Le piratage crypto record attribué à la Corée du Nord en 2025

Les autorités américaines attribuent l’opération à des acteurs nord‑coréens identifiés sous le nom "TraderTraitor", un groupe lié à l’appareil cyber du régime.

Selon les analyses de renseignement, l’attaque serait passée par une compromission de la chaîne d’approvisionnement logicielle. Des logiciels modifiés (trojanisés) auraient été distribués via un environnement de développement compromis, donnant aux attaquants un accès de confiance à l’infrastructure de la plateforme. CrowdStrike associe cette opération à un cluster appelé PRESSURE CHOLLIMA.

Une fois à l’intérieur du système, les pirates ont transféré les fonds vers des milliers d’adresses blockchain différentes afin de compliquer le traçage.

Moins d’attaques, mais des gains beaucoup plus importants

Les analyses blockchain indiquent que les groupes liés à la Corée du Nord ont dérobé 2,02 milliards $ en 2025, soit une hausse d’environ 51 % par rapport à l’année précédente, malgré une baisse du nombre total d’attaques.

Ce changement reflète une stratégie différente : plutôt que multiplier les petits piratages, les attaquants ciblent désormais des plateformes majeures et des infrastructures financières critiques.

Les chercheurs décrivent ce modèle comme une « industrialisation » du cybercrime, avec des opérations coordonnées et des infrastructures dédiées pour l’accès initial, le vol et le blanchiment des fonds.

Les techniques clés utilisées par les hackers

Attaques de la chaîne d’approvisionnement

L’incident Bybit illustre une tendance croissante : au lieu de pirater directement une plateforme, les attaquants compromettent les logiciels ou services dont elle dépend.

En infiltrant l’environnement de développement ou les dépendances logicielles, ils peuvent diffuser des mises à jour piégées que les victimes installent elles‑mêmes — ce qui contourne souvent les systèmes de sécurité classiques.

Ingénierie sociale renforcée par l’IA

Les rapports de cybersécurité indiquent que les acteurs malveillants utilisent de plus en plus des outils d’intelligence artificielle pour automatiser la reconnaissance, rédiger des messages de phishing crédibles et créer de fausses identités numériques.

L’IA permet ainsi d’augmenter l’efficacité et l’échelle des campagnes d’ingénierie sociale visant les entreprises du secteur crypto et financier.

Faux employés informatiques à distance

Une autre tactique consiste à placer des agents nord‑coréens au sein d’entreprises technologiques via des emplois à distance obtenus sous de fausses identités.

Selon les autorités, ces individus parviennent à se faire embaucher comme développeurs ou spécialistes IT, parfois dans des entreprises liées à l’écosystème crypto.

Une fois en poste, ils peuvent :

• accéder aux systèmes internes
• collecter des identifiants et des données sensibles
• faciliter le vol ou le blanchiment de cryptomonnaies

Certaines grandes entreprises technologiques affirment avoir bloqué des milliers de tentatives d’infiltration de ce type, preuve de l’ampleur du phénomène.

Infiltration humaine et accès internes

Les chercheurs en cybersécurité parlent aussi d’« infiltration hors ligne », c’est‑à‑dire l’accès obtenu par des relations humaines — employés, partenaires ou sous‑traitants — plutôt que par des vulnérabilités purement techniques.

Cette approche hybride permet de contourner de nombreuses protections informatiques traditionnelles.

Les groupes de hackers impliqués

Les opérations cyber attribuées à la Corée du Nord sont souvent suivies par les sociétés de cybersécurité sous forme de clusters ou familles d’acteurs.

Par exemple :

• PRESSURE CHOLLIMA — associé par CrowdStrike à la compromission de la chaîne d’approvisionnement ayant permis le vol de 1,46 milliard $ chez Bybit.
• Autres clusters liés à la DPRK — parfois rattachés à l’écosystème Lazarus — impliqués dans l’espionnage, le sabotage et les vols financiers visant le secteur crypto.

Les rapports publics donnent cependant peu de détails confirmés reliant des incidents précis de 2025 à des clusters comme FAMOUS CHOLLIMA ou STARDUST CHOLLIMA, bien qu’ils fassent partie du paysage global des opérations cyber nord‑coréennes.

Comment les fonds sont blanchis

Après un piratage majeur, les fonds volés sont généralement déplacés à travers des milliers d’adresses et plusieurs cryptomonnaies pour brouiller les pistes.

Les enquêtes montrent également l’usage de :

• services de mixage de cryptomonnaies
• échanges décentralisés (DEX)
• ponts inter‑blockchains

Ces techniques rendent le suivi des transactions beaucoup plus complexe et permettent parfois de blanchir une grande partie des fonds en quelques semaines.

Pourquoi c’est aussi un enjeu de sécurité nationale

Les autorités américaines et internationales considèrent ces cyberattaques non seulement comme du crime financier, mais aussi comme une source de financement stratégique pour l’État nord‑coréen.

Selon des déclarations officielles, les revenus issus de ces opérations servent à contourner les sanctions internationales et soutenir les programmes d’armement, notamment les missiles balistiques et les capacités nucléaires.

Cela explique l’intensification des efforts internationaux pour suivre les flux financiers et démanteler les réseaux de blanchiment liés à ces opérations.

Ce que cela signifie pour la sécurité du secteur crypto

Le record de 2025 montre une transformation profonde de la menace :

• des acteurs étatiques ciblent directement l’infrastructure financière des cryptomonnaies ;
• les campagnes combinent exploits techniques et manipulation humaine ;
• certaines attaques peuvent désormais atteindre des pertes de plusieurs milliards de dollars.

Pour les experts, cela souligne l’importance de renforcer la sécurité des chaînes logicielles, les procédures de vérification des employés à distance et la surveillance des transactions blockchain.

Avec l’adoption croissante des cryptomonnaies dans le monde, les méthodes perfectionnées en 2025 laissent penser que le cybercrime soutenu par des États restera l’un des plus grands défis de sécurité pour l’industrie.