Des cabinets de renseignement sur la chaîne de blocs désignent des pirates informatiques rattachés à l’État nord-coréen derrière le vol de fonds subi par la plateforme Binance. Une enquête officielle sur cette faille demeure ouverte.
Au moins 2 milliards de dollars ont disparu jeudi dans des portefeuilles de la plateforme, lors de ce qui apparaît comme la plus vaste attaque informatique visant une plateforme d’échange de cryptomonnaies.
Les équipes de Binance et les autorités publiques n’ont pas achevé leurs investigations. Trois sources du domaine de la sécurité numérique convergent vers Pyongyang.
Une première piste évoque un accès non autorisé à des transactions après la compromission de l’ordinateur portable d’un ingénieur de la plateforme.
Ce vol a suivi le piratage, en 2025, d’un service d’échange installé à Dubaï. Les opérateurs nord-coréens avaient détourné 1,5 milliard de dollars, un record dans ce secteur.
Les spécialistes soulignent un facteur majeur: des opérateurs postés à l’étranger servent les assauts de Pyongyang.
Un cabinet a publié vendredi une note qui attribue l’assaut à une unité de vol de jetons, rattachée à un groupe de pirates. Le document avance un degré de confiance élevé, appuyé sur des renseignements tirés des données publiques et hors chaîne. Une autre société de sécurité et un analyste du domaine sont parvenus à des conclusions proches.
Les experts relèvent un basculement décisif des opérations nord-coréennes, durant la dernière décennie. L’État ne cherche plus seulement à perturber des réseaux. Il vise de grandes sommes dans les portefeuilles de cryptomonnaies et les banques centrales.
Ces gains financent directement le programme nucléaire de Pyongyang.
Le ministère japonais des affaires étrangères avait écrit, dans un rapport l’an dernier, que le chef de l’État nord-coréen, Kim Jong Un, supervise une force numérique devenue un programme national complet. Son niveau de maîtrise approche celui des programmes chinois et russe.
La Corée du Nord dispose d’un accès très réduit à l’internet mondial. Ses opérateurs travaillent souvent depuis la Chine ou la Russie, pour trouver une meilleure infrastructure et une adresse réseau masquée. Cette couverture complique l’identification de l’origine des attaques.
Les opérations mondiales s’appuient sur des réseaux de citoyens nord-coréens à l’étranger et sur des partenaires extérieurs, selon le même rapport japonais. Cette présence hors du pays facilite aussi les échanges avec des circuits financiers locaux, afin de convertir les cryptomonnaies volées en monnaie classique.
Les experts suivent de près l’Asie du Sud-Est. La région sert à la fois de cible et de base pour les activités numériques de Pyongyang.
Des rapports indiquent que jusqu’à 6 000 opérateurs nord-coréens peuvent agir dans le monde, y compris en Chine, en Inde, en Russie, au Bélarus et en Malaisie.
Le centre d’études stratégiques et internationales a décrit une diffusion de maliciels et d’outils d’accès non autorisé dans les infrastructures numériques du Cambodge, de la Thaïlande et de l’Indonésie. Ces injections assurent une dissimulation durable des activités mondiales.
Un rapport du centre pour une nouvelle sécurité américaine, publié en 2020, avait déjà relevé des implantations nord-coréennes en Inde.
Ces personnels adoptent de fausses identités, souvent celle de citoyens de pays tiers, pour décrocher un emploi dans des entreprises étrangères.
Pyongyang les prépare dès l’enfance pour la guerre numérique. Les élèves les plus doués sont repérés tôt et orientés vers l’informatique et la sécurité de l’information.
Les recrues qui rejoignent les services de renseignement, dont le bureau général de reconnaissance, bénéficient d’accès sans limite à l’internet et de salaires élevés, des avantages quasi introuvables ailleurs en Corée du Nord.