Des pirates liés à la Corée du Nord ont volé plus de $1 billion en cryptomonnaies cette année, selon Chainalysis. Le piratage de Bitget de $387.5 million a fait franchir ce seuil au total, tandis que les pertes totales liées aux exploits DeFi continuent de baisser, car les vols se sont concentrés dans une seule opération étatique.
Les vols de cryptomonnaies par la Corée du Nord ont dépassé 1 milliard de dollars. Les cryptos ont célébré.
Points clés
- Les pirates liés à la Corée du Nord ont volé plus de 1 milliard de dollars en crypto en 2026, après avoir pris plus de 2 milliards de dollars en 2025, selon Chainalysis.
- La brèche de Bitget du 24 septembre, 387,5 millions de dollars et la plus importante de l'année, a fait dépasser le total cumulé ce seuil.
- Les pertes totales dues aux exploits DeFi sont en réalité en baisse. Les « bonnes nouvelles » masquent une consolidation des vols au sein d'une seule opération industrialisée et soutenue par un État.
- Le vecteur d'attaque est passé du code aux personnes : la faille du protocole Drift a impliqué six mois d'infiltration en personne, et non une vulnérabilité du contrat intelligent.
- THORChain a refusé de bloquer les fonds volés de Bitget tandis que NEAR Intents a bloqué 50 millions de dollars, divisant la DeFi en deux futurs incompatibles.
Selon Chainalysis, les hackers nord-coréens ont désormais volé plus de 1 milliard de dollars en cryptomonnaies cette année. Le montant qui leur a permis de franchir ce cap est les 387,5 millions de dollars dérobés à la plateforme d'échange Bitget le 24 septembre, constituant le plus grand piratage unique de 2026. Pourtant, la même semaine, une grande partie de l'industrie se félicitait discrètement, car les pertes totales dues aux exploits DeFi sont en baisse.
Les deux faits sont vrais. C'est le problème.
Le tableau général : la période amateur de la crypto est terminée
L'en-tête « les pertes dues aux piratages ont diminué » est réel mais trompeur. Au premier trimestre 2026, les protocoles DeFi ont perdu environ 168 millions de dollars à la suite d'exploits, en baisse d'environ 90 % par rapport aux 1,58 milliard de dollars volés au premier trimestre 2025, le trimestre qui a inclus le piratage record de Bybit de 1,4 milliard de dollars. Interprété naïvement, cela donne l'impression que la crypto a enfin mis de l'ordre dans sa sécurité.
Ce qui s'est réellement passé est moins flatteur. Les attaques de script-kiddies et de loups solitaires, qui gonflaient autrefois les statistiques annuelles, les bugs de protocoles de prêt de 150 000 $, les failles de logique de cotation de 80 000 $, se sont largement taris. À leur place se dresse une seule opération financée par un État, qui extrait de manière fiable des neuf chiffres à la fois. Le vol n'a pas diminué. Il s'est concentré.
La Corée du Nord traite le vol de cryptomonnaies comme une ligne de revenus d'État. Les Nations Unies ont estimé à plusieurs reprises que les fonds de cryptomonnaies volés financent une part significative des programmes d'armes de Pyongyang. Il ne s'agit pas d'un gang de criminels qui aurait appris Solidity par hasard. C'est une politique industrielle nationale gérée par des unités telles que Lazarus et TraderTraitor, avec un pipeline de recrutement, un programme de formation et une chaîne logistique de blanchiment qui embarrasseraient la plupart des institutions financières légitimes.
Réfléchissez à ce que « industrialisé » signifie réellement ici. L'attaque du protocole Drift en avril n'était pas une brèche ; c'était une opération. Les attaquants ont passé environ six mois à se faire passer pour une société de trading quantitatif, à assister à des conférences, à se lier d'amitié avec des contributeurs en personne et même à déposer 1 million de dollars de leur propre capital dans une caisse de projet pour établir la confiance. Ensuite, ils ont abusé du mécanisme de nonce durable de Solana pour s'emparer des pouvoirs administratifs du Conseil de sécurité. Les contrats intelligents ont résisté parfaitement. Les humains, non.
Pourquoi la Corée du Nord gagne-t-elle alors que les piratages sont « en baisse » ?
La réponse est que l'industrie s'est optimisée contre le mauvais ennemi. Pendant une décennie, le secteur des cryptomonnaies a investi massivement dans des audits de code, des primes pour la découverte de bugs et la vérification formelle, et ce travail a largement réussi. Exploiter un contrat intelligent bien audité est aujourd'hui véritablement difficile. L'adversaire a donc changé de cible.
Le CTO de Ledger, Charles Guillemet, a tracé la ligne explicitement après Drift, reliant sa méthode au vol de Bybit : infiltration à long terme des humains qui détiennent les clés, puis les convaincre d'approuver des transactions malveillantes. La surface d'attaque a migré vers le haut de la pile, du code vers les personnes qui l'exploitent. Le secteur des cryptomonnaies a passé dix ans à durcir ses contrats et a oublié que la plus faible entrée reste toujours une personne.
La brèche chez Bitget, en revanche, a exploité une vulnérabilité logicielle tierce pour extraire des identifiants internes, relevant du risque fournisseur et non d'un bug de protocole. Mandiant et SlowMist s'efforcent encore de démêler les faits exacts. Mais le schéma est cohérent : il s'agit d'attaques par chaîne d'approvisionnement et d'ingénierie sociale ciblant les humains opérationnels, la seule couche qu'aucun auditeur ne valide jamais.
Effets Ripple : La contradiction de THORChain
L'histoire dans l'histoire est ce qui est arrivé à l'argent après Bitget. En trois heures, les attaquants ont dispersé 387,5 millions de dollars sur quatre réseaux : 49,7 % sur Ethereum, 40,8 % sur le XRP Ledger, 7,6 % sur Zcash et 1,8 % sur Tron. Puis ils ont fait ce qui est devenu la signature de Lazarus : ils ont fait transiter les XRP via THORChain, convertissant plus de 90 % d'entre eux en Bitcoin natif, sans jamais toucher à une exchange centralisée qui aurait pu les geler.
La PDG de Bitget, Gracy Chen, a demandé publiquement à THORChain de bloquer les adresses signalées. « La décentralisation est un principe de conception », a-t-elle écrit, « pas un bouclier pour faciliter des fonds volés connus. » THORChain a refusé, arguant qu'il est « sans permission comme Bitcoin, Ethereum et BNB Chain », et demandant quelle responsabilité ces couches de base assument pour les fonds volés qui y transitent.
La réponse va de soi. Lorsque THORChain a lui-même été vidée de 10,7 millions de dollars en mai, le réseau s'est arrêté en quelques heures et est resté hors ligne pendant cinq semaines. Lorsque ThorFi a fait faillite en janvier 2025, ses nœuds ont voté pendant la nuit pour geler les retraits. Comme l'a déclaré Star Xu, fondateur d'OKX : un réseau qui s'arrête lorsque son propre argent est en danger mais refuse de s'arrêter lorsque l'argent de quelqu'un d'autre est en danger n'est pas « comme Bitcoin ». Il fait un choix.
Voici la fourche qui compte pour tout l'écosystème. NEAR Intents a fait le contraire de THORChain : son système automatisé SHIELD a bloqué environ 50 millions de dollars d'échanges liés à Bitget et a même refusé la prime de 5 % offerte par Bitget. Bitget les en a remerciés. Les puristes de la décentralisation les ont attaqués pour ne pas être assez sans permission. Deux protocoles, deux réponses incompatibles à la même question, et chaque projet DeFi doit maintenant choisir son camp, qu'il le dise ou non.
Context historique : Le Playbook de Bybit, affiné
Rien de tout cela n'est nouveau ; c'est juste plus tranchant. En février 2025, Lazarus a volé 1,46 milliard de dollars à Bybit et blanchi environ 1,2 milliard de dollars via THORChain, onze jours après que THORChain a retiré sa clé d'administration. Le voleur de Coldcard l'a utilisé. Le voleur de Bitget l'a utilisé. THORChain est devenu pour le blanchiment de crypto ce que Tornado Cash était pour le blanchiment par mélange, sauf que le cofondateur de Tornado Cash a été reconnu coupable d'avoir exploité un transmetteur d'argent sans licence, tandis que THORChain opère au grand jour avec un jeton de premier plan.
La différence entre alors et maintenant réside dans l'échelle et la permanence. Une année à 1 milliard de dollars était autrefois une anomalie provoquée par un seul hack catastrophique. Maintenant, c'est la norme courante, et l'année n'est pas terminée. La Corée du Nord a transformé le vol à grande échelle en une opération répétitive, récurrente trimestriellement, la chose la plus proche que le secteur des crypto-monnaies ait d'un abonnement à un revenu hostile.
Perspective future : Où cela mène dans 1 à 3 ans
Trois tendances s'accélèrent à partir de là.
Premièrement, le goulot d'étranglement se déplace vers le point de sortie. Si la couche de protocole ne censure pas, les régulateurs vont presser les échanges, les bureaux de négociation de gré à gré (OTC) et les banques qui touchent le Bitcoin converti. Le registre de Bitcoin reste transparent même après la conversion, donc l'application de la loi se concentre là où les fonds sortent en monnaie fiduciaire, exactement là où les enquêteurs ont toujours eu le plus de succès.
Deuxièmement, la scission NEAR-vs-THORChain devient une ligne rouge réglementaire. Le cadre DeFi de 2026 du Groupe d'action financière (GAFI) stipule déjà que les contrats intelligents ne sont pas soumis à ses règles, mais les personnes identifiables exerçant une « influence suffisante » sur un protocole peuvent l'être. Le gel propre à THORChain en mai prouve qu'il possède cette influence. Ce n'est plus une question juridique, c'est une question de calendrier.
Troisièmement, le récit des « piratages en baisse » vieillira mal. Un seul incident bien chroniqué peut encore faire de 2026 une année record, car l'adversaire mène désormais une opération reproductible plutôt qu'une série d'exploits chanceux. Le risque de queue s'est alourdi même si la moyenne a diminué.
L'angle du trader : ce n'est pas le prix, c'est le lieu et l'actif
Il ne s'agit pas d'une histoire de prix, mais d'une histoire de risque de contrepartie. L'incident Bitget est une expérience naturelle claire de ce qui est gelé et ce qui ne l'est pas. Circle et Tether ont gelé les portefeuilles étiquetés comme attaquants en quelques jours, mais le total s'élevait à environ 318 000 $, soit 0,08 % du butin. Les 88 % restants sont restés dormants dans l'ETH, l'XRP et le Zcash, aucun desquels un émetteur centralisé ne peut geler. Les attaquants savent exactement quels actifs sont incensurables et allouent en conséquence.
La leçon pratique est ennuyeuse et utile : traitez les hubs de liquidité inter-chaînes, les monnaies de confidentialité et la garde de portefeuilles chauds comme des variables de risque qui peuvent être compressées par la réglementation ou ciblées par un acteur étatique, et non pas comme une infrastructure neutre. Diversifiez sur les plateformes. Comprenez que la posture de conformité d'une plateforme, ou son absence, est désormais un fait matériel concernant votre exposition, que vous blanchissiez ou non.
Clôture
Voici la question que la crypto refuse obstinément de répondre. Si un État sanctionné et doté de l'arme nucléaire utilise votre protocole « permissionless » (sans autorisation) comme canal principal de blanchiment d'argent, et que votre protocole peut démontrer qu'il est capable d'interrompre les transactions lorsque ses propres fonds sont en danger, combien de temps faudra-t-il avant que « nous ne pouvons pas » cesse d'être une philosophie de conception pour commencer à être interprété comme un choix ?
L'industrie a passé une décennie à soutenir que le code est la loi. La Corée du Nord vient de prouver que la loi présente une faille. Et cette faille, c'est nous.
Questions fréquemment posées
Combien de crypto la Corée du Nord a-t-elle volé en 2026 ? Plus d'1 milliard de dollars, selon Chainalysis, après environ 2 milliards de dollars en 2025. La brèche de Bitget de 387,5 millions de dollars en septembre a été l'incident unique qui a fait dépasser le total de 2026 ce seuil.
Pourquoi les pertes totales dues aux piratages diminuent-elles tandis que les vols de la Corée du Nord augmentent ? Les pertes liées aux exploits DeFi ont diminué d'environ 90 % en glissement annuel au T1 2026 car les piratages à petite échelle par des amateurs ont diminué. Le vol ne s'est pas arrêté, il s'est concentré au sein d'une seule opération gérée par l'État, exécutant moins d'attaques, mais beaucoup plus importantes.
Pourquoi THORChain a-t-il refusé de bloquer les fonds de Bitget ? Il fait valoir qu'il est permissionless, comme Bitcoin ou Ethereum, et ne peut pas censurer d'adresses individuelles. Les critiques soulignent qu'il a interrompu son propre réseau en quelques heures après un exploit de 10,7 millions de dollars en mai, et a gelé son produit de prêt en janvier 2025.
Comment la faille de Drift s'est-elle produite sans bug de code ? Les attaquants ont passé environ six mois à manipuler socialement les contributeurs, en se faisant passer pour une société de quantitatifs, en se rencontrant en personne, en déposant 1 million de dollars, puis ont abusé des nonces durables de Solana pour s'emparer des pouvoirs d'administration du Conseil de sécurité. Le code a tenu ; les personnes, non.
Quelle est la différence entre NEAR Intents et THORChain ici ? Le système SHIELD de NEAR Intents a bloqué environ 50 millions de dollars d'échanges liés à Bitget et a refusé la prime de 5 %. THORChain a refusé d'agir du tout. Ces deux réponses représentent deux futurs mutuellement exclusifs pour la finance décentralisée.