Imaginez un instant : des centaines de Bitcoin, équivalant à près de vingt millions de dollars, qui changent soudainement de portefeuille en pleine nuit. Ce n’est pas une simple transaction banale. C’est le signe que l’un des groupes de pirates les plus redoutés de la planète cryptographique vient de se réveiller. Le groupe Lazarus, longtemps associé aux intérêts de la Corée du Nord, a de nouveau fait parler de lui en déplaçant 244,148 BTC estimés à environ 19,42 millions de dollars. Cette activité, signalée récemment, ravive les inquiétudes d’une industrie encore marquée par des vols records et des tentatives de blanchiment sophistiquées.
Un Mouvement Massif Qui Relance Toutes Les Questions
Les observateurs du monde crypto ont immédiatement réagi. Selon les données partagées par des analystes spécialisés dans le suivi on-chain, des portefeuilles attribués à Lazarus sont devenus actifs et ont transféré cette somme importante. Au moment de l’estimation, le Bitcoin évoluait autour de 79 500 dollars, ce qui a permis de fixer la valeur de l’opération à 19,42 millions. Pourtant, le destinataire exact de ces fonds n’a pas été clairement identifié dans les communications publiques. On ignore s’il s’agit d’un échange, d’un service de mixage ou simplement d’un autre wallet contrôlé par le même réseau.
Cette absence d’information claire est importante. Sur la blockchain, chaque transfert est public et horodaté. Mais relier un adresse à une organisation nécessite un travail d’analyse approfondi, des labels fournis par des firmes d’intelligence et parfois des investigations officielles. Sans destination connue, il est impossible d’affirmer que le groupe a tenté de monétiser ces Bitcoin ou de les diluer dans le système financier classique.
Un Pattern Qui Se Répète Dans L’été 2026
Ce n’est pas la première alerte de la saison. Plus tôt dans le mois, le 12 août, le même type de signalement indiquait le déplacement de 262,2 BTC, alors valorisés à environ 16,64 millions de dollars. Là encore, il s’agissait d’un transfert entre wallets et non d’une vente directe sur un marché. Si l’on additionne les deux opérations, plus de 36 millions de dollars en Bitcoin ont changé d’adresse sous l’étiquette Lazarus en l’espace de quelques semaines.
Ces mouvements successifs rappellent une stratégie déjà observée par le passé. En mars 2025, cinq adresses inconnues avaient reçu un total de 44,07 BTC, soit environ 3,76 millions de dollars, provenant de portefeuilles liés au groupe. Après ces envois, le solde suivi d’un wallet principal était tombé à 13 441 BTC. Chaque transfert réduit la visibilité et complique le travail des enquêteurs.
Les transferts inter-wallets permettent de fragmenter les fonds et de rendre le tracking plus difficile sans nécessairement passer par des échanges centralisés immédiatement.
Le Contexte Du Vol Bybit Et Ses Conséquences
Pour comprendre l’ampleur du phénomène, il faut revenir à l’un des plus grands braquages de l’histoire de la cryptomonnaie. En février 2025, la plateforme Bybit a été victime d’une attaque massive estimée à 1,5 milliard de dollars. Les autorités américaines, notamment le FBI, ont attribué cette opération à des acteurs nord-coréens opérant sous le nom de TraderTraitor, une branche associée à Lazarus.
Les pirates ont rapidement converti une partie des actifs volés en Bitcoin et dans d’autres tokens, puis les ont dispersés à travers des milliers d’adresses sur plusieurs blockchains. Cette stratégie de dilution rend le suivi extrêmement complexe. Dès le mois d’avril 2025, le dirigeant de Bybit indiquait que 27,6 % des fonds n’étaient déjà plus traçables. La répartition sur de multiples wallets Bitcoin avait considérablement ralenti les efforts de récupération.
En août 2026, Bybit a engagé une action civile devant un tribunal fédéral de Washington. La plainte vise non seulement le groupe Lazarus mais aussi la Corée du Nord et son Bureau général de reconnaissance, l’agence de renseignement principale du pays selon le Trésor américain. Une injonction préliminaire a été prononcée pour empêcher les défendeurs non identifiés de transférer, vendre ou disposer de certains actifs liés à l’affaire. Cette mesure ne constitue pas un jugement définitif, mais elle fige temporairement les biens identifiés pendant la procédure.
Le FBI avait clairement prévenu : les actifs seraient probablement déplacés à nouveau et finiraient par être échangés contre des monnaies fiduciaires. Les échanges, les bridges, les services DeFi et les opérateurs de nœuds étaient invités à bloquer les transactions impliquant les adresses signalées.
À ce jour, aucun lien officiel n’a été établi entre le transfert de 244 BTC du 28 août et le butin de Bybit. Ni agence gouvernementale ni firme d’analyse blockchain n’a publiquement identifié la source précise de ces coins. L’incertitude demeure totale.
Une Année 2025 Record Pour Les Attaques Nord-Coréennes
Les chiffres publiés par les cabinets spécialisés donnent le vertige. Selon les estimations de Chainalysis, les pirates nord-coréens ont volé au moins 2,02 milliards de dollars en cryptomonnaies au cours de l’année 2025. Cela représente une hausse de 51 % par rapport à l’année précédente. Le cumul des vols attribués au pays atteignait alors au minimum 6,75 milliards de dollars.
Plus frappant encore : ces opérations auraient représenté 76 % de la valeur totale perdue lors d’attaques contre des services crypto cette année-là. Les acteurs ont multiplié les gros coups tout en réduisant le nombre d’incidents confirmés. Moins d’attaques, mais des montants bien plus élevés à chaque succès.
Les méthodes ont aussi évolué. Les opérateurs ciblent de plus en plus les entreprises via l’ingénierie sociale et l’accès interne. Certains se font passer pour des candidats à l’emploi afin de pénétrer les structures crypto. D’autres se font passer pour des recruteurs de sociétés Web3 ou d’intelligence artificielle reconnues. Une fois à l’intérieur, l’accès aux systèmes et aux clés devient plus facile.
L’Attaque Contre KelpDAO En 2026
L’activité attribuée à Lazarus ne s’est pas arrêtée en 2025. En avril 2026, des attaquants ont vidé environ 116 500 rsETH, valant près de 292 millions de dollars, depuis le bridge de KelpDAO basé sur LayerZero. L’équipe de LayerZero a attribué l’attaque avec un niveau de confiance préliminaire à l’unité TraderTraitor du groupe Lazarus.
L’analyse technique a révélé une compromission de l’infrastructure qui fournissait les informations blockchain au système de vérification de LayerZero. En injectant de fausses données, les pirates ont forcé un contrat Ethereum à libérer des actifs alors qu’aucun brûlage de tokens correspondant n’avait eu lieu sur le réseau source. Une intervention rapide a toutefois permis de bloquer une seconde tentative évaluée à environ 95 millions de dollars. Le Conseil de sécurité d’Arbitrum a également gelé plus de 30 000 ETH liés aux transactions en aval de l’attaquant.
Quelques semaines plus tard, en juin, l’attaquant de KelpDAO avait déjà fait passer environ 220 millions de dollars d’actifs non gelés à travers divers services de confidentialité. Les routes empruntées incluaient THORChain, Wasabi, Tornado Cash et Umbra. Seuls environ 1,7 million de dollars restaient encore dans les wallets d’origine.
Points clés à retenir sur les méthodes récentes :
- Compromission d’infrastructures de vérification
- Utilisation intensive de services de mixage et de privacy
- Dispersion rapide des fonds sur de multiples chaînes
- Ciblage d’employés via fausses offres d’emploi
Les Sanctions Américaines Et Leurs Limites
Le groupe Lazarus figure sur la liste des sanctions du Trésor américain depuis septembre 2019. L’Office of Foreign Assets Control l’a désigné, aux côtés de Bluenoroff et Andariel, comme un groupe de piratage contrôlé par l’État nord-coréen et rattaché au Bureau général de reconnaissance. Cette désignation entraîne des obligations strictes.
Toute propriété appartenant à Lazarus qui entre aux États-Unis ou qui tombe sous le contrôle d’une personne américaine doit être bloquée et signalée. Les réglementations interdisent également, de manière générale, aux ressortissants américains de réaliser des transactions avec des entités sanctionnées, sauf autorisation préalable. Ces mesures visent à isoler financièrement le groupe et à dissuader les intermédiaires de collaborer, volontairement ou non.
L’historique des opérations attribuées à Lazarus est long et varié. Le Trésor l’a lié à l’attaque contre Sony Pictures en 2014, au ransomware WannaCry qui a touché des ordinateurs dans au moins 150 pays, ainsi qu’à de nombreuses campagnes de cyber-vol, d’espionnage et de malware ciblant gouvernements, institutions financières, médias, industriels et entreprises crypto.
Les autorités ont également frappé les outils utilisés pour traiter les fonds. En 2022, le mixer Blender.io a été sanctionné après avoir traité plus de 20,5 millions de dollars issus du vol de 620 millions sur le réseau Ronin, attaque attribuée à Lazarus et APT38. En août 2023, le FBI avait déjà alerté le secteur crypto sur d’éventuels cash-outs de plus de 40 millions de dollars en Bitcoin volés par des acteurs TraderTraitor, en publiant six adresses de wallets à surveiller.
Pourquoi Ces Transferts Continuent De Préoccuper
Chaque nouveau mouvement de fonds attribués à Lazarus rappelle que les actifs volés restent liquides et mobiles. Même lorsque les montants sont fragmentés et passés par des services de confidentialité, une partie finit souvent par réapparaître sur des plateformes d’échange ou dans des circuits de conversion en monnaies nationales. Le défi pour les régulateurs et les entreprises est permanent : identifier les adresses, bloquer les flux, et collaborer à l’échelle internationale.
Le fait que le transfert du 28 août n’ait pas de destination publique claire alimente les spéculations. S’agit-il d’une simple réorganisation interne des wallets pour éviter la détection ? D’une étape préparatoire à un cash-out plus important ? Ou d’une opération liée à un autre vol non encore publicisé ? Les réponses manquent, et c’est précisément ce qui maintient la tension.
Dans le même temps, l’industrie crypto a progressé en matière de collaboration. Les alertes du FBI, les listes d’adresses partagées, les injonctions judiciaires et les efforts des firmes d’analyse on-chain ont permis de récupérer ou de geler une partie des fonds dans plusieurs affaires. Mais le taux de récupération reste faible face à l’ampleur des montants volés.
Les Implications Pour Les Acteurs Du Marché
Pour les exchanges, les services de custody et les protocoles DeFi, la vigilance est devenue une obligation permanente. Recevoir ou traiter des fonds liés à des adresses sanctionnées expose à des risques réglementaires majeurs, notamment pour les entités américaines ou celles qui opèrent avec des clients américains. Les outils de screening d’adresses et les procédures de conformité se sont multipliés, mais ils ne sont jamais infaillibles face à des acteurs sophistiqués qui multiplient les hops et utilisent des mixeurs.
Les investisseurs individuels, de leur côté, restent largement spectateurs. Pourtant, les attaques de grande ampleur contribuent à la perception de risque du secteur et peuvent influencer la confiance à long terme. Chaque nouveau record de vol rappelle que la sécurité des protocoles et des bridges reste un chantier permanent.
Les gouvernements, quant à eux, voient dans ces opérations une source de financement pour un régime isolé. Les sanctions existent, les poursuites judiciaires se multiplient, mais l’efficacité dépend de la capacité à intercepter les fonds avant qu’ils ne soient convertis et absorbés dans l’économie réelle.
| Événement | Période | Montant approximatif |
|---|---|---|
| Transfert Lazarus | 28 août 2026 | 19,42 M$ (244 BTC) |
| Transfert précédent | 12 août 2026 | 16,64 M$ (262 BTC) |
| Attaque KelpDAO | Avril 2026 | 292 M$ |
| Vol Bybit | Février 2025 | 1,5 Md$ |
Une Menace Qui Évolue Avec La Technologie
Ce qui frappe dans l’évolution des opérations attribuées à Lazarus, c’est leur adaptation constante. Des attaques classiques contre des exchanges aux compromissions d’infrastructures de bridges, en passant par l’ingénierie sociale ciblant les employés, le groupe et ses unités associées démontrent une capacité à suivre les points faibles de l’écosystème. Les bridges cross-chain, qui facilitent les transferts entre blockchains, sont devenus des cibles privilégiées en raison de leur complexité technique et des valeurs qu’ils sécurisent.
La dispersion des fonds sur des milliers d’adresses, combinée à l’usage de protocoles de confidentialité, transforme chaque vol en un puzzle à long terme pour les enquêteurs. Même lorsque des quantités importantes sont gelées, une part significative échappe souvent au contrôle. Le ratio de 27,6 % de fonds déjà non traçables quelques mois après Bybit illustre bien cette réalité.
Dans ce contexte, le simple fait de voir des wallets historiques se réactiver et déplacer des dizaines de millions de dollars suffit à mobiliser l’attention de toute l’industrie. Ces signaux sont surveillés en temps réel par des dizaines d’équipes d’analyse. Chaque hop, chaque interaction avec un mixer, chaque tentative d’entrée sur un exchange centralisé est susceptible de déclencher des alertes et des blocages.
Ce Que Révèle La Persistence Du Groupe
La réapparition régulière d’activité sur des portefeuilles liés à Lazarus montre que le réseau dispose toujours de réserves importantes et d’une organisation capable de les gérer sur plusieurs années. Les vols de 2025 et 2026 n’ont pas tari les flux. Au contraire, ils semblent s’inscrire dans une stratégie continue de financement via le cyber-espace.
Pour les observateurs, ces mouvements constituent aussi un baromètre de l’efficacité des sanctions et des mesures de conformité. Tant que des sommes aussi importantes peuvent être déplacées sans cash-out immédiat visible, la question de la liquidité réelle des actifs volés reste ouverte. Le jour où ces Bitcoin apparaîtront sur une plateforme d’échange ou seront convertis en monnaies fiduciaires, de nouvelles opportunités de saisie se présenteront… ou pas.
En attendant, l’écosystème crypto continue de vivre sous la menace permanente de nouveaux coups. Les montants en jeu, la sophistication des techniques et la capacité à rester actif malgré des années de sanctions illustrent la difficulté de neutraliser un acteur étatique déterminé. Le transfert de 19,4 millions de dollars n’est peut-être qu’un épisode de plus dans une longue série. Mais chaque épisode rappelle que la bataille pour la traçabilité et la récupération des fonds est loin d’être terminée.
Les prochaines semaines diront si ce mouvement de 244 BTC précède une tentative de monétisation plus large ou s’il s’agit simplement d’une nouvelle étape de fragmentation. Dans tous les cas, les yeux restent rivés sur la blockchain, là où chaque transaction laisse une trace indélébile, même lorsque son auteur cherche à disparaître dans l’ombre.
La vigilance collective reste le principal outil de défense. Exchanges, protocoles, autorités et analystes doivent continuer à collaborer pour réduire les fenêtres d’opportunité offertes aux acteurs malveillants. Car tant que des dizaines de millions peuvent circuler sous l’étiquette d’un groupe sanctionné, le risque systémique demeure présent pour l’ensemble du marché.
