Une attribution officielle, un démenti immédiat

Le 31 octobre 2026, le FBI a attribué à des acteurs nord-coréens le vol d'environ 6,3 milliards de dollars commis le 29 octobre sur Binance. L'agence désigne le groupe suivi sous le nom de TraderTraitor, un ensemble d'activités également associé au Lazarus Group et au renseignement militaire nord-coréen. Pyongyang a répondu par l'intermédiaire de l'agence officielle KCNA : Kim Yo-jong a rejeté l'accusation et l'a qualifiée de provocation politique. La Corée du Nord avait déjà nié son implication dans WannaCry et dans le détournement visant la banque centrale du Bangladesh.

Derrière le nom Lazarus, les autorités américaines et les sociétés de cybersécurité décrivent un appareil structuré, rattaché au Bureau général de reconnaissance (RGB). Des unités comme le Bureau 121, ainsi que le cluster suivi sous le nom APT38, reviennent souvent dans ces rapports. Il s'agit, selon ces sources, d'une organisation entraînée et déployée de manière méthodique.

Douze ans d'opérations, de la riposte au pillage

En 2014, le piratage de Sony Pictures a suivi la sortie du film The Interview, qui moquait le dirigeant nord-coréen. Des ordinateurs ont été massivement paralysés et des messages internes ont fuité. Les autorités américaines ont attribué l'opération à la Corée du Nord et l'ont décrite comme une riposte.

En 2016, la banque centrale du Bangladesh a été visée via le réseau SWIFT. Selon le département américain de la Justice, les opérateurs ont tenté de transférer près d'un milliard de dollars ; environ 81 millions ont effectivement quitté la banque. En 2017, le rançongiciel WannaCry a touché 150 pays et plusieurs centaines de milliers d'ordinateurs. Les États-Unis et le Royaume-Uni ont attribué cette campagne à la Corée du Nord.

La cryptosphère est ensuite devenue une cible centrale. En 2022, le pont Ronin, qui relie le jeu Axie Infinity, a été dépouillé d'environ 625 millions de dollars, un vol que le FBI a attribué au groupe Lazarus. En février 2025, Bybit a perdu environ 1,5 milliard de dollars : le FBI a de nouveau désigné TraderTraitor, et ce montant est alors devenu un record. En avril 2026, KelpDAO a perdu environ 290 millions de dollars ; LayerZero, Mandiant, CrowdStrike et Chainalysis ont attribué l'attaque à TraderTraitor. En octobre 2026, le vol de Binance, d'environ 6,3 milliards de dollars, a largement dépassé le précédent record.

Cette chronologie dessine un changement d'objectif : d'abord des actions de déstabilisation, puis une extraction de fonds de plus en plus massive. Selon TRM Labs, au 29 octobre 2026, le volume cumulé des vols de cryptomonnaies attribués à la Corée du Nord depuis 2017 s'élève à 12,8 milliards de dollars. Ce montant équivaudrait, d'après certains calculs non officiels, à près de 45 % d'une année de production du pays. Cette comparaison reste fragile, car elle met un stock de vols accumulés sur plusieurs années face à un PIB annuel. Dans son bilan de 2025, Chainalysis a relevé moins d'attaques confirmées, pour un volume record, et un peu plus de 60 % des flux de blanchiment liés à la Corée du Nord transférés par tranches inférieures à 500 000 dollars.

Une filière de recrutement décrite comme une ligne de production

Selon des témoignages de transfuges et des enquêtes publiques, la sélection commencerait vers 11 à 13 ans, parmi des élèves repérés pour les mathématiques et la logique, avec un filtre de loyauté politique. Les cursus le plus souvent cités comprennent l'université de technologie Kim Chaek, l'université Kim Il-sung, et l'université Mirim, fréquemment présentée comme un vivier. Des témoignages évoquent une concurrence très sévère pour un nombre limité de places.

Une partie des profils retenus serait ensuite affectée à des unités cyber. Une autre travaillerait sur des projets techniques restés sur le territoire, un point qui n'a pas pu être confirmé de manière indépendante. Des opérateurs seraient aussi envoyés à l'étranger, sous le couvert de sociétés écran, pour s'entraîner sur l'internet ouvert. L'acte d'accusation américain de 2018 visant Park Jin Hyok, présenté comme diplômé de Kim Chaek, l'accuse d'avoir participé aux opérations contre Sony Pictures et à WannaCry. Ces accusations n'ont pas été tranchées par un procès, l'intéressé n'ayant pas été arrêté.

Plusieurs sources décrivent des journées de travail extrêmement longues, de l'ordre de 15 à 20 heures, dans un cadre militarisé, avec peu d'autonomie personnelle. Ces éléments reposent en grande partie sur des témoignages et des rapports d'enquête, et non sur une inspection indépendante du système de formation.

Faux travailleurs informatiques et fermes à ordinateurs

Les autorités américaines ont aussi documenté un autre levier : des travailleurs informatiques nord-coréens postulent à des postes à distance dans des entreprises occidentales, sous de fausses identités. Pour contourner les contrôles de localisation, des relais locaux hébergent les ordinateurs fournis par les employeurs. Ce montage est souvent appelé « laptop farm », ou ferme à ordinateurs.

Christina Marie Chapman a été condamnée le 24 juillet 2025 à 102 mois de prison, soit huit ans et demi, pour son rôle dans un tel schéma, selon le département de la Justice. L'affaire a notamment permis à des travailleurs d'obtenir des postes dans plus de 300 entreprises américaines.

Le 13 octobre 2026, le même département a annoncé des actions coordonnées. Dans le cadre de l'opération Lonestar Roundup, le FBI a perquisitionné plus de 40 résidences au Texas suspectées d'héberger de telles fermes, et saisi environ 187 appareils. Dans un dossier distinct déposé dans l'Ohio, 14 personnes ont été mises en accusation. Les autorités indiquent que ces schémas visent à générer des revenus pour le régime, et que certains travailleurs ont aussi exfiltré des données d'employeurs.

L'essentiel de leur salaire, parfois évoqué autour de 90 à 95 %, serait reversé au régime. Les familles restées au pays serviraient de levier, et les profils retenus se verraient attribuer un logement plus confortable à Pyongyang, avec un accès plus large à l'information. Ces éléments reposent sur des témoignages, et n'ont pas été vérifiés au cas par cas.

Quatre faisceaux d'indices, et leurs limites

L'attribution publique ne reposerait pas sur une seule preuve isolée, mais sur un faisceau d'indices. Le premier est le suivi des fonds : des enquêteurs on-chain ont indiqué que l'argent sorti de Binance avait, après plusieurs étapes, rejoint des ensembles de portefeuilles déjà associés à des vols antérieurs attribués à des acteurs nord-coréens.

Le deuxième est le mode opératoire. La préparation de l'attaque et le ciblage d'ordinateurs d'opérateurs internes ont été rapprochés de dossiers précédents. Autour de Binance, des comptes publics ont aussi évoqué un accès obtenu via l'ordinateur d'un ingénieur.

Le troisième est la vitesse de dispersion. Pour limiter les gels de stablecoins, les fonds ont été déplacés sur un grand nombre de portefeuilles et plusieurs chaînes. Ils auraient aussi recours à des échanges instantanés et à des prêts adossés à des garanties, un mode opératoire précis qui n'a pas été confirmé par les sources publiques recoupées ici. Le FBI a publié plus de 600 adresses : 608 adresses Ethereum, 19 adresses Bitcoin et une adresse Solana, selon le décompte relayé par la presse. Chainalysis a indiqué s'attendre à ce que ce nombre passe par des milliers, voire des dizaines de milliers d'adresses. Selon TRM Labs, les émetteurs de stablecoins et le conseil de sécurité d'Arbitrum ont gelé près de 2,7 milliards de dollars.

Le quatrième faisceau est le renseignement hors chaîne, dont le détail n'est pas public. Pour illustrer le type de traces parfois versées au dossier, l'acte d'accusation de 2018 contre Park Jin Hyok cite des identifiants reprenant la chaîne « tty », et des connexions alléguées depuis des adresses IP nord-coréennes vers le réseau de Sony. Cette chaîne d'indices serait aujourd'hui la plus complète dont le public dispose, sans que chaque maillon puisse être vérifié de l'extérieur.

Pourquoi les opérateurs centraux restent hors d'atteinte

Les personnes présentées comme le noyau opérationnel n'ont pas été arrêtées. Elles se trouvent en Corée du Nord, sans traité d'extradition avec les États-Unis. Les mandats d'arrêt fonctionnent surtout comme une mise en cause publique. Les arrestations portent principalement sur des relais à l'étranger, notamment des facilitateurs des fermes à ordinateurs.

Ce que cela change pour le secteur

Ce vol d'environ 6,3 milliards de dollars apparaît comme un choc majeur pour le secteur, et met en lumière un décalage entre la vitesse de circulation des fonds et le niveau de sécurité de nombreuses plateformes. L'intelligence artificielle pourrait encore automatiser et accélérer ce type d'attaques.

Les règles rappelées aux utilisateurs restent simples : ne pas cliquer sur des liens inconnus, protéger ses clés privées, et traiter sa propre sécurité comme une priorité. Chacun reste responsable de son jugement et de ses décisions.