Corée du Nord : l’adversaire crypto que l’audit n’arrête pas

Le hack qui n’a laissé aucune trace dans le code

Le 18 avril 2026, le protocole de restaking liquide Kelp DAO a vu 116 500 rsETH quitter ses coffres en quelques minutes, soit près de 252 millions d’euros (292 millions de dollars) au cours du jour. C’est le plus gros vol de la finance décentralisée de l’année, selon CoinDesk. Et pourtant, les contrats de Kelp n’avaient pas de faille : ils ont fonctionné exactement comme ils avaient été écrits.

Le post-mortem publié par OpenZeppelin porte un titre qui résume la sécurité crypto de 2026 mieux qu’un rapport de cent pages : « 292 millions perdus, zéro bug trouvé ». L’attaque n’est pas passée par le code, mais par la configuration d’un pont cross-chain et par les noeuds d’infrastructure qui l’alimentaient. Halborn, le cabinet de sécurité qui a signé l’autopsie technique de l’incident, l’a documentée ligne par ligne.

Ce scénario, un code impeccable et des fonds volatilisés, est devenu la norme. Derrière la majorité de ces attaques, on retrouve un seul et même acteur : la Corée du Nord. Comprendre pourquoi l’audit, l’outil de confiance par défaut du secteur, ne voit jamais venir Pyongyang, c’est comprendre la sécurité crypto telle qu’elle se joue vraiment aujourd’hui.

2026 restera l’année où l’industrie a cessé de se raconter des histoires. Longtemps, un rapport d’audit affiché sur un site a tenu lieu de label de confiance, et un protocole audité passait pour un protocole sûr. Les sinistres de l’année ont fait voler cette équation en éclats : les plus gros butins ne sont pas partis par une faille de Solidity oubliée, mais par un poste de travail piégé, un noeud d’infrastructure détourné ou un signataire manipulé. La question n’est plus seulement de savoir si le code est correct, mais de savoir qui peut agir dessus, comment et à quel moment. C’est ce déplacement du champ de bataille que nous voulons cartographier ici.

Un seul adversaire domine le vol crypto en 2026

Les chiffres ne laissent aucune place au doute. En 2025, les pirates ont dérobé environ 2,9 milliards d’euros (3,4 milliards de dollars) en cryptomonnaies, selon Chainalysis. Sur ce total, les groupes liés à la Corée du Nord ont raflé à eux seuls près de 1,75 milliard d’euros (2,02 milliards de dollars), un record en hausse de 51 % sur un an qui porte le cumul historique attribué au régime à environ 5,8 milliards d’euros (6,75 milliards de dollars), d’après les données relayées par The Hacker News.

2026 confirme la tendance, avec une nuance. Selon TRM Labs, le premier semestre a établi un record du nombre d’attaques, 207 incidents, pour un montant total en forte baisse, environ 840 millions d’euros (972 millions de dollars), soit moins de la moitié du semestre précédent. Mais la répartition est éloquente : les exploits de smart contracts représentent 125 des 207 cas, alors que les compromissions d’infrastructure et d’opérations ne pèsent qu’environ 15 % des incidents pour près de 76 % de la valeur volée. Les vols les plus coûteux ne touchent pas le code.

Et la Corée du Nord, encore, en capte l’essentiel : environ 556 millions d’euros (643 millions de dollars) sur le semestre, près de deux tiers du total, toujours selon TRM Labs. Deux braquages d’avril, Drift et Kelp, totalisent à eux seuls quelque 500 millions d’euros. Ce n’est pas de la petite délinquance : les Nations unies estiment depuis des années que ces fonds alimentent les programmes balistique et nucléaire de Pyongyang. Le vol crypto est, pour la Corée du Nord, un instrument d’État.

Halborn, le cabinet qui autopsie les attaques nord-coréennes

Pour lire cette menace, peu d’observatoires valent celui de Halborn. Fondée en 2019 à Miami par Steven Walbroehl et Rob Behnke, dirigée depuis 2024 par Jacques Boschung, la société s’est bâtie une réputation sur la sécurité offensive : plutôt que de se contenter de relire du code, ses équipes simulent des attaques réelles contre les protocoles, les portefeuilles et les infrastructures de leurs clients. Son catalogue affiche aujourd’hui des lignes explicites comme « Red Team Exercise » et « AI Red Teaming », aux côtés de l’audit de smart contracts classique. Parmi ses clients figurent Coinbase, Polygon et la Solana Foundation.

Surtout, Halborn s’est imposée comme le coroner de l’industrie. Sa série de post-mortems « Explained » dissèque, hack après hack, les grands sinistres de l’année : Kelp DAO en avril, Drift, ou encore le vol d’une trentaine de millions de dollars subi par Humanity Protocol en juin. Depuis 2023, la firme travaille avec Chainalysis, l’un côté prévention et audit, l’autre côté enquête et récupération des fonds.

Cette position offensive fait de Halborn une boussole utile face à la Corée du Nord : pour défendre un protocole contre Lazarus, il faut d’abord penser comme Lazarus. Ses autopsies se lisent alors moins comme des rapports comptables que comme un manuel de terrain sur l’adversaire. Elles rejoignent une discipline désormais centrale du secteur, celle de l’autopsie publique après incident, devenue le vrai socle de réputation des cabinets de sécurité.

Lazarus, TraderTraitor, UNC4736 : anatomie d’un service d’État

On parle souvent de « Lazarus » comme s’il s’agissait d’un groupe unique. La réalité est celle d’une nébuleuse rattachée au Bureau général de reconnaissance, les services de renseignement nord-coréens. Sous ce parapluie, plusieurs grappes opèrent en parallèle. Le FBI désigne sous le nom de « TraderTraitor » le cluster responsable du vol de Bybit. Le braquage de Drift a été attribué, avec un niveau de confiance moyen, à un groupe suivi sous le nom d’UNC4736, également connu comme AppleJeus, Citrine Sleet, Golden Chollima ou Gleaming Pisces, d’après Elliptic.

Ces équipes ne sont pas des pirates isolés appâtés par un gain rapide. Ce sont des opérateurs salariés, patients, dotés de moyens, capables de mener des campagnes de plusieurs mois et de mêler espionnage, infiltration et vol pur. Leur discipline explique pourquoi les défenses conçues contre l’exploiteur opportuniste de DeFi, l’audit, le bug bounty, la prime au chapeau blanc, se révèlent inopérantes contre eux.

Bybit : 1,5 milliard de dollars, pas une ligne de code cassée

Le 21 février 2025, Bybit a subi le plus gros vol de l’histoire des cryptomonnaies : environ 1,3 milliard d’euros (1,5 milliard de dollars) en ETH, un montant que le FBI a confirmé. Le scénario est devenu un cas d’école. Lors d’un transfert programmé d’un portefeuille froid vers un portefeuille chaud, les attaquants avaient compromis l’infrastructure de signature liée à la plateforme multisig Safe{Wallet} : l’interface affichait aux signataires une transaction anodine, tandis que la logique et l’adresse de destination avaient été modifiées en coulisses.

Le multisig n’a pas été contourné par des clés volées ; il a été détourné par une présentation trompeuse et par la signature à l’aveugle. Les signataires ont validé, en toute bonne foi, leur propre dépouillement. Quelques jours plus tard, le FBI attribuait publiquement l’attaque à TraderTraitor et appelait les opérateurs de noeuds RPC, les exchanges et les ponts à bloquer les adresses utilisées pour le blanchiment. La leçon est brutale : le contrat le plus solide du monde ne protège de rien si les humains approuvent eux-mêmes le vol.

Drift et Kelp : deux fois l’infrastructure, jamais le contrat

Drift, le 1er avril 2026, a perdu environ 246 millions d’euros (285 millions de dollars), le plus gros exploit DeFi de l’année et le deuxième de l’histoire de Solana derrière le pont Wormhole (326 millions de dollars, environ 282 millions d’euros, en 2022), selon Chainalysis. L’attaque a été précédée d’une escroquerie de six mois : les pirates, se faisant passer pour une société de trading quantitatif dès l’automne 2025, ont exploité les « durable nonces » de Solana pour faire pré-signer aux membres du Security Council du protocole des transactions qui transféraient les droits d’administration, détaille The Hacker News. Une fois le contrôle acquis, ils ont inscrit un faux jeton comme collatéral, en ont déposé 500 millions d’unités et retiré 285 millions de dollars d’actifs réels. Le tout en une douzaine de minutes.

Kelp DAO, dix-sept jours plus tard, a suivi une autre voie vers le même résultat. Sa configuration de pont LayerZero reposait sur un vérificateur unique (1-of-1) : un seul noeud validait les messages cross-chain avant de libérer les fonds. Les attaquants ont lancé une attaque par déni de service contre les noeuds RPC légitimes pour forcer un basculement vers des noeuds qu’ils contrôlaient, puis ont injecté de faux messages autorisant un retrait massif, comme l’a reconstitué Chainalysis. Aave, SparkLend et Fluid ont gelé leurs marchés rsETH pour endiguer la contagion ; Kelp a depuis migré vers Chainlink CCIP, dans une passe d’armes publique avec LayerZero sur la responsabilité des réglages par défaut.

Le fil commun saute aux yeux : dans les trois cas, le code a tenu. C’est la configuration, l’infrastructure et l’humain qui ont cédé.

Pourquoi un audit ne verra jamais venir la Corée du Nord

Un audit de smart contract est une revue, bornée dans le temps, du code d’un protocole au regard des classes de vulnérabilités connues. C’est indispensable, mais son périmètre est étroit par nature. Il n’examine pas la configuration d’une intégration tierce, comme le vérificateur de Kelp ; ni les points de défaillance uniques de l’infrastructure, comme les noeuds RPC ; ni le comportement d’une dépendance hors-chaîne ; ni l’ordinateur portable d’un membre du Security Council. C’est précisément la liste de ce qu’un audit ne regarde pas qu’OpenZeppelin a détaillée après Kelp.

Les chiffres de TRM Labs le confirment : les compromissions d’infrastructure et d’opérations, environ 15 % des incidents, concentrent près de 76 % de la valeur volée. Autrement dit, l’audit couvre le vecteur le plus fréquent, pas le plus coûteux. C’est une couverture nécessaire, jamais suffisante.

Le problème est aggravé par un vide réglementaire. Aucun régulateur n’impose d’audit de code ni n’accrédite les auditeurs de smart contracts : il n’existe pas d’équivalent d’un ordre des commissaires aux comptes pour le Solidity. En Europe, MiCA et l’AMF encadrent les prestataires de services sur actifs numériques et les émetteurs, pas le code des protocoles. La qualité d’un audit est donc policée par la seule réputation, un juge lent et faillible.

L’humain, la véritable surface d’attaque

Si l’audit échoue, c’est que la Corée du Nord a déplacé le combat là où le code n’a pas prise : sur l’humain. Sa spécialité est l’ingénierie sociale à grande échelle. Faux recruteurs qui piègent des développeurs avec de fausses offres d’emploi et un test technique vérolé ; faux salariés qui se font embaucher chez des sociétés Web3 sous des identités fabriquées ; longue manipulation, comme les six mois investis avant le vol de Drift.

Cette infiltration par de faux informaticiens est devenue si systématique que l’OFAC a sanctionné, le 12 mars 2026, six individus et deux entités impliqués dans ces réseaux de travailleurs IT nord-coréens, actifs notamment au Vietnam, au Laos et en Espagne, donc jusqu’aux portes de l’Union européenne, comme l’a documenté Chainalysis.

L’arme monte en puissance. Steven Walbroehl, cofondateur et directeur technique de Halborn, prévient que « l’ingénierie sociale dopée à l’IA jouera un rôle majeur dans la panoplie des pirates » et que les attaquants s’en servent pour lancer des « attaques hautement personnalisées et contextuelles qui contournent les formations classiques de sensibilisation », dans un entretien à Cointelegraph. C’est le même basculement que raconte notre enquête sur le vol de clés privées, où voler la seed ne suffit plus : la cible n’est plus la cryptographie, c’est la personne qui la détient.

Quand l’IA arme les deux camps

L’intelligence artificielle abaisse le coût de la tromperie. Un attaquant peut aujourd’hui générer des messages de hameçonnage parfaitement rédigés, cloner une voix ou un visage pour un appel vidéo truqué, et animer des dizaines de fausses identités crédibles en parallèle. Le facteur humain, déjà maillon faible, devient une cible industrialisable. C’est le coeur de notre dossier sur le phishing crypto à l’ère de l’IA.

Les défenseurs ripostent avec les mêmes outils. Halborn commercialise désormais une offre d’« AI Red Teaming », des tests adverses contre les menaces réelles visant les systèmes d’IA, et l’IA assiste aussi la relecture de code et la détection d’anomalies. Mais l’automatisation ne change pas l’asymétrie de fond : l’attaquant n’a besoin de réussir qu’une seule fois, le défenseur doit être parfait à chaque instant.

Blanchir sous sanctions : le voyage de l’argent volé

Une fois les fonds saisis, la Corée du Nord doit encore les transformer en monnaie utilisable, et c’est là que le fait d’être un État sanctionné devient un handicap opérationnel. Pyongyang ne peut pas encaisser via des plateformes conformes. Ses opérateurs convertissent donc en hâte les jetons volés en ETH ou en BTC, les font transiter par des échanges cross-chain et des mélangeurs, puis les écoulent via des services de garantie et des places de marché en langue chinoise spécialisées dans le brassage de fonds illicites, un circuit que Chainalysis cartographie année après année.

Ce parcours laisse des traces, et c’est le terrain de jeu des enquêteurs on-chain et d’analystes indépendants comme ZachXBT, qui devancent souvent les confirmations officielles. Suivre les mouvements massifs, y compris ceux des grands dépositaires, fait désormais partie de la réponse à incident. Mais tracer n’est pas récupérer : voir l’argent bouger ne suffit pas à le rendre.

Négocier avec un État : le marché qui n’existe pas

Contre un exploiteur ordinaire, la crypto a inventé une issue pragmatique : la prime au chapeau blanc. Après le vol d’environ 36 millions d’euros (42 millions de dollars) subi par GMX V1 en juillet 2025, l’équipe a proposé publiquement à l’attaquant de conserver 10 % des fonds en échange de la restitution du reste ; le pirate a rendu près de 30 millions de dollars et gardé quelque 5 millions, rapporte CoinDesk. La négociation fonctionne parce que le voleur a quelque chose à perdre.

Encore faut-il que la frontière avec le racket reste nette. Quand CertiK avait conservé 3 millions de dollars pris à Kraken en 2024, le directeur de la sécurité de l’exchange, Nick Percoco, avait tranché : « Ce n’est pas du hacking éthique, c’est de l’extorsion », selon CoinDesk.

Face à la Corée du Nord, ce registre s’effondre. On ne propose pas de prime à un service de renseignement sanctionné : verser des fonds à une entité listée peut soi-même constituer une violation des sanctions, et Pyongyang ne restitue rien par bonne volonté. Contre un adversaire d’État, la récupération n’est pas une négociation, c’est une interdiction.

Le seul vrai coupe-circuit : le gel des stablecoins

Il reste un levier qui mord vraiment : la liste noire d’un émetteur de stablecoin centralisé. Le 23 avril 2026, Tether a gelé environ 297 millions d’euros (344 millions de dollars) d’USDT sur deux portefeuilles Tron, en coordination avec l’OFAC et les autorités américaines, dans un dossier lié au contournement des sanctions visant l’Iran. Paolo Ardoino, PDG de Tether, a martelé que l’USDT « n’est pas un refuge pour les activités illicites » et que la société agit « immédiatement et de manière décisive » lorsque des liens crédibles avec des entités sanctionnées sont établis.

Le mécanisme est simple : une fonction de blocage inscrite dans le contrat du jeton, puis une réémission vers un portefeuille propre contrôlé par les autorités. Il ne fonctionne toutefois que tant que le butin reste en USDT ou en USDC. Les gels au niveau de la chaîne elle-même, comme lorsque les validateurs de Sui ou le Security Council d’Arbitrum ont figé des fonds, ne sont possibles que sur des réseaux à faible nombre de validateurs ou dotés d’un conseil d’urgence ; ils sont impensables sur le mainnet Ethereum ou sur Bitcoin, et rappellent la censure que la crypto disait vouloir abolir. Ce pouvoir de gel soulève d’ailleurs de vraies questions de procédure, quand des avoirs sont bloqués avant tout mandat judiciaire.

Ce que peut, et ne peut pas, la régulation en France et en Europe

L’Europe régule les intermédiaires, pas les protocoles. MiCA et l’AMF encadrent les prestataires de services sur actifs numériques et les émetteurs ; la période transitoire française pour les anciens PSAN s’est achevée le 1er juillet 2026. Mais aucune de ces règles n’impose l’audit du code ni ne touche à la surface d’attaque qu’exploite la Corée du Nord. Et lorsqu’un protocole pleinement décentralisé est vidé, il n’existe aucun PSAN à qui demander des comptes : il ne reste que le post-mortem et le gel des stablecoins.

Les vraies dents européennes sont ailleurs, du côté des sanctions et du renseignement. L’Union a déjà sanctionné des Nord-Coréens liés à Lazarus, rappelle The Record ; plusieurs puissances européennes, dont la France, participent à la surveillance multilatérale des sanctions contre Pyongyang ; l’ANSSI suit les menaces étatiques et TRACFIN traite les signalements de flux suspects. Le règlement DORA ajoute, depuis 2025, des exigences de résilience informatique pour les acteurs financiers, et rendra à terme obligatoires des tests d’intrusion pilotés par la menace.

Il faut toutefois regarder la réalité en face : dans notre calendrier réglementaire de septembre, le vrai coupe-circuit contre un vol nord-coréen n’est pas un texte européen, c’est la liste noire d’un émetteur privé de stablecoin adossée à une inscription de l’OFAC. La souveraineté monétaire de la DeFi s’arrête là où commence celle du Trésor américain.

Se défendre contre un adversaire étatique

Aucune mesure isolée n’arrête Lazarus, mais un empilement de couches relève le coût de l’attaque. Partir du principe que la compromission est inévitable (assume breach). Faire tester ses défenses par des exercices offensifs qui rejouent les modes opératoires nord-coréens, et pas seulement par un audit de code. Décentraliser les vérificateurs et les oracles, comme le passage de Kelp d’un vérificateur unique à une architecture redondante. Durcir les noeuds RPC et l’infrastructure hors-chaîne.

• Privilégier la signature claire sur matériel dédié plutôt que la signature à l’aveugle qui a piégé Bybit.
• Encadrer les procédures des conseils d’administration on-chain et bannir la pré-signature qui a coulé Drift.
• Renforcer la vérification d’identité à l’embauche face à l’infiltration par de faux informaticiens.
• Souscrire une réponse à incident en amont, pour ne pas perdre la seule fenêtre qui compte, les premières heures où le butin est encore gelable.

C’est tout le sens du positionnement de Halborn : l’audit est un prérequis, le différenciateur est la simulation offensive et la réponse à incident. La conclusion de 2026 tient en une phrase : la sécurité du code est nécessaire et très loin d’être suffisante. La frontière s’est déplacée vers l’humain et l’infrastructure, et l’acteur qui donne le rythme n’est pas un adolescent dans une cave, c’est un gouvernement.

Frequently Asked Questions

La Corée du Nord est-elle vraiment derrière les plus gros vols crypto ?

Oui. Le FBI, Chainalysis et TRM Labs attribuent à des groupes nord-coréens le vol de Bybit en 2025 comme les braquages de Drift et de Kelp en 2026. En 2025, ces groupes ont dérobé environ 2,02 milliards de dollars, et ils ont capté près de deux tiers de la valeur volée au premier semestre 2026.

Pourquoi un audit de smart contract ne suffit-il pas à empêcher ces vols ?

Parce qu’un audit examine le code, alors que la Corée du Nord attaque l’humain, l’infrastructure et la configuration. Selon TRM Labs, les compromissions d’infrastructure et d’opérations ne représentent qu’environ 15 % des incidents mais près de 76 % de la valeur volée, un terrain que l’audit ne couvre pas.

Que fait Halborn contre ces attaques ?

Halborn est un cabinet de sécurité offensive qui simule les modes opératoires des attaquants (red teaming), publie les autopsies techniques des grands hacks et travaille avec Chainalysis sur l’enquête et la récupération des fonds. Son approche va au-delà de l’audit de code classique.

Peut-on récupérer des fonds volés par la Corée du Nord ?

Rarement. On ne négocie pas de prime au chapeau blanc avec un État sanctionné, et Pyongyang ne restitue pas les fonds. Le principal levier reste le gel par un émetteur de stablecoin, comme les 344 millions de dollars figés par Tether en avril 2026, mais seulement tant que le butin reste en USDT ou en USDC.

La régulation européenne protège-t-elle contre Lazarus ?

Pas directement. MiCA et l’AMF encadrent les prestataires et les émetteurs, pas le code des protocoles, et n’imposent aucun audit obligatoire. Les vrais leviers européens sont les sanctions, l’ANSSI et TRACFIN, complétés par les gels de stablecoins adossés aux listes de l’OFAC.

Par Anneke de Vries, rédactrice sécurité chez HOGE Wire.