Détection d'une infiltration nord-coréenne dans 1.640 entreprises pour voler des cryptomonnaies

• Alors que le vol par code s'élève à des millions sur le réseau, les attaques violentes augmentent dans la rue.
• Des hackers nord-coréens s'infiltrent dans des entreprises en se faisant passer pour des employés à distance.

Vangelis Stykas, CTO de Kumio, a réussi à s'infiltrer dans l'infrastructure d'un groupe de cyberespionnage nord-coréen après une négligence où les attaquants ont infecté leurs propres systèmes. Après 22 mois de surveillance sur leurs canaux Slack et Discord, Stykas a recueilli 5 téraoctets d'informations internes.

La fuite a exposé 1.640 organisations touchées à l'échelle mondiale. Parmi ce groupe, entre 700 et 800 ont subi des violations graves compromettant les accès root sur des serveurs Amazon Web Services (AWS) et des clés privées de plateformes de cryptomonnaies.

Ce que Stykas a révélé coïncide avec un rapport de Chainalysis qui confirme que les vols avec violence physique contre des propriétaires de cryptomonnaies s'élèvent à 30 millions de dollars au premier semestre, soit 37 % de plus qu'en 2023, comme l'a rapporté CriptoNoticias plus tôt.

Les preuves montrent clairement que l'industrie des cryptomonnaies fait face à une menace multidimensionnelle. D'une part, la guerre cybernétique menée par des hackers nord-coréens et l'avancée de l'intelligence artificielle pour exploiter les vulnérabilités du code ; d'autre part, l'irruption du crime organisé sur le plan physique.
Shenyang (Chine) est le principal point de soutien opérationnel des hackers nord-coréens en dehors de leur territoire, d'où ils géraient les intrusions dans les 1.640 entreprises pour voler des cryptomonnaies. Source : CriptoNoticias / Créé avec Gemini.

L'appât de l'offre parfaite {#h-l-appât-de-l-offre-parfaite}

Selon Stykas, la chasse à la vulnérabilité commence lorsqu'un développeur qui travaille pour plusieurs entreprises reçoit une offre sur LinkedIn pour un nouvel emploi avec un salaire tentant. Pour postuler au poste, il télécharge le <> sur le même ordinateur avec lequel il travaille quotidiennement. Le fichier exécute le code malveillant (malware) sur sa machine et les hackers volent ses mots de passe d'entreprise et des fichiers d'accès aux serveurs de ses clients actuels.

Une autre méthode est l'infiltration directe. C'est lorsque le hacker nord-coréen postule pour le poste en utilisant une fausse identité. Une fois embauché à distance, l'entreprise lui accorde des accès internes (Slack, dépôts de code, serveurs). De l'intérieur, le hacker infecte le réseau de l'entreprise ou extrait directement des informations sensibles et des clés privées.

Parmi les victimes confirmées par Stykas figurent Coinbase, Uniswap Labs, l'Hôpital pour enfants de Boston et le Conseil supérieur de la magistrature d'Italie, ainsi que des entreprises technologiques et bancaires d'Asie et d'Europe. L'objectif principal des hackers est le vol de bitcoins et de cryptomonnaies.

Le butin finit dans le programme nucléaire nord-coréen. Le groupe Lazarus a volé 2.020 millions de dollars en cryptomonnaies en 2025 (soit 51 % de plus que l'année précédente). Depuis 2017, le total dépasse les 6.750 millions.

En avril 2026 seulement, les attaques contre les plateformes financières décentralisées (DeFi) KelpDAO et Drift Protocol ont dérobé 577 millions de dollars en crypto-actifs. Cet argent finance des missiles balistiques et des essais nucléaires, contournant les sanctions, comme le confirment les enquêtes.

Mais ce qui est le plus troublant dans cette découverte, c'est que les pirates sont engagés. Ils se font passer pour des employés à distance, perçoivent des salaires en Occident, assistent à des réunions et filtrent des informations. Stykas a résumé cela par une question inconfortable : << Cet ingénieur vedette qui travaille depuis chez lui, êtes-vous sûr qu'il existe ? >>.

Quand la force brute remplace le phishing {#h-quand-la-force-brute-remplace-le-phishing}

L'<< attaque de clé anglaise >> n'utilise pas de code malveillant. Elle utilise des coups, des menaces et la privation de liberté. La victime remet la clé privée ou subit les conséquences. La transaction est immédiate et irrévocable et il n'y a pas de banque centrale pour l'arrêter.

Chainalysis confirme 46 incidents violents au premier semestre 2026. Si la tendance se maintient, l'année dépassera les 58 millions de dollars enregistrés en 2025, le niveau le plus élevé rapporté à ce jour.

Les cambriolages sont passés de 26 % à 37 % des cas. Les enlèvements restent plus lucratifs (53 % du butin), mais entrer dans une maison est plus facile que de garder un otage pendant des jours entiers.
Le graphique montre la prédominance croissante des enlèvements et l'augmentation des invasions domestiques. Source : Chainalysis.

Chainalysis révèle le déclencheur de la hausse en France. Un fonctionnaire du Trésor a volé et vendu en 2024 une base de données contenant les noms, adresses exactes, numéros de téléphone et portefeuilles de crypto-monnaies des principaux hodlers du pays.

Les criminels auraient acheté cette liste et mis en place des opérations de surveillance. Dans plus de 40 % des incidents en France, les attaquants ont directement menacé les membres de la famille de la victime pour forcer le paiement.

Ce que révèle la trace des crypto-monnaies {#h-ce-que-revele-la-trace-des-crypto-monnaies}

L'analyse des fonds volés révèle trois niveaux de sophistication dans le traitement du butin :

• Opportunistes : utilisent des échanges de crypto-monnaies centralisés pour liquider les actifs, ce qui les rend exposés à un suivi facile par les autorités.

• Attaquants techniques : emploient des ponts entre réseaux de crypto-monnaies et protocoles de mélange pour fragmenter et cacher la trace numérique des actifs numériques.

• Réseaux de crime organisé : opèrent des structures intégrées qui canalisent les actifs directement vers le financement du trafic de drogue et du terrorisme international.

Cette progression confirme que l'attaque de clé anglaise est déjà une pratique industrialisée.

Les deux rapports convergent vers le même avertissement que les propriétaires de crypto-monnaies sont chassés sur deux dimensions. Dans le numérique et dans le physique.

De plus, les deux sphères peuvent se rétroalimenter. Les pirates nord-coréens possèdent des clés qu'ils pourraient vendre à des réseaux criminels ; ces réseaux ont des emplacements qu'ils pourraient partager avec des acteurs étatiques. Les actifs numériques sont désormais le butin parfait pour les deux.

La meilleure clé ne suffit pas {#h-la-meilleure-clé-ne-suffit-pas}

Pour les détenteurs particuliers de crypto-actifs, cacher son patrimoine est une nécessité. La clé privée des portefeuilles de cryptomonnaies doit non seulement être protégée des hackers, mais aussi de ceux qui savent où vous vivez.

Pour les entreprises, en particulier celles de cryptomonnaies, vérifier un employé à distance n'est pas une formalité des Ressources Humaines, c'est un filtre de sécurité nationale.

Le véritable changement de paradigme ne réside pas dans la sophistication des outils utilisés, mais dans la disparition des frontières défensives. Quand une cyberattaque peut financer un programme nucléaire en Asie et qu'une fuite de base de données peut compromettre l'intégrité physique d'une famille en Europe, la cybersécurité devient une question de survie.

La vie privée, loin d'être un privilège ou une option technique, est, avec la vérification permanente, la seule ligne de défense possible.
Étiquettes : Bitcoin (BTC) Hacker Dernières nouvelles Vie privée et Anonymat