Imaginez un détenteur institutionnel qui, un beau jour d’octobre, se réveille avec un trou de près de trois millions de dollars dans ses portefeuilles. Pas un simple piratage de particulier, non : une opération soigneusement orchestrée sur la BNB Chain, suivie d’un parcours de blanchiment digne d’un film d’espionnage. Le 8 octobre 2026, environ 2,84 millions de dollars s’évaporent. Quelques jours plus tard, un enquêteur blockchain bien connu lève le voile : le groupe SquidSquad, déjà associé à des campagnes nord-coréennes, est dans le collimateur.
Un vol de 2,84 millions qui intrigue la communauté crypto
L’affaire a éclaté au grand jour le 21 octobre 2026 grâce aux investigations d’un spécialiste de la traçabilité on-chain. Selon ses analyses, l’attaque s’est produite le 8 octobre sur le réseau BNB Smart Chain. L’identité de l’institution touchée reste pour l’instant inconnue, tout comme la méthode exacte utilisée pour compromettre les fonds. Ce flou n’empêche pas les soupçons de se concentrer sur SquidSquad, un groupe régulièrement cité dans les rapports de menaces liés à la Corée du Nord.
Ce qui frappe d’abord, c’est le timing. Les fonds semblent avoir été conservés pendant plusieurs jours avant d’être remis en mouvement le 20 octobre. Ce jour-là, 1 111,2 ETH ont été déposés dans Tornado Cash, le célèbre protocole de confidentialité. Une fois mélangés, les actifs ont été retirés vers trois adresses Ethereum distinctes, puis convertis en USDT0 pour traverser vers le réseau Tron.
Le parcours des fonds : de Tornado Cash aux OTC chinois
Après le passage par Tornado Cash, les enquêteurs ont suivi les retraits jusqu’à deux adresses Tron particulièrement intéressantes : TEvUsnwXvprdvB7eNGiqh6rDiMqFiC8TBU et TVxzjnx3GPDTciiuaqXPaUbU5f5yi3Voux. Ces deux wallets présentent des connexions transactionnelles avec des adresses déjà attribuées à des opérations nord-coréennes. En quelques minutes, les fonds ont été redistribués via des intermédiaires avant d’atterrir chez des dealers over-the-counter chinois.
Cette rapidité n’est pas anodine. Les opérateurs semblent avoir anticipé une possible intervention de Tether, capable de geler des USDT sur les chaînes supportées. En accélérant le transfert vers des OTC, ils cherchaient probablement à convertir les crypto-actifs en monnaie fiduciaire avant toute action de gel. À ce stade, rien ne confirme officiellement si la conversion a bien eu lieu ou si une partie des fonds a finalement été bloquée.
Point clé à retenir : les fonds ont traversé au moins quatre étapes distinctes — BNB Chain, Ethereum via Tornado Cash, Tron en USDT0, puis OTC chinois — en moins de deux semaines.
SquidSquad : un acteur déjà identifié dans les campagnes nord-coréennes
SquidSquad n’est pas un nouveau venu dans le paysage des menaces crypto. Un rapport d’évaluation des menaces publié en 2026 le décrit comme un groupe qui cible spécifiquement les fondateurs, les dirigeants et les investisseurs fortunés du secteur. Leur méthode favorite ? L’usurpation d’identité. Ils se font passer pour des venture capitalists, des investisseurs ou des contacts professionnels, puis tentent d’envoyer des documents ou des logiciels malveillants via Telegram ou LinkedIn.
Les chercheurs ont associé SquidSquad à plusieurs familles de malware, notamment RustBucket, SwiftBucket et NimDoor. Tornado Cash apparaît régulièrement dans leurs circuits de blanchiment. Ces techniques rappellent fortement celles utilisées par d’autres groupes nord-coréens, comme Lazarus, qui a multiplié les campagnes d’ingénierie sociale contre des cadres crypto avec de fausses invitations à des réunions et des logiciels malveillants ciblant macOS.
Les opérateurs nord-coréens excellent dans l’art de combiner ingénierie sociale et outils techniques sophistiqués pour atteindre des cibles à haute valeur.
Un contexte de blanchiment déjà sous haute surveillance
Cette affaire s’inscrit dans une série d’enquêtes plus larges. Quelques jours plus tôt, le 5 octobre, le même enquêteur avait annoncé avoir infiltré un réseau de blanchiment soupçonné d’être lié au groupe Lazarus. En se faisant passer pour un client et en dépensant près de 350 000 dollars, il avait réussi à suivre des transactions associées au vol de 1,5 milliard de dollars subi par Bybit en 2025. Selon ses observations, un réseau chinois aurait traité plus d’un milliard de dollars issus de plusieurs exploits crypto.
Lors de cette opération, plus de 12 millions de dollars de fonds liés à Bybit avaient été identifiés en mouvement sur différentes blockchains. Tether avait ensuite gelé 442 000 USDT associés aux wallets découverts. Cependant, aucune connexion publique n’a encore été établie entre les opérateurs de cette enquête et les dealers OTC impliqués dans le dossier SquidSquad actuel.
Tornado Cash : un outil récurrent dans les vols nord-coréens
Le recours à Tornado Cash n’est pas une nouveauté. Le 20 octobre, le même jour que les mouvements observés dans l’affaire SquidSquad, des wallets liés à l’exploit de Drift Protocol ont déposé environ 25 700 ETH, soit près de 61,56 millions de dollars, dans le mixer. Drift avait perdu environ 285 millions de dollars en avril, une attaque attribuée par la suite à UNC6862, un autre groupe de menace nord-coréen.
Un précédent similaire concerne Radiant Capital. En 2024, les attaquants avaient volé près de 50 millions de dollars en compromettant les permissions de signature et en remplaçant un contrat d’implémentation de pool de prêt. Les enquêteurs avaient ensuite lié l’incident à des opérateurs nord-coréens. En octobre 2025, environ 2 834 ETH issus de cette attaque avaient encore été déposés dans Tornado Cash, pour une valeur estimée à 10,8 millions de dollars. Radiant a finalement annoncé en juin 2026 la cessation progressive de ses activités, incapable de se relever financièrement.
Chronologie des mouvements suspects récents :
- 8 octobre 2026 : vol de 2,84 M$ sur BNB Chain
- 20 octobre 2026 : dépôt de 1 111,2 ETH dans Tornado Cash (affaire SquidSquad)
- 20 octobre 2026 : dépôt de 25 700 ETH liés à Drift Protocol
- 21 octobre 2026 : révélation publique par l’enquêteur blockchain
Comment SquidSquad opère : usurpation et malware
Les campagnes attribuées à SquidSquad reposent sur une approche en plusieurs étapes. Tout commence souvent par une prise de contact sur des plateformes professionnelles ou de messagerie. Le pirate se présente comme un investisseur sérieux ou un partenaire potentiel. Une fois la confiance établie, un document ou un lien malveillant est envoyé. Les malwares déployés permettent ensuite d’accéder aux clés privées ou aux interfaces d’administration des portefeuilles.
Cette méthode d’ingénierie sociale s’est révélée particulièrement efficace contre des cibles qui gèrent des volumes importants. Les fondateurs et dirigeants, souvent sous pression et habitués à des échanges rapides avec des investisseurs, constituent des proies idéales. Une fois les fonds extraits, le parcours de blanchiment commence, avec une préférence marquée pour les mixers et les OTC peu regardants.
Pourquoi les institutions restent vulnérables
Malgré les progrès en matière de sécurité, les détenteurs institutionnels restent exposés. Les procédures de signature multi-signatures, les cold wallets et les audits ne suffisent pas toujours face à une attaque d’ingénierie sociale bien menée. Un simple clic sur un fichier malveillant peut compromettre l’ensemble d’un système si les contrôles humains ne sont pas suffisamment stricts.
Dans le cas présent, le silence autour de l’identité de la victime et de la méthode exacte d’intrusion laisse penser que l’attaque a pu reposer sur une faille humaine plutôt que purement technique. Les groupes nord-coréens excellent dans ce domaine : ils étudient leurs cibles, créent des profils crédibles et attendent le moment opportun pour frapper.
Les enjeux pour l’écosystème crypto en 2026
Chaque nouvel incident de ce type renforce la pression sur les régulateurs et les acteurs de la sécurité. Les volumes volés par des groupes liés à la Corée du Nord se comptent désormais en milliards de dollars cumulés. Ces fonds servent, selon de nombreuses analyses, à contourner les sanctions internationales et à financer des programmes prioritaires pour le régime.
Pour les plateformes et les institutions, la leçon est claire : la sécurité ne se limite plus à la protection technique des smart contracts. Elle doit intégrer une formation continue des équipes, des protocoles de vérification des contacts externes et une surveillance active des mouvements de fonds suspects. Les mixers comme Tornado Cash, même s’ils offrent une confidentialité légitime pour certains usages, restent des outils privilégiés pour les acteurs malveillants.
Les OTC chinois apparaissent également comme un point de friction majeur. Leur rôle dans la conversion rapide des crypto-actifs volés en monnaie fiduciaire complique considérablement les efforts de traçabilité. Tant que ces canaux resteront ouverts et peu régulés, les groupes comme SquidSquad continueront d’y trouver une porte de sortie efficace.
Ce que révèle l’attribution on-chain
Il faut souligner que les conclusions de l’enquêteur restent une attribution basée sur des données on-chain. Aucune confirmation officielle de la part d’autorités étatiques n’a encore été publiée concernant ce vol précis. Les liens entre les wallets utilisés et des adresses précédemment attribuées à des opérateurs nord-coréens constituent cependant un indice sérieux.
La communauté crypto suit désormais de près l’évolution de ces adresses Tron. Toute nouvelle transaction pourrait apporter des éléments supplémentaires. De même, les éventuelles actions de gel de la part de Tether ou d’autres émetteurs de stablecoins seront scrutées avec attention dans les jours et semaines à venir.
Attention : les attributions on-chain, même lorsqu’elles sont réalisées par des enquêteurs expérimentés, restent des indices et non des preuves judiciaires définitives. La prudence reste de mise.
Vers une surveillance renforcée des réseaux de blanchiment
L’infiltration réussie d’un réseau de blanchiment début octobre montre que les enquêteurs indépendants peuvent aujourd’hui obtenir des résultats concrets. En dépensant des centaines de milliers de dollars pour se faire passer pour un client, il a été possible de cartographier une partie des flux. Ces actions, combinées aux outils d’analyse blockchain de plus en plus performants, rendent la vie plus difficile aux opérateurs.
Pourtant, les groupes nord-coréens s’adaptent rapidement. Ils changent de méthodes, multiplient les intermédiaires et utilisent des stablecoins cross-chain pour brouiller les pistes. La bataille entre traçabilité et anonymisation se poursuit, avec des enjeux géopolitiques majeurs en arrière-plan.
Les leçons à tirer pour les détenteurs institutionnels
Pour les institutions qui gèrent des actifs numériques, plusieurs recommandations s’imposent. La première concerne la formation des équipes aux techniques d’ingénierie sociale. Reconnaître un message suspect, vérifier systématiquement l’identité des interlocuteurs et refuser tout document non sollicité constituent des réflexes de base trop souvent négligés.
Ensuite, la segmentation des accès et le recours systématique à des multi-signatures avec des délais de confirmation peuvent limiter les dégâts en cas de compromission. Enfin, une surveillance en temps réel des mouvements de fonds, associée à des partenariats avec des firmes de cybersécurité spécialisées, permet de réagir plus rapidement lorsqu’une anomalie est détectée.
Dans le cas du vol de 2,84 millions de dollars, l’absence d’informations sur la méthode d’attaque laisse un goût d’inachevé. Si l’attribution à SquidSquad se confirme, cela démontrera une fois de plus que les campagnes d’usurpation d’identité restent l’un des vecteurs les plus rentables pour les groupes étatiques ou quasi-étatiques.
Un écosystème sous pression permanente
L’année 2026 s’inscrit dans la continuité d’une tendance lourde : les vols liés à la Corée du Nord représentent une part significative des pertes totales subies par l’écosystème crypto. Chaque nouvel incident, qu’il s’agisse de Drift, de Radiant ou de ce dernier cas sur BNB Chain, rappelle que la sécurité reste un combat permanent.
Les protocoles de confidentialité comme Tornado Cash, les réseaux de stablecoins cross-chain et les OTC peu régulés forment un triptyque particulièrement favorable aux opérateurs malveillants. Tant que ces outils resteront accessibles sans contrôles renforcés, les groupes comme SquidSquad continueront de les exploiter.
Pour la communauté, l’enjeu dépasse désormais la simple protection des fonds. Il s’agit aussi de préserver la crédibilité d’un secteur qui aspire à une adoption institutionnelle plus large. Chaque vol médiatisé renforce les arguments des détracteurs et alimente les appels à une régulation plus stricte.
Que retenir de cette affaire SquidSquad ?
Le vol de 2,84 millions de dollars sur BNB Chain illustre parfaitement la sophistication atteinte par certains groupes de menace. De l’extraction des fonds à leur conversion via des OTC chinois, en passant par Tornado Cash, chaque étape a été calculée pour maximiser les chances de succès et minimiser les risques de gel.
L’attribution à SquidSquad, même si elle repose pour l’instant uniquement sur des analyses on-chain, s’inscrit dans un schéma déjà bien documenté. Les campagnes d’usurpation d’identité, le déploiement de malwares spécifiques et le recours systématique aux mixers forment un mode opératoire cohérent avec les pratiques observées chez d’autres acteurs nord-coréens.
Dans les semaines à venir, l’attention se portera sur d’éventuelles nouvelles transactions des adresses identifiées et sur les éventuelles actions des émetteurs de stablecoins. Pour les détenteurs institutionnels, le message est clair : la vigilance ne doit jamais se relâcher, car les adversaires, eux, n’attendent pas.
Cette affaire rappelle aussi le rôle crucial des enquêteurs indépendants. Sans leur travail de traçabilité, de nombreux mouvements resteraient invisibles. Leur capacité à relier des adresses, à identifier des patterns et à publier des analyses détaillées contribue à une meilleure compréhension des menaces. Reste à savoir si les autorités compétentes sauront s’appuyer sur ces travaux pour aller plus loin dans la neutralisation des réseaux.
En attendant, le marché crypto continue de naviguer entre innovation et risques sécuritaires. Les 2,84 millions disparus le 8 octobre ne sont peut-être qu’une goutte d’eau à l’échelle des volumes quotidiens, mais ils symbolisent une réalité persistante : tant que des acteurs motivés et bien organisés cibleront le secteur, les pertes resteront inévitables. La question n’est plus de savoir si de nouveaux vols auront lieu, mais plutôt quand et pour quel montant.
Les prochains mois diront si les enseignements de cette affaire SquidSquad et des incidents précédents se traduiront par des mesures concrètes de protection. Pour l’heure, le silence de la victime institutionnelle et l’absence de détails techniques sur la compromission laissent de nombreuses zones d’ombre. Une chose est certaine : les enquêteurs, eux, ne lâchent pas l’affaire.
