Les hackers nord-coréens dérobent 500 millions de dollars en un mois, devenant la menace numéro un pour la sécurité en cryptomonnaie

Écrit par : Oluwapelumi Adejumo

Traduit par : Chopper, Foresight News

En moins de trois semaines, un groupe de hackers lié à la Corée du Nord a volé plus de 500 millions de dollars dans des plateformes DeFi de cryptomonnaie, leur point d’entrée passant des contrats intelligents centraux aux vulnérabilités en périphérie de l’infrastructure.

Drift et KelpDAO attaqués

Deux attaques majeures contre Drift Protocol et KelpDAO ont permis aux hackers liés à la Corée du Nord de dépasser 700 millions de dollars de gains illicites en cryptomonnaie cette année. Ces pertes massives mettent en évidence leur changement de tactique : ils exploitent de plus en plus fréquemment des vulnérabilités complexes, infiltrent en profondeur avec des agents dormants, et contournent les défenses de sécurité standard.

Le 20 avril, le fournisseur d’infrastructure inter-chaînes LayerZero a confirmé que KelpDAO avait été attaqué le 18 avril, avec une perte d’environ 290 millions de dollars, devenant ainsi le plus grand vol de cryptomonnaie de 2026 à ce jour. La société indique que les premières investigations pointent directement vers TraderTraitor — un groupe spécialisé au sein du tristement célèbre Lazarus Group de la Corée du Nord.

Seulement quelques semaines auparavant, le 1er avril, la plateforme décentralisée de contrats perpétuels basée sur Solana, Drift Protocol, avait été dérobée d’environ 286 millions de dollars. La société de renseignement blockchain Elliptic a rapidement relié les techniques de blanchiment, la séquence des transactions et les signatures réseau à des chemins d’attaque connus de la Corée du Nord, précisant qu’il s’agit déjà de la 18ème attaque de ce type qu’elle a suivie cette année.

L’attaque se déplace : infiltration en périphérie de l’infrastructure

Les méthodes d’attaque de l’avril montrent que les hackers nord-coréens deviennent de plus en plus sophistiqués dans leurs attaques contre la DeFi. Ils ne s’attaquent plus directement aux contrats intelligents centraux, mais cherchent et exploitent des vulnérabilités structurelles en périphérie.

Prenons l’exemple de l’attaque contre KelpDAO : les hackers ont compromis l’infrastructure RPC (appel à distance) en aval utilisée par le réseau de validation décentralisé de LayerZero Labs. En modifiant ces canaux de données critiques, ils ont manipulé le fonctionnement du protocole sans compromettre la cryptographie fondamentale. LayerZero a désactivé les nœuds affectés et a entièrement restauré le DVN, mais les pertes financières sont irrécupérables.

Ce mode d’attaque indirecte révèle une évolution inquiétante dans la guerre du réseau. La société de sécurité blockchain Cyvers a déclaré à CryptoSlate : « Les attaquants liés à la Corée du Nord deviennent de plus en plus expérimentés, investissant davantage de ressources dans la préparation et l’exécution des attaques. »

Elle ajoute : « Nous avons aussi observé qu’ils parviennent toujours à identifier précisément les points faibles. Cette fois, la faille était un composant tiers, et non l’infrastructure centrale du protocole. »

Cette stratégie, très similaire à celle des cyberespions traditionnels, rend la défense contre ces attaques de plus en plus difficile. Des événements récents, comme l’intrusion dans la chaîne d’approvisionnement du package npm Axios, largement utilisé, par une organisation de menace spécifique à la Corée du Nord, UNC1069, montrent que : les attaquants sabotent systématiquement le logiciel avant même qu’il n’entre dans l’écosystème blockchain.

Infiltration de la Corée du Nord dans l’industrie mondiale de la cryptographie

Outre les avancées techniques, la Corée du Nord mène également une infiltration à grande échelle et organisée du marché mondial de la cryptomonnaie.

Le mode opératoire a évolué : ils insèrent directement des agents malveillants dans des startups Web3 sans méfiance.

Une enquête de six mois menée par le projet de sécurité Ketman, sous l’égide d’ETH Rangers de la Fondation Ethereum, a révélé qu’environ 100 agents nord-coréens se cachent dans plusieurs entreprises blockchain. Ils utilisent de fausses identités, passent facilement les contrôles RH standards, obtiennent des accès à des codes internes sensibles, et restent silencieusement infiltrés dans les équipes pendant des mois, voire des années, avant de lancer des attaques ciblées.

L’enquêteur indépendant ZachXBT a confirmé cette infiltration à l’aide d’informations provenant d’agences de renseignement. Il a récemment dévoilé l’existence d’un réseau spécial nord-coréen opérant à distance avec de faux profils, réalisant en moyenne 1 million de dollars par mois.

Ce réseau transfère des cryptomonnaies en devises fiat via des canaux financiers mondiaux reconnus, ayant traité plus de 3,5 millions de dollars depuis la fin 2025.

Selon des experts, l’ensemble des opérations IT de la Corée du Nord génère chaque mois plusieurs millions de dollars de revenus. Cela crée une double source de revenus : un salaire stable + de gigantesques vols de protocoles