Ripple, Corée du Nord et crypto : pourquoi le partage d’informations continue malgré les démentis

Le vrai sujet : des signaux exploitables, pas une bataille de communiqués

La Corée du Nord a rejeté les accusations la liant à des affaires de piratage de cryptomonnaies, les présentant comme de fausses informations ou des attaques politiques, selon plusieurs médias ^[19][20]. Ce démenti compte dans le contexte géopolitique. Mais il ne suffit pas à faire disparaître le problème opérationnel auquel sont confrontées les entreprises crypto.

De l’autre côté, des autorités américaines et alliées continuent de relier des groupes comme Lazarus à de grands vols d’actifs numériques ^[17][25]. Dans une lettre adressée au Trésor et au ministère américain de la Justice, des sénateurs américains ont ainsi affirmé que Lazarus, décrit comme un groupe de hackers soutenu par le gouvernement nord-coréen, avait volé environ 1,5 milliard de dollars d’actifs numériques lors du piratage de Bybit en février 2025 ^[17]. Une déclaration conjointe de la Corée du Sud, des États-Unis et du Japon a aussi attribué à des hackers liés à la Corée du Nord au moins 659,1 millions de dollars de vols de cryptomonnaies en 2024 ^[25].

Pour les entreprises du secteur, la question immédiate est plus concrète : un nom de domaine frauduleux, une adresse de portefeuille, une adresse e-mail, un compte suspect ou un schéma d’intrusion peuvent réapparaître d’une cible à l’autre. Ces données deviennent alors des éléments à bloquer, surveiller ou examiner ^[2][6].

Ce que Ripple partage avec Crypto ISAC

Crypto ISAC — pour Information Sharing and Analysis Center, un centre de partage et d’analyse d’informations — est présenté comme une organisation consacrée au partage d’informations de sécurité dans l’écosystème crypto ^[2][7]. Ripple y contribue avec des renseignements internes sur des activités de piratage liées à la Corée du Nord, notamment des domaines associés à des fraudes, des adresses de portefeuilles et des indicateurs de compromission ^[2].

Certains articles évoquent également des informations d’identification liées à des profils d’attaquants présumés ou à des travailleurs informatiques évalués comme nord-coréens, par exemple des comptes LinkedIn, des adresses e-mail ou des coordonnées de contact ^[3][6]. Ce type d’information intéresse directement les équipes de sécurité, car les attaques ne s’arrêtent pas aux frontières d’une entreprise. Un faux profil utilisé contre une start-up DeFi peut, quelques semaines plus tard, viser une plateforme d’échange ou un prestataire d’infrastructure.

L’intérêt de Crypto ISAC est précisément de transformer des indices isolés en alerte sectorielle. Au lieu que chaque entreprise découvre seule les mêmes signaux, le partage permet de les faire circuler plus vite auprès des acteurs susceptibles d’être ciblés ^[2][7].

Pourquoi maintenant : les attaques passent davantage par les personnes

Le changement le plus important tient à la méthode. Les attaques contre la crypto ne reposent plus seulement sur l’exploitation d’une faille de smart contract. CoinMarketCap explique que les attaquants se déplacent vers des opérations d’ingénierie sociale visant le personnel des entreprises crypto ^[2]. Crypto.news rapporte également que les équipes de sécurité observent une progression des intrusions longues, fondées sur la confiance, l’obtention d’accès internes puis le transfert de fonds ^[10].

Autrement dit, le point faible n’est pas toujours dans le code. Il peut être dans un recrutement, une conversation professionnelle, un faux profil crédible ou un logiciel malveillant installé après une longue phase d’approche.

Le cas Drift Protocol est cité dans ce contexte. Un article publié sur Binance Square rapporte qu’un incident de 285 millions de dollars lié à Drift n’aurait pas résulté d’une faille de smart contract, mais d’une infiltration de six mois fondée sur l’ingénierie sociale, l’installation de logiciels malveillants et le vol de clés privées ^[6]. Si ce scénario est exact, il illustre un problème difficile à résoudre par un simple audit de code.

Quatre raisons très pratiques de mutualiser ces informations

D’abord, les indicateurs de compromission servent à détecter plus vite. Lorsqu’un domaine frauduleux ou une adresse de portefeuille est partagé via une interface technique, les entreprises participantes peuvent le comparer plus rapidement à leurs journaux, alertes et systèmes de surveillance ^[2]. Dans un secteur où les fonds peuvent être déplacés en quelques minutes, le délai de réaction compte.

Ensuite, l’ingénierie sociale se répète d’une cible à l’autre. Un attaquant peut réutiliser une identité, une adresse e-mail, un compte de réseau professionnel ou un même portefeuille dans plusieurs approches. La découverte d’une entreprise devient alors un avertissement utile pour les autres ^[3][6].

Troisièmement, l’attribution prend du temps, la défense non. La Corée du Nord nie les accusations ^[19][20]. Mais les États-Unis et leurs alliés relient toujours Lazarus et d’autres groupes associés à Pyongyang à plusieurs vols de grande ampleur ^[17][25]. Pour une équipe de sécurité, attendre une conclusion diplomatique ou judiciaire définitive peut être trop lent. Elle doit d’abord réduire le risque immédiat.

Enfin, la sécurité crypto est collective par nature. Plateformes d’échange, portefeuilles, protocoles DeFi, ponts entre blockchains et fournisseurs d’infrastructure forment un écosystème interconnecté. Une compromission chez l’un peut devenir un risque pour les autres. Le partage organisé par Ripple et Crypto ISAC peut donc se lire comme une tentative d’élargir la défense commune, plutôt que comme une simple opération de communication ^[1][7].

La nuance indispensable : lié à la Corée du Nord ne veut pas dire définitivement jugé

Il faut distinguer deux niveaux. Dire qu’une menace est évaluée comme liée à la Corée du Nord n’est pas la même chose que dire que chaque affaire est définitivement attribuée, avec le même degré de preuve et devant une juridiction. Les sources publiques ne permettent pas toujours d’apprécier le niveau exact de preuve pour chaque incident. Et Pyongyang continue de présenter ces accusations comme fausses et politiquement motivées ^[19][20].

Mais la cybersécurité fonctionne souvent avant le verdict. On partage des signaux parce qu’ils peuvent réapparaître : un domaine, un portefeuille, un profil, une méthode d’approche, une séquence d’intrusion. Dans cette logique, la démarche de Ripple et de Crypto ISAC ressemble moins à une déclaration de culpabilité qu’à un système d’alerte ^[2][7].

La réponse courte est donc la suivante : Ripple partage ces informations non pas parce que le débat politique serait clos, mais parce que le risque opérationnel est déjà là. Si les attaques se déplacent vers la manipulation des personnes, les accès internes et les infiltrations longues, les entreprises crypto ont intérêt à voir les mêmes signaux le plus tôt possible — et à les bloquer avant que l’attaque suivante ne réussisse ^[2][10].