Imaginez-vous réveiller un matin et découvrir que 30,4 millions de dollars de cryptomonnaies se sont évaporés d’une des plateformes les plus réputées d’Asie. C’est exactement ce qui est arrivé aux utilisateurs d’Upbit cette semaine. Et le pire ? Les premiers indices désignent un vieux connu du secteur : le groupe Lazarus, ces pirates informatiques financés par la Corée du Nord.
Lazarus frappe encore : Upbit victime d’un vol éclair de 30 millions
Jeudi 27 novembre 2025, Upbit détecte une activité anormale sur ses hot wallets. En quelques minutes, l’équipe de sécurité suspend tous les dépôts et retraits. Trop tard : 30,4 millions de dollars en cryptomonnaies ont déjà été siphonnés. L’exchange sud-coréen, qui domine plus de 80 % du volume national, vient de subir sa deuxième attaque la plus grave depuis… 2019.
Et c’est là que l’histoire devient glaçante.
Un scénario presque identique à celui de 2019
Le 27 novembre 2019 – exactement 6 ans jour pour jour – Upbit perdait 342 000 ETH (environ 50 millions de dollars à l’époque) dans une seule transaction. Les fonds avaient été immédiatement dispersés via des dizaines de portefeuilles avant d’être blanchis. Les enquêteurs avaient rapidement attribué l’attaque à Lazarus.
« Une coïncidence troublante : même date, même exchange, même mode opératoire. »
Dethective – Société d’analyse blockchain
En 2025, le schéma se répète avec une précision chirurgicale : ciblage des accès administrateur, ingénierie sociale, transfert rapide vers plusieurs blockchains, conversion SOL → USDC → ETH. Les experts parlent déjà de « Thanksgiving Curse » d’Upbit.
Comment Lazarus a-t-il réussi à infiltrer Upbit ?
Contrairement aux attaques classiques sur les smart contracts, Lazarus ne s’attaque presque jamais directement à la technique. Leur arme favorite ? L’humain.
- Phishing ultra-ciblé contre les employés haut placés
- Usurpation d’identité via des faux profils LinkedIn ou Telegram
- Compromission d’emails professionnels
- Installation de malwares permettant l’accès à distance
Une fois à l’intérieur, les pirates ont pu initier des retraits depuis les hot wallets sans déclencher les alertes majeures. Le tout en moins de deux heures.
Chronologie de l’attaque (heure coréenne)
- 04h12 : Première connexion suspecte détectée
- 04h28 : Transfert de 180 000 SOL vers un portefeuille inconnu
- 04h35 : Conversion massive en USDC sur un DEX
- 04h47 : Pont vers Ethereum et dispersion en +300 portefeuilles
- 05h10 : Upbit suspend tous les services
Pourquoi Lazarus cible-t-il toujours les exchanges coréens ?
La réponse est à la fois géopolitique et pratique. La Corée du Sud représente l’un des marchés crypto les plus actifs au monde, avec des volumes journaliers colossaux. Mais surtout, les sanctions internationales asphyxient l’économie nord-coréenne. Selon un rapport de l’ONU publié en 2024, Lazarus aurait volé plus de 3 milliards de dollars en cryptomonnaies depuis 2017 – soit près de 50 % des revenus en devises du régime.
Le vol d’Upbit n’est donc pas un simple cambriolage numérique. C’est un acte de guerre économique.
Le blanchiment : une œuvre d’art criminelle
Ce qui impressionne les experts, c’est la vitesse et la sophistication du blanchiment. En moins de 24 heures, les fonds ont transité par :
- Des mixers sur Ethereum
- Des bridges inter-chaînes
- Des DEX obscurs sur Solana et BSC
- Des plateformes OTC asiatiques
Au moment où j’écris ces lignes, seulement 12 % des fonds ont été gelés grâce à la coopération entre Upbit, Chainalysis et les autorités sud-coréennes.
Les leçons à tirer pour tout l’écosystème crypto
Cet incident met cruellement en lumière les failles persistantes du secteur :
- Les hot wallets restent une cible privilégiée
- La sécurité des accès administrateurs est souvent négligée
- Les procédures KYC/AML sont contournables par des États voyous
- La coopération internationale reste trop lente
Plus que jamais, les exchanges doivent adopter des mesures radicales : multisignatures obligatoires, cold storage à 99 %, audits en temps réel, authentification biométrique pour les gros transferts.
Que risque Upbit maintenant ?
La plateforme a annoncé qu’elle remboursera intégralement les utilisateurs affectés grâce à ses réserves. Mais la facture sera lourde : outre les 30 millions volés, Upbit va subir une fuite massive de clients vers la concurrence (Bithumb, Korbit, et même Binance qui gagne du terrain en Corée).
Le régulateur sud-coréen, la FSC, a déjà lancé une inspection complète des mesures de sécurité de tous les exchanges nationaux. Des amendes records sont à prévoir.
Vers une réponse internationale coordonnée ?
Pour la première fois, on voit émerger une vraie coordination : États-Unis, Japon, Corée du Sud et Interpol travaillent ensemble pour traquer les fonds. Certaines voix appellent même à classer Lazarus comme organisation terroriste numérique.
Mais tant que les cryptomonnaies resteront pseudonymes et que les États ne parviendront pas à réguler les bridges et mixers, Lazarus aura toujours un coup d’avance.
Cet hack n’est pas qu’une mauvaise nouvelle pour Upbit. C’est un signal d’alarme pour tout l’écosystème. Car si même la forteresse coréenne peut tomber, aucune plateforme n’est à l’abri.
La seule question qui reste : qui sera la prochaine cible de Lazarus ?
