Un État-nation a, à lui seul, capté près des deux tiers de chaque dollar dérobé à l’écosystème crypto mondial au premier semestre 2026.
Ce n’est ni un artefact statistique, ni le résultat isolé d’un braquage spectaculaire.
C’est le produit d’une campagne de piratage industrialisée, menée depuis près d’une décennie, qui a affiné ses méthodes au point de dépasser, à elle seule, l’ensemble des autres acteurs malveillants du secteur.
Les montants en jeu sont vertigineux, même à l’aune d’une cybercriminalité crypto habituée aux chiffres extrêmes.
Les groupes liés à la Corée du Nord représentent 66,2 % des pertes mondiales liées aux piratages d’actifs numériques sur le premier semestre 2026, selon des estimations diffusées cette semaine par plusieurs sociétés spécialisées dans la sécurité blockchain.
Une telle concentration des pertes autour d’un seul cluster de menaces modifie en profondeur le profil de risque de toute l’industrie. Et elle intervient au moment précis où les capitaux institutionnels affluent de nouveau vers la crypto à un rythme inédit depuis 2021.
À retenir
- Des hackers liés à la Corée du Nord ont capté 66,2 % de l’ensemble des pertes dues aux piratages crypto sur le premier semestre 2026, un nouveau pic de concentration du vol crypto parrainé par un État.
- Le « Lazarus Group » et des unités affiliées de la RPDC sont passés de braquages opportunistes de plateformes d’échange à des opérations structurées visant les protocoles DeFi, les ponts inter-chaînes et l’ingénierie sociale des développeurs.
- Ces fonds alimentent directement les programmes d’armement nord-coréens, faisant de la sécurité crypto un enjeu géopolitique désormais traité en priorité par les régulateurs à Washington, Bruxelles et Séoul.
Les 66 % : ce que la statistique mesure réellement
Avant d’en tirer des conclusions stratégiques, il faut s’attarder sur la méthodologie qui sous-tend ce chiffre.
Les 66,2 % renvoient à la part des pertes de piratage crypto « vérifiées » attribuables à des portefeuilles liés à la RPDC sur le premier semestre 2026 – sur la base d’analyses on-chain retraçant les flux depuis le vol initial jusqu’au passage par des mélangeurs puis la sortie vers le monde fiat.
Chainalysis, qui publie les séries les plus complètes sur la criminalité crypto, indiquait dans son rapport « Crypto Crime 2024 » que les groupes affiliés à la Corée du Nord avaient dérobé environ 1,34 milliard de dollars au travers de 47 incidents en 2023, soit 61 % de la valeur totale volée cette année-là.
Le chiffre du premier semestre 2026 marque une nouvelle étape dans cette concentration. Il suggère que l’écart entre les capacités de la RPDC et celles des autres acteurs malveillants se creuse, au lieu de se réduire.
Cette part de 66,2 % constitue la plus forte concentration de vols d’actifs numériques parrainés par un État jamais observée sur une période de six mois.
Il est essentiel de comprendre aussi ce que ce chiffre de 66 % ne mesure pas.
Il exclut les exit scams, les rug pulls et les fraudes au sens large, catégories généralement séparées des « hacks » dans la taxonomie Chainalysis. Le dénominateur est constitué uniquement des pertes ayant pour origine un piratage avéré.
Si l’on tenait compte de l’ensemble de la criminalité crypto, la part relative de la RPDC serait moindre. Mais cela ne changerait rien au montant absolu dérobé par ces groupes.
À lire aussi : La demande au comptant pour le XRP grimpe tandis que les contrats perpétuels de Binance envoient un signal d’alerte à 783 M$
Comment le Lazarus Group est devenu une superpuissance crypto
Le Lazarus Group – nom générique utilisé par les services de renseignement américains et de nombreux chercheurs privés pour désigner les unités cyber les plus sophistiquées de la RPDC – n’est pas né dans l’univers crypto.
Ses premières opérations connues relevaient d’attaques destructrices, de braquages bancaires via l’exploitation du réseau SWIFT et de campagnes de rançongiciels.
Le pivot vers la crypto s’est opéré progressivement. Il s’accélère à partir de 2017, lorsque le groupe commence à viser des plateformes sud-coréennes, puis change de dimension après le piratage du Ronin Network en 2022.
Le hack de Ronin, au cours duquel le Lazarus Group a dérobé environ 625 millions de dollars sur la sidechain d’Axie Infinity, a marqué un tournant stratégique.
Il a démontré que l’infrastructure DeFi – avec sa complexité de smart contracts, ses ponts inter-chaînes et ses vulnérabilités humaines côté développeurs – offrait une surface d’attaque bien plus lucrative que les plateformes centralisées, dont la sécurité s’était notablement renforcée après une décennie de brèches.
Ce vol record de 625 millions de dollars en mars 2022 reste, à ce jour, le plus important hack DeFi jamais recensé. Il a servi de matrice opérationnelle aux campagnes crypto nord-coréennes ultérieures.
Depuis 2022, le groupe a affiné de manière systématique trois grands vecteurs d’attaque.
Le premier repose sur le compromis des identifiants des développeurs – en général via de fausses offres d’emploi sur LinkedIn, qui installent un malware dès qu’une pièce jointe est ouverte ou qu’un dépôt est cloné.
Le deuxième cible les ponts inter-chaînes, en exploitant des failles dans la logique de smart contracts qui gèrent les transferts d’actifs entre réseaux.
Le troisième relève des attaques de chaîne d’approvisionnement logicielle (supply chain) sur des dépendances utilisées par les protocoles crypto – une technique bien connue dans le monde de la cybersécurité traditionnelle, désormais adaptée aux cibles blockchain.
À lire aussi : Angleterre–Inde n’est plus seulement du cricket pour les traders de marchés de prédiction
D’une cible historique : les plateformes d’échange, à un terrain de chasse : la DeFi
L’histoire des grands vols crypto s’est longtemps écrite via les piratages de plateformes centralisées. Mt. Gox en 2014, Bitfinex en 2016, Coincheck en 2018 : ces attaques misaient sur la compromission de hot wallets, l’exploitation de vulnérabilités d’API ou la corruption d’employés. Les auteurs étaient le plus souvent des groupes criminels opportunistes, sans soutien étatique structuré.
La doctrine nord-coréenne actuelle est d’une tout autre nature. Dans son rapport 2024 Crypto Threat Intelligence, TRM Labs estime que la part des vols attribuables à des exploits de protocoles DeFi, et non plus à des hacks de plateformes centralisées, est passée pour la RPDC d’environ 30 % en 2021 à plus de 70 % en 2024. Une évolution qui épouse la montée en puissance de la liquidité on-chain elle-même.
La valeur totale verrouillée (TVL) dans les protocoles DeFi a culminé au‑delà de 180 milliards de dollars fin 2021, avant de chuter pendant le bear market de 2022, puis de rebondir à des niveaux redevenus très attractifs pour les attaquants. Les données de DefiLlama (https://defillama.com/) à mi‑2026 indiquent un TVL agrégé supérieur à 110 milliards de dollars sur l’ensemble des chaînes, les ponts inter-chaînes concentrant une part disproportionnée de cette valeur sous forme de pools.
Les contrats de pont DeFi sont des cibles structurellement attractives pour des attaquants sophistiqués : ils agrègent de larges pools de liquidité dans un seul smart contract tout en reposant sur des mécanismes de validation inter-chaînes complexes, difficiles à auditer de bout en bout.
Les ponts inter-chaînes sont devenus une obsession spécifique des unités nord-coréennes en raison de cette topologie de risque singulière. Un pont doit faire confiance à des assertions provenant d’une chaîne distante qu’il ne peut pas vérifier nativement. La logique de validation est complexe, reposant souvent sur un comité multisignature ou sur un light client. Dans les deux cas, les hypothèses sous-jacentes se révèlent exploitables.
Le pont Ronin utilisait ainsi un schéma neuf-sur-neuf, qui s’est de facto transformé en cinq-sur-neuf après des opérations d’ingénierie sociale. Une fois ce seuil de cinq signatures atteint, les attaquants ont pu autoriser des retraits et vider le pont.
À lire aussi : Fable 5 vaut‑il vraiment le double alors qu’Opus 4.8 tient encore la route ?
L’arme des fausses offres d’emploi : les développeurs en première ligne
La composante la plus constante – et sans doute la plus sous-estimée – de la campagne nord-coréenne du premier semestre 2026 réside dans l’ingénierie sociale visant les développeurs et employés de protocoles. Il ne s’agit pas, au départ, d’un piratage technique classique, mais d’une opération de renseignement patiente, fondée sur la relation humaine, qui aboutit in fine à l’exécution de code malveillant.
Le mode opératoire standard, documenté en détail par Mandiant dans son analyse des menaces financières APT38 et par l’agence américaine Cybersecurity and Infrastructure Security Agency dans l’alerte CISA AA22-108A, consiste pour les opérateurs nord-coréens à créer de faux profils professionnels très convaincants sur LinkedIn, souvent agrémentés de photos générées par IA. Ils approchent ensuite des développeurs travaillant sur des protocoles crypto, en leur proposant des missions freelance, des entretiens d’embauche ou des revues de code rémunérées.
Dans plusieurs cas documentés, les opérateurs de la RPDC ont entretenu des échanges LinkedIn pendant des semaines, voire des mois, avec des développeurs ciblés, discutant de manière crédible de leur base de code spécifique avant de livrer la charge malveillante.
Une fois la relation nouée, la cible reçoit un fichier à exécuter : un faux test technique, un PDF piégé, ou un dépôt GitHub contenant une dépendance compromise.
Dès que la machine du développeur est infectée, l’attaquant peut récolter des clés privées, des jetons de session pour les systèmes internes et des identifiants pour les infrastructures cloud qui pilotent le déploiement des protocoles.
Le niveau de raffinement de ces opérations traduit un investissement lourd dans la montée en compétence – impossible à égaler pour un simple groupe criminel privé. Les unités cyber de la RPDC sont composées de fonctionnaires à plein temps, formés en continu, soumis à une discipline opérationnelle stricte, et dotés de plusieurs années de retour d’expérience sur les protocoles les plus vulnérables et les développeurs les plus facilement approchables.
À lire aussi : L’action TeraWulf bondit : l’accord avec Anthropic rebat les cartes pour le mineur de bitcoin dans un virage IA à 19 milliards
L’infrastructure de blanchiment derrière les chiffres du vol
Voler de la crypto n’est que la première étape. Transformer ce butin en revenus exploitables pour le régime suppose une chaîne de blanchiment sophistiquée, devenue à son tour un objet majeur de recherche on-chain. C’est dans ces flux post‑vol que les enquêteurs parviennent le plus souvent à attribuer les attaques à la RPDC, le groupe laissant des schémas comportementaux reconnaissables. schémas de circulation et d’occultation des fonds.
Chainalysis a documenté le schéma standard de blanchiment de la RPDC comme un processus en plusieurs étapes. Les actifs dérobés sont d’abord échangés contre de l’Ethereum (ETH) ou du Bitcoin (BTC) via des plateformes d’échange décentralisées on-chain, afin de convertir des jetons illiquides propres à un protocole en actifs beaucoup plus liquides. Ces actifs transitent ensuite par des services de mixage : le groupe utilisait historiquement Tornado Cash jusqu’à sa mise sous sanctions par l’OFAC en août 2022, ce qui l’a poussé à se tourner vers d’autres outils d’obfuscation comme Sinbad et Yomix, également visés depuis par des sanctions américaines.
L’OFAC a désigné le mixeur Sinbad en novembre 2023 et le mixeur Yomix en avril 2025, illustrant un jeu du chat et de la souris où chaque outil de blanchiment nord-coréen finit par être sanctionné, contraignant le groupe à migrer vers de nouvelles infrastructures.
Après le mixage, les fonds sont acheminés via un réseau de comptes emboîtés sur les exchanges, de courtiers OTC opérant dans des juridictions dépourvues de dispositifs LCB-FT efficaces, et de plateformes pair-à-pair. La sortie en fiat se fait le plus souvent, historiquement, via des plateformes d’échange basées en Asie de l’Est et du Sud-Est, où les exigences KYC demeurent limitées. Un rapport 2024 du Groupe d’experts des Nations Unies sur la Corée du Nord identifie explicitement les revenus issus de vols de cryptoactifs comme principale source de financement du programme balistique nord-coréen, estimant qu’ils couvrent environ 40 % des besoins en devises liés au développement d’armes de destruction massive.
À lire aussi : Ethereum pourait tomber en quasi-“état zéro” avec le plan de chaîne ultra-allégée le plus radical de Buterin
La riposte réglementaire et ses limites
Washington a déployé un arsenal conséquent contre les opérations crypto de la RPDC, combinant inscriptions sur la liste noire de l’OFAC visant des portefeuilles et des mixeurs, communiqués d’attribution du FBI pour des piratages précis, et notes conjointes avec des services de renseignement alliés. Le Department of Justice a poursuivi plusieurs agents nommément identifiés, même si toute perspective de procès est quasi nulle faute de mécanismes d’extradition.
La faiblesse de la réponse américaine est structurelle. Les sanctions sur des adresses de portefeuille ne sont réellement efficaces que contre des acteurs contraints d’utiliser des infrastructures financières régulées pour sortir en fiat. Leur impact reste marginal sur des acteurs sophistiqués qui acheminent les fonds via des juridictions échappant de facto au périmètre LCB-FT américain. L’action de l’OFAC contre Tornado Cash a été majeure – et controversée –, mais la RPDC s’est adaptée en quelques mois en migrant vers d’autres briques d’infrastructure.
Le Department of Justice a mis en examen sept hackers militaires nord-coréens pour des opérations de vol de cryptoactifs, sans qu’aucun n’ait comparu devant la justice. Ces inculpations servent avant tout d’outil d’attribution et de signal dissuasif à destination des services tiers susceptibles, sinon, de faciliter la circulation des fonds.
Le Groupe d’action financière (GAFI), l’organisme intergouvernemental de référence en matière de LCB-FT, a placé la Corée du Nord dans sa catégorie de risque la plus élevée et appelle en continu ses membres à appliquer une vigilance renforcée sur toute transaction présentant un lien avec la RPDC. Mais ses recommandations n’ont aucune force obligatoire, et les juridictions les plus utiles à Pyongyang pour la sortie en fiat sont soit hors du périmètre GAFI, soit membres sur le papier avec des niveaux d’application très faibles.
En Europe, le règlement MiCA (Markets in Crypto-Assets), pleinement applicable depuis fin 2024, impose notamment une « travel rule » exigeant l’identification des contreparties pour les transferts de cryptoactifs au‑delà de certains seuils. Ses défenseurs estiment qu’il ferme une partie des canaux de sortie OTC. Ses détracteurs soulignent que les opérations nord-coréennes sont suffisamment sophistiquées pour contourner ces exigences KYC via des portefeuilles non hébergés et des juridictions hors de portée du droit européen.
À lire aussi : L’outil Muse Image de Meta transforme Instagram en matière première pour l’art généré par l’IA
Ce que révèlent réellement les données on‑chain
L’attribution des vols de cryptoactifs à la Corée du Nord ne relève pas d’un simple postulat politique. Elle repose sur des données on-chain vérifiables, que tout chercheur disposant d’un accès aux blockchains publiques et d’outils de « clustering » d’adresses peut répliquer. Comprendre cette mécanique d’attribution est essentiel pour en juger la robustesse.
Lorsqu’un protocole est ciblé, la transaction initiale apparaît instantanément on-chain. Les fonds volés sont transférés vers des portefeuilles contrôlés par l’attaquant, qui enchaînent ensuite swaps, passages par des bridges et opérations de mixage. Elliptic, autre acteur majeur de l’analytique blockchain, a publié une méthodologie détaillée montrant que les portefeuilles liés à la RPDC se regroupent autour de signatures comportementales spécifiques : schémas temporels récurrents, routes de swap privilégiées, montants résiduels caractéristiques (« dust ») laissés sur des adresses intermédiaires, ou encore tendance à conserver les fonds dans un même cluster de portefeuilles pendant de longues périodes avant de les remobiliser.
L’analyse de clustering d’Elliptic a identifié plus de 15 000 adresses associées aux opérations de vol nord-coréennes, dessinant un graphe de portefeuilles interconnectés que les analystes forensiques exploitent pour retracer les flux, y compris après passage par des mixeurs.
Les avis d’attribution publiés par le FBI pour certains piratages, comme la faille Alphapo ou l’attaque contre Atomic Wallet en 2023, s’appuient sur ces méthodes forensiques, complétées par du renseignement d’origine technique classifié.
Cette combinaison de données publiques on-chain et de renseignement étatique permet d’atteindre des niveaux de certitude supérieurs à ceux des enquêtes cybercriminelles traditionnelles, où une telle traçabilité cryptographique n’existe pas.
À lire aussi : Pour Saylor, une croissance de 3,3 % du Bitcoin suffit à maintenir la stratégie de dividendes
Le programme des travailleurs IT, un canal de revenus parallèle
En parallèle des opérations de hacking, la RPDC pilote un programme distinct de génération de revenus crypto, qui a fait l’objet d’une attention accrue des forces de l’ordre en 2024 et 2025. Des milliers de ressortissants nord-coréens, opérant sous de fausses identités grâce à des documents générés par IA et à des deepfakes vidéo, ont décroché des emplois à distance dans des entreprises crypto et des start-up Web3 en Amérique du Nord et en Europe.
Le Department of Justice a inculpé quatorze individus en mai 2024 pour un système ayant permis à des travailleurs IT nord-coréens d’intégrer plus de 300 entreprises américaines, leurs rémunérations étant ensuite reversées à Pyongyang.
L’acte d’accusation estime que chaque travailleur pouvait percevoir entre 250 000 et 300 000 dollars par an, le dispositif générant au total plusieurs dizaines de millions de dollars sur quelques années.
L’inculpation de mai 2024 détaille des cas de travailleurs IT nord-coréens gagnant jusqu’à 300 000 dollars annuels dans des sociétés crypto et tech américaines, avec des flux de fonds renvoyés vers la RPDC via un réseau d’intermédiaires basés aux États‑Unis, au Royaume‑Uni et en Chine.
Ce dispositif de travailleurs IT est particulièrement toxique pour l’industrie crypto, car il installe des accès internes au cœur même des équipes de développement. Un employé disposant de véritables identifiants et d’un accès direct aux dépôts de code représente une menace bien plus aiguë qu’un attaquant externe tentant de franchir les défenses périmétriques.
Plusieurs chercheurs en cybersécurité ont souligné que certains signaux faibles – modèles inhabituels dans les commits, accès inexpliqués aux dépôts, horaires de travail atypiques – sont désormais traités comme des indicateurs potentiels de présence de travailleurs IT nord-coréens par les entreprises crypto les plus vigilantes.
L’articulation entre ce programme IT et les campagnes de social engineering ciblant les développeurs signifie que la surface d’attaque de la RPDC contre l’écosystème crypto est multidimensionnelle : hackers externes, développeurs compromis via de fausses offres d’emploi et insiders placés à dessein constituent autant de vecteurs actifs opérant simultanément.
À lire aussi : OpenAI obtient le feu vert pour GPT‑5.6 alors que Trump autorise un déploiement plus large de l’IA
Une riposte sécuritaire sectorielle encore fragmentée
La réaction de l’écosystème face à la menace nord-coréenne est réelle, mais inégale.
Les protocoles les mieux dotés en capitaux recourent désormais à des audits de sécurité poussés avant tout déploiement, animent des programmes de bug bounty avec des primes à six chiffres, et entretiennent des équipes internes comptant d’anciens chercheurs en offensive security.
Cette concentration de l’investissement sécurité sur le haut du panier reflète le même effet de loi de puissance que l’on observe sur l’ensemble du marché crypto.
Immunefi, principale plateforme Web3 de bug bounty, fait état de plus de 100 millions de dollars de primes versées mi‑2025, en contrepartie de la découverte de vulnérabilités qui auraient pu se traduire par des pertes de plusieurs milliards.
Le plus gros versement de son histoire atteint 10 millions de dollars, rémunérant un chercheur « white hat » ayant identifié une faille critique sur un protocole DeFi majeur avant qu’elle ne soit exploitée.
Mais cette concentration des budgets de cybersécurité sur les grands noms laisse de nombreux projets DeFi de taille intermédiaire – qui représentent pourtant collectivement plusieurs milliards de TVL – largement sous-protégés.
La question des bridges cross‑chain, au cœur d’un grand nombre de hacks majeurs, a suscité ses propres réponses architecturales.
Au premier rang d’entre elles figure le basculement vers des modèles de bridging plus « trust-minimized », s’appuyant sur des preuves à connaissance nulle pour vérifier l’état de la chaîne source sans dépendre de comités de validateurs.
Des projets comme Succinct Labs et Polyhedra Network développent une infrastructure de light clients ZK conçue précisément pour éliminer l’hypothèse de comité de confiance qui a rendu des bridges comme Ronin vulnérables.
Reste à savoir si ces nouveaux modèles pourront réellement…Il est loin d’être certain que les infrastructures de sécurité progressent assez vite pour dépasser le rythme de montée en puissance des capacités nord‑coréennes.
La part de 66 % au premier semestre 2026 montre que, malgré des investissements massifs du secteur, l’attaquant parvient à suivre le mouvement.
À lire aussi : SpaceXAI veut un « Claude killer » dopé au curseur avant même la clôture du deal à 60 Md$
Enjeux géopolitiques et perspectives
Le vol de crypto‑actifs constitue aujourd’hui la première source de devises de la Corée du Nord.
Ce n’est pas une formule journalistique : c’est un constat opérationnel documenté, reconnu par le Trésor américain, les Nations unies et plusieurs services de renseignement alliés.
Le Groupe d’experts de l’ONU évalue à environ 3 milliards de dollars le produit des vols de crypto par la RPDC entre 2017 et 2023, avec une accélération nette au cours des dernières années.
Ces fonds ne viennent pas grossir, au sens classique, les caisses du régime.
Ils sont dirigés directement vers les programmes d’armement — en particulier les efforts de développement de missiles balistiques et de miniaturisation d’ogives nucléaires, qui constituent la priorité stratégique numéro un de Pyongyang.
Chaque dollar dérobé à un protocole DeFi se traduit potentiellement en moyens matériels et technologiques pour des systèmes d’armes que les planificateurs militaires américains, sud‑coréens et japonais intègrent explicitement dans leurs scénarios de menace.
Le Groupe d’experts de l’ONU relie directement ces 3 milliards de dollars de vols commis entre 2017 et 2023 au financement des programmes d’armement, faisant de la sécurité des blockchains un paramètre à part entière des équations de sécurité régionale en Asie du Nord‑Est.
À découvrir ensuite : 5 alternatives moins chères à Fable 5 : ne surpayez pas votre IA du quotidien
Derniers enseignements
Le chiffre de 66,2 % pour le premier semestre 2026 n’est pas une curiosité statistique.
C’est un signal sur l’état actuel du rapport de force entre l’un des programmes cyber étatiques les plus performants au monde et une industrie qui a historiquement privilégié le « time‑to‑market » au détriment de la sécurité opérationnelle.
La trajectoire de ce face‑à‑face — des hacks opportunistes de plateformes d’échange en 2017, au piratage du bridge Ronin en 2022, jusqu’à la campagne multi‑vecteurs actuelle ciblant simultanément développeurs, bridges et acteurs internes — décrit un adversaire qui apprend, s’adapte et change d’échelle plus vite que ne progresse l’investissement défensif du secteur.
Les facteurs structurels qui jouent en faveur de la RPDC ne disparaîtront pas à court terme.
La Corée du Nord s’appuie sur un vivier cyber institutionnalisé, sans fuite de talents vers le privé, sans véritable reddition de comptes publique, et doté d’un mandat étatique explicite : générer des revenus par tous les moyens disponibles.
L’industrie crypto, à l’inverse, présente un paysage de sécurité fragmenté. Les protocoles les plus valorisés sont de mieux en mieux protégés, mais la longue traîne de projets DeFi plus petits reste chroniquement sous‑dotée en ressources de sécurité.
Quant aux bridges inter‑chaînes, ces infrastructures qui relient entre elles les « îlots de liquidité » de l’écosystème, ils demeurent architecturés de manière complexe, avec, à la clé, des hypothèses de fonctionnement fragiles et durablement exploitables.
