Imaginez un monde où près de neuf dixièmes des pertes liées aux piratages de cryptomonnaies en une seule année se concentrent entre les mains d’un seul acteur étatique. C’est exactement ce que révèle le dernier bilan publié fin octobre 2026. Les chiffres donnent le vertige : 89 % des montants signalés comme volés via des attaques informatiques sur l’écosystème crypto seraient attribuables à des groupes liés à la Corée du Nord. Une domination qui n’a rien d’anecdotique et qui redéfinit complètement le paysage de la menace cyber dans le secteur des actifs numériques.
Un bilan 2026 qui change la donne
Les données compilées jusqu’au 29 octobre montrent une concentration inédite. Sur l’ensemble des pertes déclarées cette année, la part attribuée aux opérations nord-coréennes atteint presque 89 %. Pour mesurer l’ampleur de l’évolution, il suffit de regarder en arrière. En 2021, cette même part n’était que de 15 %. L’écart se creuse de manière spectaculaire. Sur la période cumulée depuis 2021, les opérations suspectées totalisent déjà 13,24 milliards de dollars sur un total de 22,34 milliards, soit environ 59 % de l’ensemble des pertes rapportées.
Ce qui frappe encore davantage, c’est l’évolution de la taille moyenne des coups. En 2021, une attaque attribuée à ces groupes rapportait en moyenne autour de 50,65 millions de dollars. En 2026, ce chiffre grimpe à environ 185,65 millions. Autrement dit, chaque opération réussie devient nettement plus rentable. Les attaques sont moins nombreuses mais nettement plus dévastatrices.
Des vols de plus en plus concentrés et rentables
Le rapport de l’année précédente avait déjà souligné une tendance inquiétante. En 2025, les groupes liés à Pyongyang auraient empoché 2,02 milliards de dollars, soit 51 % de plus que l’année antérieure, malgré un nombre d’attaques en baisse. Le cumul des vols jusqu’à fin 2025 était alors estimé à 6,75 milliards. Les chiffres de 2026 confirment et amplifient ce mouvement. Les opérateurs se concentrent désormais sur des cibles à très haute valeur.
Les méthodes évoluent aussi. Les analystes décrivent des opérations qui mêlent insertion de travailleurs informatiques au sein même des services crypto, usurpation d’identité de dirigeants et attaques sophistiquées sur les processus de signature et les infrastructures de clés privées. L’objectif est souvent de tromper des signataires légitimes pour leur faire approuver des transactions malveillantes. Sur les plateformes centralisées, ces techniques se révèlent particulièrement efficaces.
À retenir : la taille moyenne d’une attaque attribuée à la Corée du Nord a quasiment multiplié par 3,7 depuis 2021. La rentabilité par opération a explosé.
L’attaque majeure de Binance et ses connexions
Le 29 octobre, une brèche sur Binance a fait l’effet d’un électrochoc. Les estimations des pertes dépassent les 6 milliards de dollars pour ce seul incident. La plateforme a rapidement annoncé avoir provisionné plus de 6,34 milliards afin de compenser les utilisateurs touchés, en s’appuyant sur ses réserves et son fonds de sécurisation des actifs. Elle a également commencé à racheter des altcoins volés en utilisant Bitcoin, Ethereum et des stablecoins.
Les enquêteurs ont rapidement lié cette opération au groupe TraderTraitor, déjà associé à des activités nord-coréennes. Le point le plus révélateur vient de l’observation des flux : une partie des fonds volés chez Binance a été mélangée avec des actifs provenant de l’attaque contre Bitget survenue en septembre, elle-même attribuée aux mêmes acteurs. Cette connexion directe entre deux pools de fonds volés constitue, selon les analystes, l’un des éléments de preuve les plus solides de l’attribution.
Une autre société spécialisée a confirmé l’attribution avec un haut niveau de confiance, s’appuyant à la fois sur des données on-chain et off-chain. La valorisation des transferts a été établie à 6,36 milliards de dollars en se basant sur les prix au moment du vol. Les fonds ont ensuite été tracés sur une dizaine de blockchains différentes.
Des préparatifs minutieux et un blanchiment automatisé
Les investigations ont révélé que les préparatifs avaient commencé au moins 36 heures avant le coup. On observe des retraits modestes via Tornado Cash, le déploiement de code d’attaque et des répétitions sur des portefeuilles de test. Sur Ethereum, l’opération a utilisé des autorisations pré-signées. Sur d’autres réseaux, il s’agissait de transferts ordinaires signés.
Une fois les fonds en main, le schéma de blanchiment a frappé les observateurs par son automatisation. Des milliers de transactions ont fait circuler les actifs entre différentes adresses, parfois en revenant vers des portefeuilles déjà utilisés plus tôt dans la chaîne. Un motif récurrent a attiré l’attention : de nombreuses adresses recevaient d’abord exactement 1 TRX avant d’accepter et de transmettre des montants plus importants. Ce comportement répétitif pointe clairement vers un processus automatisé de distribution des fonds volés.
Dans la phase initiale, alors que l’attaquant cherchait à échapper aux gels de stablecoins, 500 millions de dollars en stablecoins ont été envoyés vers un portefeuille dédié aux échanges. En moins de 20 minutes, 325 millions ont été convertis en 285 millions d’ETH. Les 175 millions restants ont ensuite été dirigés vers des portefeuilles intermédiaires.
« Les séquences observées après le vol montrent un niveau d’automatisation rare. Le schéma avec le 1 TRX récurrent n’est pas le fruit du hasard. »
Le rejet officiel des sanctions par Pyongyang
Le 31 octobre, un porte-parole du ministère des Affaires étrangères nord-coréen a fermement rejeté une déclaration multinationale visant à renforcer l’application des sanctions. Le ton était sans ambiguïté : « Les sanctions et la pression peuvent fonctionner sur les faibles, mais jamais sur nous. » La déclaration visait explicitement les mesures prises contre le pays et son statut nucléaire.
Quelques jours plus tôt, une déclaration conjointe de onze pays et de l’Union européenne avait rappelé les sanctions ciblant les travailleurs nord-coréens à l’étranger, les activités cyber malveillantes et la coopération militaire illégale avec la Russie. Les signataires ont appelé l’ensemble des membres des Nations Unies à appliquer les résolutions existantes du Conseil de sécurité. Ils se sont appuyés sur les rapports de l’équipe multilatérale de suivi des sanctions, mise en place après que la Russie a bloqué le renouvellement du précédent panel d’experts de l’ONU en 2024.
Ce rejet n’est pas anodin. Il confirme que les revenus tirés des opérations cyber restent une source de financement stratégique pour le régime, notamment pour ses programmes d’armement. Les vols de cryptomonnaies apparaissent ainsi comme une réponse directe aux restrictions économiques imposées par la communauté internationale.
Pourquoi les échanges centralisés restent des cibles privilégiées
Les plateformes d’échange centralisées concentrent d’énormes volumes d’actifs sous une gouvernance unique. Cette concentration crée des points d’entrée uniques très attractifs. Les attaques contre les processus de signature multi-signatures ou contre les infrastructures de gestion des clés privées permettent, lorsqu’elles réussissent, de vider rapidement des portefeuilles contenant des centaines de millions, voire des milliards.
Les groupes nord-coréens ont perfectionné des techniques d’ingénierie sociale avancées. L’insertion de travailleurs informatiques au sein des équipes techniques ou la création de fausses identités pour approcher des dirigeants constituent des vecteurs d’accès privilégiés. Une fois à l’intérieur, l’objectif est souvent d’obtenir des approbations de transactions qui paraissent légitimes.
La vitesse d’exécution une fois l’accès obtenu est également impressionnante. Les préparatifs minutieux observés avant l’attaque de Binance montrent une capacité de planification à moyen terme et une bonne compréhension des mécanismes de défense des plateformes.
Les conséquences pour l’ensemble de l’écosystème
Lorsque près de 90 % des pertes annuelles sont concentrées sur un seul type d’acteur, les implications sont multiples. D’abord pour la confiance des utilisateurs. Même si les grandes plateformes s’engagent à compenser les pertes, la répétition d’incidents de cette ampleur érode la perception de sécurité du secteur.
Ensuite pour les régulateurs. La dimension étatique de la menace complique considérablement la réponse. Les outils classiques de lutte contre le blanchiment et le financement du terrorisme se heurtent à un adversaire qui opère depuis un territoire peu coopératif et qui dispose de ressources étatiques.
Enfin pour les autres acteurs cybercriminels. La réussite et la rentabilité des opérations nord-coréennes peuvent inspirer d’autres groupes, tout en poussant les plateformes à renforcer considérablement leurs défenses. On assiste ainsi à une course permanente entre attaquants et défenseurs.
Point de vigilance : la concentration des pertes sur un nombre réduit d’incidents majeurs signifie que la sécurité globale du secteur dépend de plus en plus de la capacité des plus grandes plateformes à résister à des attaques sophistiquées.
Les techniques de blanchiment sous le microscope
Le schéma observé après l’attaque de Binance mérite une attention particulière. L’utilisation massive de transactions répétitives entre adresses, le motif du 1 TRX initial et la conversion rapide de stablecoins en ETH montrent une capacité à orchestrer des mouvements à grande échelle tout en cherchant à contourner les mécanismes de gel.
Ces techniques ne sont pas nouvelles dans le principe, mais leur automatisation et leur volume le sont. Les équipes de renseignement blockchain disposent désormais d’outils de plus en plus performants pour suivre ces flux. La connexion établie entre les fonds de Binance et ceux de Bitget illustre parfaitement la valeur de l’analyse on-chain continue.
Pourtant, la vitesse à laquelle les fonds sont dispersés reste un défi majeur. Une fois les actifs convertis et répartis sur de nombreuses chaînes et adresses, la récupération devient extrêmement complexe, même lorsque l’attribution est claire.
Un contexte géopolitique qui aggrave la situation
Le rejet des sanctions par Pyongyang s’inscrit dans une posture de défi permanent. Le régime considère ces mesures comme inefficaces et revendique sa capacité à contourner les restrictions. Les revenus tirés des opérations cyber constituent une source de devises étrangères d’autant plus précieuse que les exportations traditionnelles restent lourdement sanctionnées.
La coopération militaire mentionnée dans la déclaration internationale ajoute une couche supplémentaire de complexité. Lorsque les activités cyber sont liées à des enjeux de sécurité nationale et de programmes d’armement, la réponse ne peut se limiter au seul domaine de la cybersécurité ou de la régulation financière.
Les pays signataires de la déclaration du 28 octobre insistent sur la nécessité d’appliquer pleinement les résolutions existantes. Pourtant, l’absence d’un mécanisme de suivi onusien pleinement opérationnel depuis 2024 complique le travail de coordination internationale.
Ce que les chiffres révèlent sur l’évolution de la menace
L’augmentation de la taille moyenne des attaques depuis 2021 n’est pas un hasard. Elle reflète une professionnalisation croissante, une meilleure sélection des cibles et une capacité à maximiser le rendement de chaque opération réussie. Les groupes ont appris à concentrer leurs efforts sur les points où le gain potentiel est le plus élevé.
En 2025 déjà, trois attaques majeures représentaient 69 % des pertes subies par les services. Cette concentration s’accentue en 2026 avec des incidents de l’ampleur de celui de Binance. Le secteur se trouve face à une menace qui privilégie la qualité et l’impact sur la quantité d’opérations.
Cette évolution impose aux plateformes de revoir leurs modèles de sécurité. Les approches purement techniques ne suffisent plus. La protection des processus humains, la vérification des identités des collaborateurs et la résistance à l’ingénierie sociale deviennent aussi importantes que les contrôles cryptographiques.
Les défis pour les équipes de sécurité et les régulateurs
Pour les équipes de sécurité des plateformes d’échange, le défi est double. Il faut à la fois renforcer les défenses techniques et anticiper des scénarios d’attaque de plus en plus sophistiqués. Les préparatifs observés 36 heures avant le vol de Binance montrent que les attaquants testent et valident leurs méthodes avant de frapper.
Du côté des régulateurs et des autorités, la dimension étatique de la menace limite les possibilités d’action directe. Les outils de gel d’actifs, de coopération judiciaire internationale et de sanctions ciblées restent utiles, mais leur efficacité dépend de la capacité à coordonner les réponses entre de nombreux acteurs.
Les sociétés spécialisées dans l’analyse blockchain jouent un rôle central. Leur capacité à retracer les fonds, à identifier les schémas de blanchiment et à établir des liens entre différentes opérations fournit des éléments de preuve essentiels pour les attributions.
Vers une nouvelle normalité dans la sécurité crypto
La situation observée en 2026 pourrait bien constituer un nouveau standard plutôt qu’une exception. Tant que les revenus tirés des opérations cyber resteront stratégiques pour certains États, la pression sur l’écosystème crypto restera élevée. Les plateformes les plus exposées devront investir massivement dans la résilience et dans la capacité de réponse rapide.
La compensation des utilisateurs, comme l’a fait Binance en provisionnant plus de 6,34 milliards, reste un signal important. Elle montre que les acteurs majeurs prennent leurs responsabilités. Elle ne résout cependant pas le problème de fond : la capacité d’acteurs étatiques à extraire des montants colossaux du système.
Les utilisateurs, de leur côté, sont rappelés à la nécessité de diversifier leurs risques et de ne pas concentrer l’intégralité de leurs avoirs sur une seule plateforme, même parmi les plus importantes. La sécurité collective dépend aussi de comportements individuels plus prudents.
En résumé, les points clés de 2026 :
- 89 % des pertes de piratages crypto attribuées à des acteurs liés à la Corée du Nord
- Taille moyenne des attaques multipliée par près de 3,7 depuis 2021
- Une seule opération (Binance) dépassant les 6 milliards de dollars
- Connexion établie entre les fonds volés chez Binance et ceux de Bitget
- Rejet officiel et catégorique des sanctions par Pyongyang
Ce qu’il faut surveiller dans les mois à venir
Plusieurs indicateurs permettront de mesurer l’évolution de la menace. Le premier reste le volume total des pertes attribuées aux groupes nord-coréens d’ici la fin de l’année. Si la tendance actuelle se confirme, 2026 marquera un record absolu.
Le deuxième indicateur concerne la capacité des plateformes à détecter et à bloquer les préparatifs d’attaque. Les 36 heures de préparatifs observés avant le vol de Binance constituent une fenêtre potentielle d’intervention si les signaux sont correctement analysés.
Enfin, l’efficacité des mécanismes de gel et de récupération des fonds après un incident restera déterminante. Plus les fonds sont dispersés rapidement et sur un grand nombre de chaînes, plus la récupération devient improbable.
La domination nord-coréenne sur les pertes de piratages crypto en 2026 n’est pas seulement un chiffre. C’est le symptôme d’une menace structurée, résiliente et profondément liée à des enjeux géopolitiques. L’écosystème des actifs numériques doit désormais composer avec cette réalité de manière durable.
Les prochains mois diront si les renforcements de sécurité et la coordination internationale permettront de freiner cette dynamique, ou si les attaques de très grande ampleur resteront la norme. Dans tous les cas, la vigilance et l’adaptation permanente s’imposent à tous les acteurs du secteur.
