Les Hackers Nord-Coréens Utilisent l’IA Locale pour Attaquer les Firmes Crypto

Imaginez un groupe de hackers d’État capable de générer du code malveillant, des emails de phishing ultra-convincants et des analyses de données en quelques minutes, sans jamais dépendre des serveurs cloud américains ou chinois. Ce scénario n’est plus une fiction dystopique : il se déroule aujourd’hui en Corée du Nord.

Une nouvelle ère de cybermenaces alimentée par l’IA

Le groupe Kimsuky, lié à la Corée du Nord, a franchi un cap technologique majeur en déployant des environnements d’intelligence artificielle locaux. Selon un rapport récent de Genians, une firme sud-coréenne de cybersécurité, ces acteurs ont mis en place trois systèmes distincts utilisant des outils open-source comme Ollama, GPT4All et Msty. Cette avancée leur permet d’automatiser de nombreuses étapes de leurs opérations contre les entreprises de cryptomonnaies et du secteur financier.

Cette évolution marque un tournant inquiétant. Alors que les attaques nord-coréennes étaient déjà sophistiquées, l’intégration de l’IA locale leur offre une autonomie inédite. Plus besoin d’envoyer des données sensibles vers des fournisseurs externes : tout reste sous contrôle dans leurs infrastructures isolées.

Cette stratégie n’est pas le fruit du hasard. Elle répond à un besoin stratégique clair : contourner les limitations imposées par les sanctions internationales tout en maximisant l’efficacité des opérations de cyberespionnage et de vol financier.

Comment les hackers ont-ils bâti leurs systèmes IA ?

Les chercheurs de Genians ont découvert que Kimsuky ne cherche pas à créer des modèles d’IA propriétaires à partir de zéro. Au lieu de cela, ils exploitent intelligemment les technologies open-source disponibles. Ollama permet d’exécuter des modèles de langage localement, tandis que GPT4All et Msty offrent des interfaces conviviales pour interagir avec ces IA sans connexion internet.

Ces environnements supportent également la génération augmentée par récupération (RAG), une technique qui permet d’enrichir les réponses de l’IA avec des données spécifiques fournies par les opérateurs. Les hackers ont aussi collecté des bibliothèques pour intégrer ces modèles dans des logiciels personnalisés, ainsi que des outils comme Cursor, un assistant de codage IA.

Les environnements locaux permettent aux opérateurs de faire des requêtes sans envoyer d’informations potentiellement sensibles à des fournisseurs tiers.

Rapport Genians

Cette approche locale présente plusieurs avantages majeurs. Elle réduit les risques de détection par les services de renseignement occidentaux et garantit que les plans d’attaque restent confidentiels. Dans un contexte où les grandes entreprises technologiques surveillent étroitement l’utilisation de leurs API IA, cette indépendance est précieuse.

L’IA au service du phishing sophistiqué

Au-delà du développement technique, Kimsuky utilise l’IA pour créer du matériel de phishing hautement professionnel. Les chercheurs ont identifié des documents qui imitent parfaitement le style d’une plateforme d’investissement coréenne alimentée par l’IA. Ces fichiers présentent un langage naturel, une mise en page cohérente et des éléments de design professionnel.

Finis les emails truffés de fautes d’orthographe qui trahissaient autrefois les tentatives de phishing nord-coréennes. Désormais, les cibles reçoivent des documents qui paraissent authentiques et traitent de sujets financiers pointus, comme les stratégies d’investissement en cryptomonnaies ou les opportunités fintech.

Cette capacité à générer du contenu persuasif augmente considérablement le taux de succès des campagnes. Les employés des entreprises crypto, souvent submergés d’informations techniques, sont plus susceptibles de tomber dans le piège lorsque le matériel semble provenir d’une source légitime.

Le contexte des attaques nord-coréennes contre le secteur crypto

Les activités de Kimsuky s’inscrivent dans une stratégie plus large du régime nord-coréen. En 2025, les groupes liés à Pyongyang ont volé environ 2,02 milliards de dollars en cryptomonnaies, selon les données de Chainalysis. La majeure partie de ces pertes provient de l’attaque massive contre Bybit en février 2025, où plus de 400 000 ETH ont été dérobés.

Cette somme colossale finance probablement le programme nucléaire et balistique du pays, contournant ainsi les sanctions internationales. Les cryptomonnaies offrent en effet un moyen relativement discret de transférer des fonds à travers les frontières.

Le FBI a attribué l’attaque Bybit au groupe Lazarus sous la désignation TraderTraitor. Bybit a d’ailleurs engagé des poursuites judiciaires aux États-Unis contre la Corée du Nord, son agence de renseignement et Lazarus. Une démarche rare qui vise à récupérer une partie des fonds volés.

Les techniques sociales combinées à l’IA

Les hackers nord-coréens excellent dans l’ingénierie sociale. BlueNoroff, un autre groupe, a récemment utilisé de faux appels Zoom et Microsoft Teams pour profiler les utilisateurs crypto avant de déployer des malwares. Ils combinent même des visages générés par IA avec des mouvements réels pour créer des participants virtuels convaincants.

Les victimes sont contactées via des comptes Telegram compromis, reçoivent des invitations Calendly, puis sont redirigées vers des domaines falsifiés. Pendant l’appel, un opérateur peut simuler des problèmes techniques pour installer des malwares via ClickFix sur Windows ou des installateurs falsifiés sur macOS.

Ces opérations ciblent particulièrement les fondateurs et dirigeants d’entreprises crypto, qui représentent une part importante des victimes identifiées. Arctic Wolf a détecté plus de 80 domaines imitant Zoom et Teams liés à ces activités.

Infiltration interne des entreprises crypto

Les hackers ne se contentent plus d’attaques externes. En juillet 2025, Consensys a dû suspendre des releases après avoir découvert qu’un consultant lié à la Corée du Nord avait eu accès à ses systèmes pendant un mois. Sous le nom de Tyler Knapp, cet individu avait contribué au code de MetaMask.

Le Ketman Project a quant à lui identifié environ 100 travailleurs IT nord-coréens opérant sous fausses identités dans une cinquantaine de projets crypto et Web3. Ces opérations permettent d’introduire des portes dérobées ou de voler des informations sensibles de l’intérieur.

L’IA accélère la capacité des hackers à identifier les vulnérabilités plus rapidement que les processus de sécurité traditionnels ne peuvent les corriger.

Illia Polosukhin, co-fondateur de NEAR Protocol

Les implications pour l’industrie des cryptomonnaies

Cette utilisation de l’IA par des acteurs étatiques pose des défis majeurs aux entreprises du secteur. Les outils traditionnels de détection basés sur des signatures deviennent moins efficaces face à du code généré dynamiquement. Les équipes de sécurité doivent désormais anticiper des attaques plus rapides et plus adaptatives.

Les exchanges, wallets et projets DeFi sont particulièrement vulnérables. Les hackers peuvent analyser rapidement le code source public, identifier des faiblesses et générer des exploits personnalisés. L’affaire Coldcard, où une vulnérabilité RNG a permis de drainer des millions, illustre comment même les solutions hardware réputées les plus sécurisées peuvent être compromises.

Comment les entreprises crypto peuvent-elles se protéger ?

Face à cette menace évolutive, plusieurs mesures s’imposent. Tout d’abord, une vigilance accrue lors du recrutement, particulièrement pour les postes techniques sensibles. La vérification des antécédents doit être approfondie, même pour les consultants externes.

Les formations à la cybersécurité doivent inclure la reconnaissance des contenus générés par IA. Les employés doivent apprendre à repérer les subtilités qui distinguent encore parfois le vrai du faux, même si l’écart se réduit rapidement.

Sur le plan technique, l’implémentation de la segmentation réseau, des principes de moindre privilège et des audits réguliers du code devient indispensable. Les solutions de détection basées sur le comportement, plutôt que sur des signatures statiques, gagnent en importance.

• Adopter l’authentification multi-facteurs robuste partout
• Surveiller les activités suspectes sur les comptes privilégiés
• Effectuer des simulations d’attaques régulières
• Collaborer avec des firmes de cybersécurité spécialisées
• Rester informé des tactiques nord-coréennes

L’avenir des cyberattaques étatiques dans le crypto

L’intégration de l’IA dans les opérations de Kimsuky n’est probablement que le début. D’autres groupes étatiques ou même des acteurs criminels indépendants pourraient s’inspirer de cette approche. L’IA démocratise en quelque sorte les capacités offensives, rendant les attaques sophistiquées accessibles à un plus grand nombre.

Pour l’industrie crypto, cela signifie que la sécurité ne peut plus être considérée comme un coût mais comme un investissement stratégique essentiel. Les projets qui négligent cet aspect risquent non seulement des pertes financières directes, mais aussi une perte de confiance de leurs utilisateurs.

Les régulateurs du monde entier observent également ces développements. Les exigences en matière de cybersécurité pour les exchanges et les custodiens pourraient se durcir, particulièrement aux États-Unis et en Europe.

Le rôle de la communauté crypto face à ces menaces

Les utilisateurs individuels ne sont pas non plus à l’abri. Les campagnes de phishing ciblent aussi les détenteurs de cryptomonnaies via les réseaux sociaux, les forums et les applications de messagerie. La prudence reste de mise : ne jamais cliquer sur des liens suspects, vérifier les URLs et utiliser des hardware wallets pour les gros montants.

La transparence de l’industrie joue également un rôle. Lorsque des incidents se produisent, une communication rapide et honnête permet de limiter les dommages et d’aider la communauté à s’adapter collectivement.

Des initiatives comme les bug bounties généreux ou les audits indépendants multiples contribuent à élever le niveau de sécurité global du secteur.

La bataille entre attaquants et défenseurs dans l’univers crypto entre dans une nouvelle phase plus technologique. Les hackers nord-coréens, avec leurs ressources étatiques et leur détermination, poussent l’industrie à innover non seulement dans les produits financiers, mais aussi dans les mécanismes de protection.

Cette course à l’armement numérique pourrait finalement bénéficier à tous. Les avancées en matière de sécurité développées pour contrer ces menaces sophistiquées se traduiront par une infrastructure plus robuste pour l’ensemble de l’écosystème blockchain.

En attendant, la vigilance reste le maître-mot. Que vous soyez un investisseur individuel, un développeur ou un dirigeant d’entreprise crypto, comprendre ces évolutions n’est plus une option mais une nécessité pour naviguer dans cet environnement à haut risque.

L’histoire des cyberattaques nord-coréennes contre le secteur crypto est loin d’être terminée. Avec l’IA comme nouvel allié, les chapitres à venir pourraient être encore plus surprenants. Restez informés, restez prudents, et contribuez à bâtir un écosystème plus résilient face à ces menaces persistantes.

Le monde de la cryptomonnaie a toujours été synonyme d’innovation rapide. Aujourd’hui, cette innovation doit également s’appliquer à la défense. Les acteurs qui sauront combiner progrès technologique et sécurité renforcée seront ceux qui prospéreront dans les années à venir.