Hack Upbit : Lazarus Serait-Il Derrière les 36M$ Volés ?

Imaginez-vous réveiller un matin et découvrir que 36 millions de dollars se sont volatilisés de l’un des plus gros exchanges d’Asie. Pas d’alarme, pas de sirène, juste un trou béant dans les portefeuilles chauds. C’est exactement ce qui est arrivé à Upbit le 27 novembre 2025. Et moins de vingt-quatre heures plus tard, les autorités sud-coréennes ont déjà un nom sur les lèvres : Lazarus.

Ce n’est pas la première fois que ce groupe fait parler de lui. Loin de là. Lazarus, c’est la Rolls-Royce du piratage d’État, le commando cyber de la Corée du Nord que même le FBI redoute. Et quand Séoul pointe du doigt Pyongyang aussi rapidement, on sait que l’affaire est sérieuse.

Un hold-up éclair qui rappelle les grandes heures de Lazarus

Reprenons depuis le début. Dans la nuit du 26 au 27 novembre, les systèmes d’Upbit détectent des mouvements suspects. Des retraits massifs, parfaitement orchestrés, vident plusieurs portefeuilles en quelques minutes seulement. Le butin ? Environ 36 millions de dollars, majoritairement en Solana et autres altcoins liquides. Un montant énorme, mais presque « raisonnable » quand on connaît l’appétit du groupe Lazarus.

Car oui, ces mêmes hackers avaient déjà fait bien pire. Rappelons-nous février 2025 : Bybit perdait 1,4 milliard de dollars dans ce qui reste, à ce jour, le plus gros hack de l’histoire crypto. Les enquêteurs d’Arkham Intelligence et de Chainalysis n’avaient pas hésité une seconde : signature Lazarus à 100 %.

Et là, rebelote. Même vitesse d’exécution, même choix des tokens les plus liquides, même technique de dispersion sur des dizaines de wallets temporaires. CertiK, la société spécialisée dans l’audit blockchain, l’a dit sans détour : « Le modus operandi est identique à celui observé lors des attaques précédemment attribuées à Lazarus ».

<…) La rapidité et la précision des mouvements on-chain ne laissent guère de place au doute. Nous avons affaire à des professionnels d’État. »
– Rapport préliminaire CertiK, 28 novembre 2025

Pourquoi Lazarus frappe encore (et encore) les exchanges coréens

La Corée du Sud, c’est un peu le paradis des cryptomonnaies en Asie. Upbit et Bithumb trustent ensemble plus de 80 % du volume national. Un terrain de chasse idéal pour Pyongyang, qui a un besoin vital de devises étrangères.

Depuis que les sanctions internationales ont asphyxié l’économie nord-coréenne, le régime de Kim Jong-un a trouvé dans le hacking crypto une manne financière inespérée. Selon le rapport 2025 du panel d’experts de l’ONU, Lazarus aurait déjà détourné plus de 4 milliards de dollars en cryptomonnaies depuis 2017. De quoi financer une bonne partie du programme balistique et nucléaire.

Le mode opératoire : une machine de guerre bien huilée

Ce qui impressionne le plus, c’est la sophistication. On n’est plus face à des script-kiddies qui tentent leur chance. Lazarus, c’est :

• Des ingénieurs formés dans les meilleures universités nord-coréennes
• Des agents infiltrés en Chine et en Asie du Sud-Est pour opérer en toute discrétion
• Un accès à des zero-days achetés sur le darknet ou développés en interne
• Une logistique digne d’une agence de renseignement

Le hack d’Upbit n’a pas été un coup de chance. Les attaquants ont probablement passé des mois à cartographier les systèmes de la plateforme, à identifier les employés vulnérables au phishing, à tester des exploits sur des environnements de staging. Quand ils ont frappé, tout était déjà prêt.

Et le pire ? Ils recommenceront. Tant que les exchanges centralisés garderont des portefeuilles chauds avec des centaines de millions, ils resteront des cibles prioritaires.

Upbit : une sécurité pourtant réputée solide

Upbit n’est pas un petit exchange de province. C’est le leader incontesté en Corée du Sud, avec des volumes quotidiens qui dépassent souvent plusieurs milliards de dollars. La plateforme a toujours mis en avant sa sécurité : 70 % des fonds en cold storage, audits réguliers, partenariat avec des firmes comme Custodia…

Alors comment est-ce possible ?

Plusieurs hypothèses circulent déjà :

• Compromission d’une clé privée via un employé (social engineering)
• Exploitation d’une faille dans un outil tiers (fournisseur de wallet, API)
• Attaque de type « supply chain » sur un partenaire
• Accès physique ou malware persistant depuis plusieurs mois

Pour l’instant, Upbit reste étrangement silencieux sur les détails techniques. Le communiqué officiel parle juste d’« incident de sécurité » et promet un rapport complet « dans les prochains jours ». Mais dans le milieu, tout le monde sait que la transparence arrive rarement avant plusieurs semaines.

La réaction des marchés : une panique contenue (pour l’instant)

Étonnamment, le Bitcoin et les grandes cryptos n’ont pas trop souffert. Une baisse de 2-3 % dans les heures qui ont suivi, vite rattrapée. Faut dire que 36 millions, dans un marché qui pèse plus de 3 000 milliards, c’est presque une goutte d’eau.

Mais pour Solana, la pilule est plus dure à avaler. Une grande partie des fonds volés l’étaient en SOL, et le token a perdu près de 8 % en quelques heures. Les investisseurs se souviennent encore du chaos post-FTX. Un nouveau gros hack, même « limité », ça fait toujours tache.

Et maintenant ? Vers une chasse à l’homme on-chain

Les enquêteurs sont déjà à pied d’œuvre. Chainalysis, Elliptic, TRM Labs… tous les grands noms du tracking blockchain suivent les fonds à la trace. Et Lazarus, aussi doué soit-il, laisse toujours des miettes.

Le schéma est presque toujours le même :

1. Dispersion immédiate sur des milliers de wallets
2. Passage par Tornado Cash, Railgun ou d’autres mixers
3. Conversion en USDT sur des exchanges décentralisés
4. Transfert vers des plateformes chinoises ou sud-est asiatiques peu regardantes
5. Retrait final en cash via des mules

Cette fois, les autorités sud-coréennes semblent déterminées à frapper fort. Le ministre de la Justice a déjà promis que « ceux qui ont aidé, même indirectement, à blanchir ces fonds seront poursuivis sans relâche ».

Ce que ça nous dit sur l’état de la sécurité crypto en 2025

Triste constat : malgré les milliards investis, malgré les leçons du passé, les exchanges centralisés restent des coffres-forts avec des portes dérobées. Ronin, Binance (2019), KuCoin, Bybit, et maintenant Upbit… la liste s’allonge chaque année.

Et pendant ce temps, les hackers d’État, eux, progressent plus vite que les défenses. L’asymétrie est terrifiante : il suffit d’une seule faille pour tout perdre, alors qu’il faut une sécurité parfaite 100 % du temps.

« On n’arrivera jamais à stopper Lazarus à 100 %. La seule solution viable, c’est que les utilisateurs quittent massivement les plateformes centralisées. »
– ZachXBT, enquêteur on-chain reconnu

Provocateur ? Peut-être. Mais quand on voit que même les exchanges les plus solides du marché se font plumer comme des débutants, on commence à se poser de sérieuses questions sur le modèle même du CEX.

Conclusion : un réveil brutal pour toute l’industrie

Le hack d’Upbit n’est pas juste une mauvaise nouvelle pour les clients coréens. C’est un signal d’alarme retentissant pour toute la crypto. Tant que des États entiers feront du hacking leur industrie nationale, personne ne sera à l’abri.

Alors oui, les enquêteurs finiront probablement par confirmer que Lazarus est bien derrière cette attaque. Oui, une partie des fonds sera gelée. Mais le mal sera fait. Et dans six mois, un autre exchange tombera. C’est malheureusement la nouvelle norme.

La seule question qui reste : qui sera le prochain ?