Bybit attaque la Corée du Nord en justice après le vol de 1,5 milliard de dollars : une première historique dans le monde des cryptos

La plainte a été initialement déposée sous scellés le 18 juin 2026 et a été levée début août 2026 . Le tribunal avait déjà agi : le 19 juin 2026, un juge fédéral a accordé la demande de découverte accélérée de Bybit, donnant à la plateforme une voie pratique pour identifier les intermédiaires présumés et retracer les fonds volés sur la blockchain . Ce même juge a également émis une injonction préliminaire gelant certains avoirs volés détenus par des personnes et entités non identifiées, désignées comme défendeurs "John Doe", leur interdisant de transférer ou de dissiper les actifs pendant la procédure .

Bybit a déclaré qu'elle élargissait sa collaboration avec les forces de l'ordre et les partenaires de l'industrie pour renforcer la responsabilité en matière de cybercriminalité liée aux cryptomonnaies . Le gel civil des avoirs et les ordonnances de découverte soutiennent directement la capacité des forces de l'ordre à retracer et, à terme, à récupérer les fonds volés qui circulent encore dans l'écosystème crypto.

Quel lien avec les enquêtes pénales ?

Le procès civil de Bybit se déroule en parallèle des enquêtes criminelles menées par le FBI. Le FBI a publiquement attribué le piratage de Bybit à la Corée du Nord le 26 février 2025, nommant l'activité cybernétique malveillante spécifique "TraderTraitor" (également suivie sous le nom d'APT38) . Bybit a confirmé que l'affaire civile reste distincte des enquêtes pénales américaines en cours .

Cette approche à deux volets – recouvrement civil d'actifs et poursuites pénales – est une stratégie standard dans les affaires de délits financiers majeurs, permettant à Bybit de rechercher des gels d'actifs immédiats pendant que les forces de l'ordre construisent leur dossier pénal.

L'ampleur du vol de cryptomonnaies nord-coréen

Le piratage de Bybit est l'incident le plus important d'un schéma bien plus vaste. Selon la société d'analyse blockchain Chainalysis, les hackers nord-coréens ont volé au moins 2,02 milliards de dollars en cryptomonnaies en 2025, soit une augmentation de 51 % d'une année sur l'autre, portant le total cumulé des vols de cryptos de la RPDC à 6,75 milliards de dollars . À l'échelle mondiale, le vol total de cryptomonnaies a atteint 3,4 milliards de dollars en 2025 .

Les vols se sont poursuivis en 2026. Rien qu'au premier semestre, les hackers liés à la Corée du Nord ont volé environ 643 millions de dollars, représentant environ les deux tiers de tous les fonds crypto volés dans le monde . En avril 2026, deux piratages parfaitement exécutés sur des plateformes de finance décentralisée – une fuite de 285 millions de dollars sur Drift Protocol et une exploitation de 292 millions de dollars sur Kelp DAO – ont représenté à eux deux 76 % de toutes les pertes dues au piratage crypto enregistrées jusqu'à ce mois-ci .

Les méthodes des hackers nord-coréens

Les groupes de piratage nord-coréens ont développé une boîte à outils sophistiquée. Le piratage de Bybit lui-même impliquait la manipulation d'une interface de signature multisig lors d'un transfert Ethereum de routine depuis le portefeuille froid de Bybit vers un portefeuille chaud, trompant les signataires pour qu'ils approuvent un contrat malveillant qui a vidé le portefeuille .

Parmi les autres méthodes, on trouve :

• Ingénierie sociale : BlueNoroff, une sous-unité du groupe Lazarus motivée par le gain financier et identifiée pour la première fois en 2014 , utilise de fausses appels Zoom et Microsoft Teams avec des liens de réunion typosquattés, une reconnaissance approfondie et des comptes Telegram piratés pour inciter les dirigeants de cryptos à installer des logiciels malveillants .
• Empreinte digitale de portefeuille : Le kit de phishing de BlueNoroff scanne les machines des victimes à la recherche de portefeuilles de cryptomonnaies avant de lancer une attaque, garantissant que seules les cibles de grande valeur sont traitées .
• Attaques de la chaîne d'approvisionnement : En juillet 2026, Amazon Threat Intelligence a lié des acteurs nord-coréens à des compromissions de bibliothèques logicielles open source populaires (paquets Node Package Manager) utilisées pour injecter des portes dérobées .

Les menaces persistantes de BlueNoroff

En août 2026, BlueNoroff reste très actif. Les chercheurs décrivent cette plateforme de phishing pilotée par un opérateur comme déployant des deepfakes vidéo alimentés par l'IA et des logiciels malveillants de détection de portefeuille avec un score de gravité CVSS de 9,5 (critique) . Le groupe continue de cibler les cadres dirigeants du Web3, les plateformes d'échange de cryptomonnaies et les plateformes DeFi via des campagnes d'ingénierie sociale de plus en plus sophistiquées . En l'espace de cinq mois à partir de fin 2025, plus de 80 faux domaines ont été enregistrés pour ces attaques, et des images vidéo volées ont été combinées à des images générées par l'IA pour renforcer la crédibilité . Les recherches d'Arctic Wolf ont identifié plus de 100 victimes dans plus de 20 pays, dont 41 % aux États-Unis .

Ces campagnes en cours soulignent pourquoi le procès civil de Bybit, l'enquête criminelle du FBI et la collaboration à l'échelle de l'industrie sont tous importants : la même infrastructure parrainée par l'État qui a volé 1,5 milliard de dollars à Bybit cible activement la prochaine victime dès maintenant.