- Le FBI attribue officiellement le vol d'environ 6,7 milliards de dollars de cryptomonnaies chez Binance au groupe nord-coréen TraderTraitor.
- Selon les enquêteurs, les pirates blanchissent les actifs dérobés sur plusieurs blockchains et à travers des services de finance décentralisée.
- L'affaire rappelle les menaces persistantes des campagnes liées à Lazarus, qui visent notamment les professionnels de la crypto, du développement logiciel et du DevOps.
Le FBI accuse publiquement un groupe de pirates informatiques soutenu par l'État nord-coréen d'être à l'origine de la récente attaque contre la plateforme d'échange de cryptomonnaies Binance.
L'une des plus grandes plateformes d'échange au monde avait dû suspendre temporairement les dépôts et les retraits. Elle a ensuite confirmé qu'un acteur malveillant avait dérobé environ 6,7 milliards de dollars en différentes cryptomonnaies.
Les analystes en cybersécurité ont rapidement ouvert leurs propres investigations. Plusieurs spécialistes avaient déjà attribué le vol à TraderTraitor, un groupe de pirates lié à l'État nord-coréen.
TraderTraitor serait une composante du Lazarus Group, un vaste ensemble d'opérations cybercriminelles associées à la Corée du Nord. Ses membres sont soupçonnés de voler des fonds pour soutenir les institutions et les programmes d'armement du pays.
TraderTraitor
Le FBI vient désormais de publier une déclaration officielle désignant TraderTraitor comme responsable de l'attaque.
Le Bureau fédéral d'enquête indique que la République populaire démocratique de Corée serait à l'origine du vol de plus de 6 milliards de dollars d'actifs numériques survenu chez Binance aux alentours du 29 octobre 2026. Les autorités américaines utilisent le nom TraderTraitor pour désigner cette activité cybercriminelle spécifique.
Le FBI précise également qu'il travaille avec le Secret Service américain et la division des enquêtes criminelles de l'administration fiscale, l'IRS-CI, pour suivre les mouvements des cryptomonnaies volées.
Selon ces organismes, les pirates convertissent principalement les actifs dérobés en Ethereum (ETH). Les enquêteurs s'attendent ensuite à ce que ces fonds soient blanchis à travers des services de finance décentralisée (DeFi) et des plateformes permettant de convertir rapidement des cryptomonnaies.
Ces opérations viseraient à compliquer le suivi des fonds avant les prochaines étapes du blanchiment.
Binance a expliqué qu'un ordinateur portable appartenant à l'un de ses ingénieurs DevOps avait été compromis. Cette intrusion aurait permis à un pirate d'accéder à un conteneur de service depuis lequel il a soumis des transactions de retrait non autorisées.
Certains observateurs soupçonnent une opération de recrutement frauduleux, une technique classique des groupes liés à Lazarus. D'autres évoquent la possibilité d'une escroquerie sentimentale. Aucune de ces hypothèses n'a toutefois été confirmée comme méthode initiale de compromission.
Depuis, Binance a repris ses opérations et affirme avoir couvert la majeure partie des pertes.
Les premières investigations indiquaient que les pirates avaient retiré des fonds de dix blockchains différentes, notamment Bitcoin, Ethereum, Solana, XRP et Arbitrum.
Sur Ethereum, les attaquants auraient même déployé un contrat intelligent capable de retirer automatiquement les nouveaux fonds arrivant sur le compte compromis.
Un élément est néanmoins rassurant pour les clients : selon les informations communiquées, les cryptomonnaies dérobées appartenaient à la plateforme elle-même et non directement à ses utilisateurs.
Les plateformes d'échange doivent distinguer les actifs dont elles sont propriétaires de ceux conservés pour leurs clients.
Binance possède également un fonds de protection appelé SAFU (Secure Asset Fund for Users). Celui-ci est destiné à protéger les avoirs des utilisateurs lors d'incidents exceptionnels affectant la plateforme.
Les opérations DreamJob et Contagious Interview
La Corée du Nord n'a pas commenté ces accusations. Depuis plusieurs années, la communauté de la cybersécurité alerte toutefois sur les activités du Lazarus Group contre des organisations occidentales.
Ces opérations peuvent viser le vol d'argent, mais également l'espionnage et l'interception d'informations sensibles.
Lazarus comprend plusieurs sous-groupes, parmi lesquels TraderTraitor. Deux campagnes frauduleuses sont particulièrement associées à ces activités : Operation DreamJob et Contagious Interview.
Elles ciblent principalement les développeurs de logiciels, les programmeurs blockchain, les professionnels du DevOps et, plus largement, les salariés du secteur informatique.
Dans le cadre de ces campagnes, les pirates créent de fausses entreprises, de faux profils de salariés et des offres d'emploi fictives.
Les victimes sont souvent approchées sur LinkedIn avec des propositions de postes particulièrement attractives. Pendant les prétendus entretiens de recrutement, elles sont amenées à télécharger ou à exécuter des logiciels malveillants.
Dans d'autres cas, les membres de ces réseaux postulent eux-mêmes à des emplois légitimes en se faisant passer pour des ressortissants chinois, vietnamiens ou thaïlandais. Une fois recrutés, ils peuvent exploiter leur poste pour dérober des informations sensibles ou de l'argent.
Ces opérations permettent notamment aux acteurs nord-coréens de contourner certaines restrictions économiques. La Corée du Nord est soumise à de lourdes sanctions américaines, qui limitent les relations commerciales et professionnelles avec des entités liées au pays.
Le FBI a également publié une longue liste d'adresses de portefeuilles numériques soupçonnées de contenir une partie des fonds volés.
Les autorités demandent aux opérateurs THORNode, aux gestionnaires de nœuds RPC, aux plateformes d'échange instantané, aux services DeFi, aux entreprises spécialisées dans l'analyse blockchain et aux autres prestataires du secteur des actifs numériques de bloquer les transactions provenant de ces adresses ou associées à celles-ci.
L'objectif est de compliquer le blanchiment des cryptomonnaies et d'empêcher leur réintroduction dans les circuits financiers.
- Deepfakes, Telegram et virus : la Corée du Nord a un nouveau plan
- L'IA devient l'arme préférée des hackers pour viser les cryptos
- Après le piratage, une autre menace explose pour les millionnaires de la crypto : l'enlèvement
