La Corée du Nord vole plus de 500 millions de dollars en crypto en un mois : une menace de 6,75 milliards persiste

Une série d’attaques ciblant les protocoles DeFi

En moins de trois semaines, des cyberopérateurs liés à la Corée du Nord (République populaire démocratique de Corée, RPDC) ont dérobé plus de 500 millions de dollars sur des plateformes DeFi de cryptomonnaies. Cette offensive marque une escalade majeure dans la campagne de Pyongyang visant à financer ses programmes d’armement grâce au vol de crypto-actifs.

Deux attaques majeures en avril 2026

Les exploits contre les protocoles Drift Protocol et KelpDAO ont porté les pertes totales de la Corée du Nord pour l’année à plus de 700 millions de dollars. Ces attaques illustrent une évolution des tactiques de l’armée cyber de Kim Jong-un, qui exploite désormais des vulnérabilités de la chaîne d’approvisionnement et des infiltrations humaines pour contourner les protections traditionnelles.

Le 20 avril, l’infrastructure cross-chain LayerZero a confirmé qu’un exploit avait visé KelpDAO, entraînant la perte d’environ 290 millions de dollars. Cette attaque, survenue le 18 avril, constitue le plus gros piratage de cryptomonnaies de l’année 2026. LayerZero a attribué l’attaque à TraderTraitor, une cellule spécialisée au sein du groupe Lazarus, connu pour ses liens avec la Corée du Nord.

Quelques semaines plus tôt, le 1er avril, le protocole Drift Protocol, basé sur Solana, avait subi un vol estimé à 286 millions de dollars. La firme d’intelligence blockchain Elliptic a rapidement établi un lien entre les méthodes de blanchiment, la séquence des transactions et les signatures réseau avec des vecteurs d’attaque déjà identifiés de la RPDC. Elliptic a recensé 18 incidents similaires cette année seulement.

Une nouvelle stratégie : cibler les infrastructures périphériques

Les attaques d’avril révèlent une sophistication accrue dans la manière dont les hackers parrainés par l’État ciblent la finance décentralisée (DeFi). Au lieu d’attaquer directement les contrats intelligents centraux, les opérateurs exploitent désormais les failles des infrastructures périphériques.

Dans le cas de KelpDAO, LayerZero a expliqué que les hackers avaient compromis les appels de procédure à distance (RPC) utilisés par le réseau décentralisé de vérification (DVN) de LayerZero Labs. En corrompant ces voies de données critiques, les attaquants ont manipulé le fonctionnement du protocole sans compromettre sa cryptographie centrale. LayerZero a depuis désactivé les nœuds concernés et rétabli les opérations du DVN, mais les pertes financières étaient déjà irréversibles.

Cette approche indirecte souligne une évolution inquiétante dans la cyberguerre. La société de sécurité blockchain Cyvers a déclaré à CryptoSlate :

« Nous observons une sophistication croissante des attaquants liés à la Corée du Nord, qui investissent davantage de ressources dans la préparation et l’exécution de leurs attaques malveillantes. Ils ciblent systématiquement le maillon le plus faible, ici un tiers plutôt que l’infrastructure centrale du protocole. »

Cette stratégie rappelle les méthodes traditionnelles de cyberespionnage en entreprise et montre que les attaques liées à la RPDC deviennent de plus en plus difficiles à contrer.

Infiltration et compromission des chaînes d’approvisionnement

Les récents incidents, comme la compromission de la bibliothèque logicielle Axios npm utilisée par Google, ont été attribués à un acteur menaçant distinct de la RPDC, surnommé UNC1069. Ces attaques démontrent un effort méthodique pour empoisonner les écosystèmes logiciels avant même qu’ils n’atteignent la blockchain.

Les experts en sécurité soulignent que ces méthodes hybrides, combinant infiltration humaine et exploitation technique, rendent les protocoles DeFi particulièrement vulnérables. Les développeurs compromis ou les chaînes d’approvisionnement corrompues représentent désormais un risque majeur pour l’ensemble du secteur.

Un enjeu de sécurité mondiale

Avec des pertes dépassant les 6,75 milliards de dollars depuis 2017, la Corée du Nord reste l’un des acteurs les plus redoutables dans le domaine du vol de cryptomonnaies. Ces attaques récentes, menées avec une précision et une rapidité accrues, soulèvent des questions sur la capacité des plateformes DeFi à se protéger contre des adversaires aussi déterminés et sophistiqués.

Les autorités internationales et les acteurs du secteur appellent à une collaboration renforcée pour traquer ces cybercriminels et renforcer les protocoles de sécurité. Sans mesures efficaces, le risque d’une nouvelle escalade des attaques parrainées par l’État reste élevé.