Le spécialiste grec en cybersécurité Vangelis Stykas, directeur technologique de l'entreprise Kumio, a observé pendant près de 22 mois le travail d'un groupe de pirates lié à la Corée du Nord depuis l'intérieur de sa propre infrastructure. Il a présenté ces conclusions les 6 et 7 août lors de la conférence Black Hat USA 2026.
Stykas a découvert des données sur 1 640 entreprises dans 57 pays qui figuraient sur la liste des cibles du groupe ou avaient déjà été touchées. Parmi elles, environ 700 à 800 organisations ont subi des intrusions graves — les attaquants ont obtenu un accès root aux serveurs, à l'infrastructure AWS, et dans le cas des entreprises de crypto-monnaies, aux clés des portefeuilles. Parmi les victimes qu'il a publiquement nommées :
- Coinbase
- Uniswap Labs
- Boston Children's Hospital
- Oppo
- AEON Smart Technology
L'accès aux communications et aux serveurs des pirates, le chercheur l'a obtenu en grande partie par hasard : les opérateurs du groupe avaient eux-mêmes infecté leurs propres postes de travail avec le même logiciel malveillant qu'ils utilisaient pour attaquer leurs victimes. Cela a ouvert à Stykas la voie vers leurs serveurs de commande et contrôle (C2), leurs comptes Slack et Discord et environ 5 To de données internes.
Pertes record au premier semestre
La surveillance de Stykas coïncide avec la publication de données sur l'ampleur record du piratage cryptographique nord-coréen. Selon un rapport de TRM Labs daté du 1er juillet 2026, au cours du premier semestre, les pirates liés à la Corée du Nord ont volé environ 643 millions de dollars en cryptomonnaies — soit environ 66 % du montant total dérobé suite à des piratages et des exploitations dans le monde sur cette période. Les pertes totales de l'industrie pour le semestre s'élèvent à 972 millions de dollars pour 207 incidents recensés.
Presque tout le butin nord-coréen provient de deux attaques majeures en avril 2026 — contre Drift Protocol (environ 285 millions de dollars) et contre KelpDAO (environ 292 millions de dollars). TRM Labs souligne cependant : ces chiffres ne prennent en compte que les piratages et exploitations directs. Outre ceux-ci, la Corée du Nord acquiert des cryptomonnaies via le phishing, l'ingénierie sociale, des stratagèmes frauduleux et des arnaques, ainsi qu'en plaçant ses spécialistes IT sous de fausses identités dans des entreprises occidentales.
Le volume cumulé de cryptomonnaies volées par les pirates nord-coréens depuis 2017 est estimé par les plateformes analytiques à environ 6,75 milliards de dollars fin 2025 — en tenant compte des opérations de 2026, ce montant a encore augmenté.
Changement de tactique : miser sur les humains plutôt que sur le code
L'ingénierie sociale contre les employés des entreprises devient de plus en plus la principale méthode d'attaque, plutôt que le piratage du protocole lui-même. Les pirates liés au groupe Lazarus et aux structures qui lui sont affiliées se font passer pour des recruteurs, proposent aux développeurs un travail à distance bien rémunéré et envoient un « test technique ». Dès que la victime télécharge et exécute le fichier sur son ordinateur professionnel, un logiciel malveillant est installé, ouvrant l'accès à l'infrastructure d'entreprise, aux clés, aux serveurs et aux portefeuilles — après quoi les fonds sont retirés. Ce scénario a notamment été utilisé dans la campagne de plusieurs mois contre Drift Protocol et dans l'opération Contagious Interview.
La combinaison des données de TRM Labs et des découvertes de Stykas montre qu'au cours des dernières années, les opérateurs nord-coréens ont construit une infrastructure couvrant des centaines d'entreprises à travers le monde — des bourses cryptographiques et des protocoles DeFi aux fabricants d'électronique et aux établissements de santé. Le principal impact ne vise pas les vulnérabilités techniques des blockchains, mais la confiance des employés envers des offres d'emploi prétendument légitimes.
L'avis de l'IA
Du point de vue des liens macroéconomiques, l'enquête de Stykas apparaît comme une partie d'un tableau plus large. Les actifs cryptographiques volés ne se retrouvent pas sur des comptes privés de pirates — le Département d'État américain avait déjà confirmé en janvier 2026 que les revenus de telles opérations étaient systématiquement dirigés vers des programmes d'armement et pour contourner les sanctions de l'ONU. L'aspect technique, laissé en dehors de l'article, est la résilience de l'infrastructure de Lazarus elle-même : l'infection de leurs propres postes de travail par le même logiciel malveillant indique un manque d'hygiène cybernétique interne même chez un groupe avancé. Cela crée une fenêtre de vulnérabilité dont le chercheur a profité, mais dont une agence de renseignement concurrente pourrait théoriquement profiter également. La question demeure : combien de temps de telles « erreurs » fortuites resteront-elles le seul moyen de jeter un œil à l'intérieur de la machine de piratage nord-coréenne ?
end-content
