Menace n° 1 : comment Lazarus Group cible les entreprises crypto

Ces dernières années, des hackers liés à la Corée du Nord ont dérobé des milliards de dollars au secteur des cryptomonnaies. Mais un nom apparaît plus souvent que la plupart des autres dans les rapports de cybercriminalité : Lazarus Group. Comment une opération de piratage soutenue par un État a-t-elle transformé le marché crypto en source de revenus, et pourquoi s’est-elle révélée si difficile à arrêter ?

Lazarus Group est généralement présenté comme un groupe de hackers unique, mais il fait en réalité partie d’une opération cybernétique nord-coréenne beaucoup plus vaste. Plusieurs enquêtes ont identifié des unités et groupes associés sous des noms tels qu’APT38, BlueNoroff, TraderTraitor et d’autres appellations.

Voir la publication sur X Chargement…

Le tweet a été supprimé par son auteur.

Mais nous avons tout sauvegardé 🙂.

Ce qui distingue Lazarus, c’est son lien avec l’État. Les autorités américaines relient le groupe au Bureau général de reconnaissance de la Corée du Nord et estiment que les fonds volés aident le pays à obtenir des devises étrangères malgré les sanctions internationales.

Les cryptomonnaies se sont révélées être une cible particulièrement attractive : d’importantes sommes peuvent être volées à distance, transférées rapidement d’une blockchain à l’autre et réparties entre des milliers d’adresses.

Des banques aux exchanges crypto

L’histoire de Lazarus Group a commencé bien avant que les actifs numériques ne se généralisent. Le groupe a été associé à l’attaque contre Sony Pictures en 2014, tandis que des hackers liés à la Corée du Nord ont dérobé 81 millions de dollars à la banque centrale du Bangladesh via le système SWIFT en 2016.

Le tournant suivant est survenu avec l’expansion du marché des cryptomonnaies. Contrairement aux banques traditionnelles, les entreprises crypto contrôlaient d’importants volumes d’actifs liquides, fonctionnaient 24 heures sur 24 et dépendaient souvent d’une poignée d’employés, de clés privées ou de systèmes de signature des transactions.

L’une des attaques les plus importantes a été le piratage de Ronin Bridge en mars 2022. Environ 620 millions de dollars d’actifs ont été dérobés au système associé à Axie Infinity. Le FBI a ensuite officiellement attribué l’opération à Lazarus Group et APT38.

Voir la publication sur X Chargement…

Le tweet a été supprimé par son auteur.

Mais nous avons tout sauvegardé 🙂.

En juin de la même année, le Horizon Bridge de Harmony a été attaqué, entraînant des pertes d’environ 100 millions de dollars. En 2023, Atomic Wallet, Alphapo, CoinsPaid et Stake.com ont rejoint la liste des victimes, tandis que DMM Bitcoin, au Japon, a perdu 308 millions de dollars supplémentaires en 2024.

Des milliards volés en quelques années seulement

L’incident le plus retentissant s’est produit en février 2025, lorsque Bybit a perdu environ 1,5 milliard de dollars. Le FBI a lié ce vol à la campagne TraderTraitor menée par la Corée du Nord. Par le montant dérobé, il est devenu le plus grand vol de cryptomonnaies jamais enregistré en une seule opération.

Chainalysis a estimé que les groupes liés à la Corée du Nord avaient volé au moins 2 milliards de dollars en cryptomonnaies en 2025. À la fin de cette année-là, le total cumulé des années précédentes avait atteint 6,75 milliards de dollars.

Voir la publication sur X Chargement…

Le tweet a été supprimé par son auteur.

Mais nous avons tout sauvegardé 🙂.

Les attaques se sont poursuivies en 2026. Des chercheurs ont attribué de grands vols visant Drift Protocol et KelpDAO à des acteurs nord-coréens, tandis que le piratage de Bitget en septembre a porté le montant volé au cours de l’année à plus de 1 milliard de dollars.

Toutes les attaques menées par des groupes nord-coréens ne sont pas officiellement attribuées à Lazarus lui-même, et différents noms désignent souvent des équipes distinctes au sein du même système soutenu par l’État. Il est donc plus exact d’affirmer que les hackers liés à la Corée du Nord avaient volé plus de 7 milliards de dollars en cryptomonnaies à l’automne 2026, Lazarus restant l’une des composantes centrales de cette opération.

Les hackers ciblent les personnes, pas les blockchains

Les grandes opérations de Lazarus commencent de plus en plus souvent non pas par une vulnérabilité d’un smart contract, mais par l’accès à un employé ou aux systèmes internes d’une entreprise. De faux recruteurs contactent des développeurs via LinkedIn, envoient des « tests techniques », des fichiers ou dépôts malveillants, et tentent d’obtenir des identifiants ou l’accès aux appareils professionnels.

Les autorités américaines et japonaises ont décrit précisément cette méthode après le piratage de DMM Bitcoin. Un attaquant se faisant passer pour un recruteur a contacté un employé de Ginco, une entreprise associée à l’exchange, et a utilisé l’ingénierie sociale pour accéder à un système impliqué dans le traitement des transactions.

Une autre approche nécessite plusieurs mois de préparation. Des informaticiens nord-coréens obtiennent des emplois dans des entreprises crypto légitimes sous de fausses identités et accèdent ainsi aux systèmes internes en tant qu’employés.

Voir la publication sur X Chargement…

Le tweet a été supprimé par son auteur.

Mais nous avons tout sauvegardé 🙂.

Selon TRM Labs, environ 76 % de la valeur volée au premier semestre 2026 résultait de compromissions de systèmes internes et de processus opérationnels. Le contrôle d’une clé privée, d’un compte ou d’un système de signature des transactions permet aux attaquants de déplacer les fonds sans exploiter une vulnérabilité de la blockchain elle-même.

Deuxième étape : déplacer les fonds volés

Immédiatement après une attaque, les actifs volés sont répartis entre de nombreuses adresses, échangés via des plateformes décentralisées, transférés d’une blockchain à l’autre et acheminés par des services qui rendent les transactions plus difficiles à retracer.

Après le piratage de Horizon Bridge, le FBI a suivi l’utilisation de RAILGUN, tandis que Lazarus a utilisé Tornado Cash lors d’autres opérations et s’était auparavant appuyé sur Sinbad. Lorsque certains services ont fait l’objet de sanctions ou ont fermé, les itinéraires de blanchiment ont changé.

Après le piratage de Bybit, les actifs volés ont été rapidement convertis, répartis entre des milliers d’adresses et transférés d’une blockchain à l’autre.

Une affaire récente montre jusqu’où ce réseau s’étend au-delà de la Corée du Nord elle-même. ZachXBT affirme qu’un réseau criminel chinois a contribué à blanchir plus de 1 milliard de dollars dérobés par Lazarus lors de plusieurs attaques. Après le piratage de Bybit, l’enquêteur s’est infiltré dans le réseau en se faisant passer pour un client et a établi le lien entre certains opérateurs et des millions de dollars de fonds volés.

Pourquoi Lazarus reste une menace systémique

Le blocage d’un seul portefeuille ou service suffit rarement à arrêter Lazarus. Derrière un groupe d’adresses peuvent se trouver de nouveaux intermédiaires, des employés opérant sous de fausses identités, des réseaux de blanchiment et un système dépendant d’un flux constant de fonds.Les autorités américaines relient directement les revenus de ces opérations aux programmes nord-coréens, notamment au développement de missiles balistiques et d’armes nucléaires. Pour un régime soumis à de lourdes sanctions, le secteur des cryptomonnaies est devenu un moyen d’obtenir des devises étrangères sans accès au système financier international traditionnel.

Cela modifie également les exigences en matière de sécurité. Les exchanges et les projets DeFi ne peuvent plus se reposer uniquement sur les audits de smart contracts. Ils doivent aussi surveiller les recrutements, les appareils des employés, les droits d’accès, les systèmes de signature des transactions et les prestataires tiers.

Dans le même temps, chaque vol majeur accroît la pression sur des services qui peuvent aussi avoir des usages légitimes. Les mixers, les bridges et les exchanges décentralisés font face à des sanctions et à un contrôle réglementaire accru lorsque des centaines de millions de dollars liés à la Corée du Nord y transitent.

Au cours des dernières années, Lazarus est passé du statut de groupe de hackers parmi d’autres à celui de menace systémique pour le secteur des cryptomonnaies. Son avantage ne réside pas dans une vulnérabilité sophistiquée particulière, mais dans sa capacité à combiner ingénierie sociale, accès internes, attaques techniques et blanchiment d’argent international au sein d’une opération coordonnée.

L’ampleur du problème ne peut donc plus être mesurée uniquement en milliards de dollars volés. Tant que les entreprises crypto resteront des cibles faciles pour accéder à des actifs numériques liquides et que des réseaux permettront de transférer et de blanchir les fonds volés, les attaques de Lazarus resteront une menace persistante pour l’ensemble du secteur, et non des incidents isolés.