Imaginez la scène : vous êtes tranquillement chez vous, en train de discuter stratégie blockchain avec un contact de longue date via Zoom. La voix semble familière, le visage aussi… jusqu’à ce que vous réalisiez, trop tard, que rien n’est réel. Derrière l’écran, un groupe de hackers extrêmement organisés tire les ficelles. Et cette fois, la cible n’est autre que l’univers crypto, où chaque faille peut coûter des millions.
Depuis plusieurs mois, une vague particulièrement vicieuse de cyberattaques secoue la communauté des développeurs, traders et dirigeants du secteur des cryptomonnaies. Au cœur de cette offensive : l’utilisation massive de deepfakes lors d’appels vidéo, combinée à la prise de contrôle de comptes Telegram déjà bien établis. Le résultat ? Des pertes cumulées qui dépassent déjà plusieurs centaines de millions de dollars.
Quand la confiance devient l’arme la plus dangereuse
Dans le monde de la cybersécurité, on parle souvent d’ingénierie sociale comme l’un des vecteurs d’attaque les plus efficaces. Et pour cause : il ne s’agit plus seulement de phishing par email mal orthographié. Ici, les attaquants misent sur la relation de confiance préexistante pour frapper là où la vigilance est la plus basse.
Le scénario type commence presque toujours de la même manière. Un compte Telegram, utilisé depuis des mois ou des années au sein de la communauté crypto, tombe entre de mauvaises mains. Une fois compromis, ce compte devient une porte d’entrée idéale. Les hackers observent les conversations archivées, étudient les habitudes, les surnoms, les projets en cours… puis passent à l’action.
Le piège parfait : l’appel Zoom « entre amis »
La victime reçoit soudain un message vocal ou textuel : « Salut, on peut faire un call rapide ? J’ai un souci audio sur Zoom mais j’ai besoin de te montrer un truc urgent sur le projet ». Méfiance minimale, car le contact est connu. L’appel démarre. Le visage apparaît, sourit, hoche la tête… mais reste muet. « Problème de micro, je t’explique par chat », écrit le faux contact.
Puis arrive la proposition fatale : « Installe cette petite extension / ce correctif audio rapide, ça prend 30 secondes et ça marche super bien, je l’ai utilisé hier ». Quelques clics plus tard, un malware s’installe discrètement. Souvent un Remote Access Trojan (RAT), capable de capturer l’écran, les frappes clavier, les seeds de wallet, les mots de passe… tout.
« Dès que l’accès est obtenu, les attaquants peuvent littéralement regarder par-dessus l’épaule de la victime et réutiliser le compte compromis pour contaminer la chaîne entière de contacts. »
Ce qui rend cette attaque si redoutable, c’est sa capacité à s’auto-propager. Chaque nouvelle victime devient un nouveau vecteur d’infection. Un effet boule de neige qui explique pourquoi les pertes s’accumulent à une vitesse fulgurante.
Un acteur étatique derrière l’opération
Les experts en cybersécurité s’accordent aujourd’hui pour attribuer ces campagnes à un groupe très particulier. Il s’agit d’une entité nord-coréenne connue pour sa sophistication technique et son lien direct avec le régime de Pyongyang. Ce groupe, actif depuis plus d’une décennie, est spécialisé dans le vol financier à grande échelle, notamment dans l’univers crypto.
Les motivations sont claires : financer le programme nucléaire et balistique du pays via des vols massifs et quasi-indétectables. Les cryptomonnaies offrent un anonymat relatif et une liquidité immédiate, deux atouts majeurs pour un État sous sanctions internationales.
Depuis 2017, ce groupe a multiplié les opérations d’envergure : piratage d’échanges centralisés, exploitation de failles DeFi, ransomwares contre des infrastructures critiques… et désormais cette nouvelle couche d’attaque basée sur l’IA générative et les deepfakes.
Plus de 300 millions de dollars déjà volatilisés
Les chiffres donnent le vertige. En cumulé, les différentes variantes de cette technique (et ses prédécesseurs) ont permis de détourner plus de 300 millions de dollars ces dernières années. Certains cas isolés ont atteint plusieurs millions en une seule opération : un cadre d’un protocole majeur a ainsi perdu 1,3 million de dollars après qu’un wallet ait été vidé sans aucune demande de confirmation.
Ce qui frappe, c’est la précision chirurgicale des assaillants. Ils ne se contentent pas d’un vol aléatoire : ils ciblent des profils à très fort potentiel (développeurs clés, membres d’équipes de sécurité, dirigeants d’exchanges ou de projets layer-1/layer-2).
- Développeurs blockchain travaillant sur des smart contracts
- Employés d’exchanges ou de custodians
- Fondateurs et investisseurs early-stage
- Contributeurs open-source influents
Autant de cibles dont la compromission peut rapporter gros, soit directement via les fonds personnels, soit indirectement en obtenant des clés privées d’infrastructures critiques.
Pourquoi les deepfakes changent tout
Avant l’ère des IA génératives, les attaques par visioconférence reposaient sur des enregistrements vidéo ou des avatars basiques. Aujourd’hui, les modèles d’IA permettent de créer des deepfakes en temps réel, avec synchronisation labiale quasi-parfaite et expressions naturelles.
Le fait que l’attaquant reste muet n’est pas un bug : c’est une fonctionnalité. Cela évite de devoir imiter la voix en direct (tâche encore complexe) tout en maintenant l’illusion visuelle. Le cerveau humain, confronté à un visage connu qui bouge normalement, baisse radicalement sa garde.
À cela s’ajoute l’exploitation des historiques de discussion. Les hackers puisent dans des mois, voire des années de messages pour personnaliser leur discours : « Comme la dernière fois sur le testnet », « Tu te souviens du bug qu’on a corrigé ensemble ? », etc. La manipulation psychologique atteint ici un niveau rarement vu.
Les signaux d’alerte à ne jamais ignorer
Même si l’attaque est sophistiquée, plusieurs indices doivent immédiatement faire sonner l’alarme :
- L’interlocuteur reste systématiquement muet malgré plusieurs relances
- Demande insistante d’installer un logiciel ou une extension « pour le son »
- Refus de passer par un canal officiel connu (Slack d’équipe, Discord vérifié…)
- Comportement légèrement décalé (réponses trop génériques, absence de détails techniques précis)
- Problème soudain alors que la personne n’avait jamais eu de souci audio auparavant
Si un seul de ces points est présent, la meilleure réaction est de couper l’appel et de contacter la personne par un autre canal vérifié (appel téléphonique classique, message sur un groupe connu de longue date, etc.).
Comment se protéger efficacement en 2026 ?
Face à une menace de cette ampleur, la vigilance individuelle ne suffit plus. Voici un ensemble de mesures concrètes, classées par ordre d’importance :
- Authentification à plusieurs facteurs physique : privilégiez les clés matérielles (YubiKey, Ledger, Trezor…) plutôt que les applications smartphone
- Segmentation stricte : un ordinateur dédié uniquement aux opérations crypto, sans navigateur web grand public ni messagerie personnelle
- Air-gapped signing pour les grosses transactions
- Vérification systématique hors-ligne avant toute installation ou clic
- Utilisation de multisig avec des signataires géographiquement dispersés
Du côté des entreprises et projets crypto, la mise en place de politiques strictes s’impose : double validation obligatoire pour tout appel externe, liste blanche d’extensions autorisées, monitoring permanent des endpoints, formations régulières aux menaces émergentes.
L’avenir des attaques IA et la riposte nécessaire
Les experts s’accordent à dire que nous ne sommes qu’au début de l’ère des deepfakes criminels. Dans les 12 à 24 prochains mois, on devrait voir apparaître des deepfakes vocaux en temps réel de très haute qualité, puis des combinaisons voix + visage synchronisées à la perfection.
Face à cela, plusieurs pistes émergent :
- Systèmes de watermarking obligatoire dans les outils de visioconférence grand public
- Authentification biométrique comportementale (manière de parler, micro-mouvements du visage)
- Protocoles de proof of personhood décentralisés
- IA de détection de deepfakes intégrée nativement aux plateformes
Mais aucune de ces solutions ne sera infaillible à 100 %. La clé restera toujours la méfiance active et la vérification multi-canal. Dans un monde où voir ne signifie plus croire, la seule certitude réside dans ce que l’on peut confirmer par des voies indépendantes.
Conclusion : la confiance n’est plus un luxe
Le secteur crypto a toujours fonctionné sur la confiance : confiance dans le code, dans les équipes, dans les pairs. Aujourd’hui, cette force devient son plus grand point faible. Les hackers l’ont parfaitement compris et en tirent parti avec une précision déconcertante.
Pour survivre dans cet environnement hostile, il faudra réinventer nos réflexes. Passer d’une posture de « confiance par défaut » à une posture de « vérification systématique ». Parce que dans la guerre asymétrique que mènent ces groupes étatiques contre les individus et les entreprises du web3, la moindre seconde d’inattention peut coûter une fortune… ou bien plus.
Restez vigilants. Vérifiez toujours. Et surtout, ne cliquez jamais sur ce que vous n’avez pas demandé.
