inviolable. Il leur suffit parfois de convaincre la bonne personne au bon moment.

Cette réalité explique en partie la concentration des pertes. Quelques incidents majeurs suffisent à faire grimper les statistiques annuelles de façon spectaculaire. Le reste des attaques, plus nombreuses mais de moindre ampleur, pèse relativement peu dans le total.

Les conséquences pour l’écosystème

Chaque gros piratage laisse des traces. Les plateformes touchées doivent rassurer leurs utilisateurs, reconstituer les fonds et renforcer leurs procédures. Les régulateurs, de leur côté, y voient un argument supplémentaire pour accélérer l’encadrement. Les investisseurs particuliers, eux, se posent des questions sur la solidité réelle des plateformes qu’ils utilisent.

Le cas Binance illustre parfaitement cette tension. La capacité de la plateforme à engager plus de six milliards de dollars pour couvrir les pertes est un signal fort de solidité. Mais elle montre aussi l’ampleur du risque systémique que représente une seule faille bien exploitée.

Pour les autres acteurs du marché, le message est clair. La menace n’est plus seulement le fait de groupes criminels opportunistes. Elle émane d’acteurs structurés, patient, et disposant de moyens techniques et humains importants. La défense doit donc être à la hauteur de cet adversaire.

Le rôle des outils d’analyse blockchain

Sans les travaux de cabinets comme Chainalysis ou TRM Labs, l’attribution de ces opérations resterait beaucoup plus floue. Le suivi des flux, l’identification des patterns de blanchiment et le rapprochement entre différentes attaques reposent sur une expertise technique pointue et sur des bases de données historiques solides.

Ces analyses ne se limitent pas à pointer du doigt. Elles permettent aussi de mieux comprendre les méthodes employées et d’alimenter les efforts de prévention. Quand un schéma de dispersion automatisée est identifié, d’autres plateformes peuvent renforcer leurs systèmes de détection en conséquence.

La transparence relative de la blockchain joue ici un rôle ambivalent. Elle facilite le traçage a posteriori, mais elle n’empêche pas les fonds de circuler rapidement vers des destinations plus opaques. Le jeu du chat et de la souris continue.

Une stratégie d’État assumée

Les autorités nord-coréennes ne reconnaissent évidemment aucune implication. Pourtant, la cohérence des attributions au fil des années, la sophistication croissante des opérations et le contexte diplomatique convergent vers une même lecture. Les revenus générés par ces vols contribuent, selon de nombreux experts, à contourner les restrictions financières internationales.

Dans ce cadre, chaque milliard volé n’est pas seulement une perte pour les utilisateurs et les plateformes. C’est aussi une ressource potentielle pour un régime soumis à un régime de sanctions particulièrement strict. La dimension géopolitique de ces hacks est donc impossible à ignorer.

Les déclarations récentes de Pyongyang, qui rejettent frontalement les pressions internationales, renforcent cette lecture. Le message est celui d’un pays qui refuse de céder et qui continue de chercher des voies alternatives de financement.

Ce que les utilisateurs peuvent retenir

Pour l’utilisateur moyen, ces événements rappellent l’importance de quelques principes de base. La diversification des plateformes, l’utilisation de solutions de stockage à froid pour les montants importants, et la vigilance face aux tentatives d’ingénierie sociale restent des réflexes essentiels.

Les plateformes, de leur côté, n’ont d’autre choix que d’investir massivement dans la sécurité, la formation des équipes et la détection des anomalies. Les montants en jeu sont tels qu’une seule faille peut mettre en péril la confiance de toute une base d’utilisateurs.

Vers une nouvelle normalité du risque

Le fait qu’un seul acteur d’État concentre désormais la quasi-totalité des pertes annuelles change la nature du débat. On n’est plus seulement face à une criminalité opportuniste. On est face à une menace structurée, persistante et capable de frapper très fort.

Cette réalité oblige l’ensemble de l’écosystème à revoir ses priorités. Les budgets de sécurité, les protocoles de validation, les procédures de recrutement et de contrôle interne doivent intégrer ce niveau de menace. Les régulateurs, eux, devront trouver un équilibre entre protection des utilisateurs et préservation de l’innovation.

Les prochains mois diront si les mesures prises après les attaques de 2025 et 2026 suffisent à freiner cette dynamique. Pour l’instant, les chiffres publiés par Chainalysis montrent qu’aucun ralentissement n’est encore visible. Au contraire, l’intensité des opérations semble s’accroître.

Un enjeu qui dépasse largement le secteur crypto

Au-delà des plateformes et des investisseurs, ces vols interrogent la capacité de la communauté internationale à faire respecter les sanctions. Quand des milliards circulent malgré les restrictions, la crédibilité des mécanismes de contrôle est en jeu.

Les déclarations conjointes des pays occidentaux et de leurs alliés montrent une volonté de maintenir la pression. Mais les réponses de Pyongyang indiquent que le régime estime pouvoir continuer sur sa lancée. Le bras de fer se poursuit donc sur plusieurs fronts : diplomatique, économique et désormais cyber.

Dans ce contexte, la blockchain apparaît à la fois comme un outil de transparence et comme un vecteur de contournement. Cette dualité restera au cœur des débats dans les années à venir.

Regard sur les mois à venir

Les analystes continueront de suivre de près les mouvements de fonds liés aux dernières attaques. Chaque nouvelle vague de blanchiment, chaque rapprochement entre différentes opérations, apportera des éléments supplémentaires sur les méthodes employées.

De leur côté, les plateformes majeures ont tout intérêt à accélérer le partage d’informations sur les menaces. La coordination entre acteurs privés et autorités devient un enjeu de sécurité collective. Personne ne peut prétendre être à l’abri d’une opération aussi bien préparée que celle qui a frappé Binance.

Le chiffre de 89 % restera longtemps dans les esprits. Il incarne à lui seul la montée en puissance d’une menace d’un genre particulier. Une menace qui ne cherche pas seulement le profit, mais qui s’inscrit dans une logique géopolitique plus large.

L’écosystème crypto a déjà surmonté de nombreuses crises. Celle-ci a une dimension différente. Elle rappelle que la sécurité n’est jamais un acquis et que les adversaires les plus déterminés savent s’adapter plus vite que beaucoup ne l’imaginent. Les prochains rapports de Chainalysis et des autres cabinets spécialisés diront si la tendance s’inverse ou si elle s’installe durablement.

En attendant, les utilisateurs, les plateformes et les régulateurs devront composer avec une réalité nouvelle : une part écrasante des pertes annuelles est désormais le fait d’un acteur unique, organisé, et peu sensible aux pressions traditionnelles. Cette situation force à repenser les priorités de sécurité à tous les niveaux.

Les données publiées fin octobre 2026 ne sont pas qu’un simple bilan. Elles constituent un signal d’alarme. Un signal que l’industrie ne peut plus se permettre d’ignorer.