Entre 2017 et 2025, la Corée du Nord a fait du secteur crypto une source de financement structurelle. Le 28 octobre 2025, le Trésor américain a frappé un réseau de conversion lié au régime, après une série d’enquêtes qui relient salaires d’informaticiens infiltrés, vols de hacks et blanchiment industrialisé.
🔑 En bref
- Le Trésor américain sanctionne dix personnes et une entité pour environ 5,5 millions de dollars de transactions crypto.
- Des informaticiens nord-coréens infiltrent des entreprises, dont des acteurs crypto, grâce à des identités volées et à l’IA générative.
- Selon Recorded Future, Pyongyang aurait volé environ 3 milliards de dollars d’actifs crypto depuis 2017.
- Le piratage de Bybit, en février 2025, représente environ 1,5 milliard de dollars, le plus gros vol recensé.
Un financement déguisé en salaires
Le 28 octobre 2025, le Trésor américain a désigné dix personnes et une entité appartenant à un réseau de conversion de cryptomonnaies lié à la Corée du Nord. Deux ressortissants russes, Ilya Aleksandrovich Boykov et Vitold Viktorovich Obertas, sont accusés d’avoir facilité environ 5,5 millions de dollars de transactions crypto pour le compte de Pyongyang, sur plusieurs périodes. Selon le Trésor, le dispositif monétise les salaires de techniciens informatiques nord-coréens engagés sous de fausses identités par des entreprises légitimes, y compris des acteurs de la crypto. Ces revenus alimentent le régime et ses programmes d’armement.
L’enquête de Chainalysis retrace le parcours d’un développeur infiltré qui contribuait au code de projets blockchain et de protocoles DeFi (finance décentralisée). Entre la fin 2022 et le début 2023, son portefeuille recevait des stablecoins environ toutes les deux semaines, selon un rythme comparable à celui d’un salaire. Il les convertissait ensuite en Ether (ETH) avant de les transférer vers des adresses de consolidation que Chainalysis relie à des entités sanctionnées. Une partie des fonds aurait finalement atteint Boykov, qui les aurait transmis à la plateforme russe Garantex, elle-même sanctionnée, pour une conversion potentielle en espèces. Chainalysis indique que ces relations datent de plusieurs années et précèdent donc les sanctions les plus récentes.
Des flux chiffrés par acteur
Les montants attribués aux différents intermédiaires montrent une activité continue plutôt qu’un événement isolé :
| Acteur | Volume attribué | Période |
|---|---|---|
| Ilya Aleksandrovich Boykov | environ 3,5 millions de dollars | depuis 2024 |
| Vitold Viktorovich Obertas | près de 2 millions de dollars en crypto | depuis janvier 2025 |
| First Financial and Technical Development Center | plus de 750 000 dollars | depuis 2025 |
Boykov aurait également surveillé les transferts et fourni un appui logistique à la Limited Liability Company Alis, liée aux informaticiens nord-coréens. Obertas aurait, de son côté, traité au moins 1,25 million de dollars dans d’autres devises depuis janvier 2025. Chainalysis a enfin relié des fonds de l’Amnokgang Technology Development Company, organisation déjà sanctionnée, à des portefeuilles liés à Obertas. Ces flux alimentaient ensuite des plateformes d’échange grand public et d’autres plateformes sanctionnées. Six travailleurs du First Financial and Technical Development Center, entité contrôlée par Pyongyang et opérant en Russie, auraient généré ensemble plus de 750 000 dollars depuis 2025.
L’OFAC (Office of Foreign Assets Control) a ajouté au registre des adresses Ethereum et Tron associées aux personnes visées, ainsi qu’une adresse Ethereum liée à Kim Ki Hyok. Les biens sous juridiction américaine doivent être bloqués et signalés, et les personnes américaines ne peuvent en principe pas traiter avec les personnes désignées sans autorisation.
Infiltration, identités falsifiées et intermédiaires
L’infiltration repose sur des identités volées, des documents falsifiés et des historiques professionnels fabriqués. Des opérateurs ont recouru à l’IA générative pour produire des CV, des photos réalistes et même des vidéos deepfake pendant les entretiens, afin de masquer leur identité et de contourner les contrôles de recrutement. Une fois embauchés, ils perçoivent des salaires que le régime s’approprierait. Le Trésor avertit que ces travailleurs exploitent l’accès d’entreprise pour déployer des logiciels malveillants et voler des informations propriétaires ou sensibles.
Les opératifs sont généralement basés en Chine ou en Russie. Ils s’appuient sur un intermédiaire américain, parfois installé dans un domicile ordinaire en Arizona, au Minnesota ou dans l’Illinois, qui ouvre ou détient les comptes recevant les salaires, puis redistribue les fonds. Cet intermédiaire héberge aussi ce qu’il faut appeler une « ferme d’ordinateurs portables » : l’employeur lui envoie du matériel configuré pour permettre aux opératifs de se connecter depuis la Chine ou la Russie, tout en donnant l’impression que la connexion provient des États-Unis. Dans certains cas, un seul intermédiaire gérait 50 à 60 machines.
« La raison de cette escroquerie est vraiment de gagner de l’argent grâce à des emplois bien rémunérés aux États-Unis et dans l’Ouest et de l’envoyer directement à Kim Jong Un et à son régime pour financer des choses allant du programme d’armes nucléaires à sa caisse occulte personnelle et à d’autres opérations gouvernementales. »
Bobbie Johnson, journaliste d’investigation indépendant
Selon Johnson, une douzaine d’affaires étaient en cours aux États-Unis, chacune pouvant être liée à des dizaines, voire des centaines d’emplois, sans que l’ampleur réelle du dispositif soit connue. Quatre ressortissants nord-coréens ont par ailleurs été inculpés par des procureurs fédéraux pour avoir tenté d’obtenir des postes à distance dans une entreprise américaine, dans le but de dérober près d’un million de dollars en cryptomonnaies. Selon un groupe d’experts des Nations unies cité par Chainalysis, ce type de scénario génère entre 250 millions et 600 millions de dollars de revenus annuels pour le régime.
Bybit : le plus gros vol de l’histoire crypto
Le 21 février 2025, des pirates ont compromis un fournisseur de Bybit afin de modifier secrètement l’adresse de portefeuille vers laquelle 401 000 ETH étaient destinés, soit un vol d’environ 1,5 milliard de dollars. Selon la BBC, au moins 300 millions de dollars, soit 232 millions de livres, avaient été convertis en fonds irrécupérables dans les deux semaines suivantes, Bybit estimant qu’environ 20 % des fonds étaient devenus « gone dark » (introuvables).
TRM Labs estime que plus de 2,7 milliards de dollars ont été volés lors de hacks crypto en 2025, dont plus de la moitié seraient liés à la Corée du Nord. Le mode opératoire reste constant : une offre d’emploi fictive ou une proposition d’investissement sur LinkedIn, puis un test de programmation piégé qui dérobe clés SSH, cookies de navigateur ou jetons cloud. Les attaquants capturent ensuite les clés de portefeuilles chauds, les signatures multisig ou les systèmes de déploiement.
« Chaque minute compte pour les pirates qui essaient de brouiller la piste des fonds, et ils sont extrêmement sophistiqués dans ce qu’ils font. »
Dr Tom Robinson, cofondateur d’Elliptic
Robinson ajoute que, parmi les acteurs criminels de la crypto, « la Corée du Nord est la meilleure pour blanchir les cryptomonnaies ». De son côté, Ben Zhou, directeur général de Bybit, a affirmé qu’« aucun fonds de leurs clients n’a été volé ». L’entreprise a reconstitué les Ether volés grâce à des emprunts auprès d’investisseurs et lancé un programme de chasse aux primes lié à Lazarus. Vingt personnes auraient partagé plus de 4 millions de dollars de récompenses après avoir identifié 40 millions de dollars de fonds volés et alerté des entreprises crypto.
Un blanchiment industrialisé
TRM décrit la liquidation des fonds comme une activité quasi industrielle, externalisée à un réseau de courtiers OTC (de gré à gré), de banquiers clandestins et de transmetteurs, souvent désigné sous le nom de « blanchisserie chinoise ». Après les sanctions visant Tornado Cash en 2022 et Sinbad en 2023, les fonds sont fragmentés entre Avalanche, Ethereum, Bitcoin et Tron, les stablecoins étant notamment convertis en USDT sur Tron.
| Période | Cibles principales | Exemples |
|---|---|---|
| 2021-2022 | Ponts cross-chain | Ronin Network, Horizon Bridge |
| 2023 | Portefeuilles et plateformes | Atomic Wallet, CoinsPaid, Alphapo, Stake.com, CoinEx |
| 2024-2025 | Grandes plateformes centralisées | Bybit (environ 1,5 milliard de dollars) |
Selon TRM, l’ensemble du blanchiment et de la liquidation des fonds du vol Bybit aurait été confié à ces spécialistes chinois. Des organisations professionnelles achètent les actifs à prix décoté et les règlent en yuans, en biens ou en paiements directs à des sociétés-écrans nord-coréennes, parfois via WeChat. Ces mécanismes expliquent pourquoi les listes de sanctions statiques ne suffisent plus : TRM appelle les entreprises à surveiller les parcours multichaînes.
Estimations divergentes et précédents
Les chiffres varient selon les sources. Recorded Future estime que la Corée du Nord a volé environ 3 milliards de dollars de cryptomonnaies depuis 2017, dont 1,7 milliard en 2022, soit 44 % des vols crypto de l’année. Le Council on Foreign Relations (CFR) rapporte pour sa part plus d’un milliard de dollars volés en 2022, contre 400 millions en 2021, et environ un tiers de toutes les pertes liées aux intrusions cyber dans la crypto. Les sources ne précisent pas si l’écart tient à des périodes de comptage, à des périmètres ou à des méthodologies différents.
| Source | Année | Montant volé | Part |
|---|---|---|---|
| Recorded Future | 2022 | 1,7 milliard de dollars | 44 % |
| CFR | 2022 | plus d’un milliard de dollars | environ un tiers |
| CFR | 2021 | 400 millions de dollars | non précisée |
Les précédents sont nombreux : hack d’Upbit en 2019 (41 millions de dollars), vol de 275 millions sur KuCoin en 2020, dont la plupart des fonds ont été récupérés, attaque du Ronin Bridge en 2022 (600 millions) et environ 100 millions dérobés chez Atomic Wallet en 2023. Pyongyang n’a jamais reconnu être derrière le groupe Lazarus. En 2020, Washington a inscrit des Nord-Coréens accusés d’appartenir à Lazarus sur sa liste Cyber Most Wanted, avec des chances d’arrestation jugées extrêmement faibles.
Sanctions, limites et pistes de réponse
Le CFR juge que les sanctions américaines contre les mixeurs, notamment Blender en mai 2022 et Tornado Cash en août 2022, ont été relativement efficaces : le volume de Tornado Cash a fortement baissé après sa désignation. Mais la nature décentralisée de ces protocoles empêche de les isoler du système financier comme une organisation classique, et de nouveaux services de mixage continuent d’apparaître. La plateforme eXch, accusée d’avoir laissé passer plus de 90 millions de dollars, conteste cette accusation. Son propriétaire, Johann Roberts, explique que son équipe n’a pas bloqué les fonds initialement, en raison d’un litige avec Bybit et d’un doute sur leur origine, et indique désormais coopérer.
Saher Naumaan, analyste principale du renseignement sur les menaces chez BAE Systems Digital Intelligence, recommande un registre public et transparent des compromissions, un signalement en temps réel des portefeuilles volés, des directives de la CISA et de la NSA sur la sécurisation des smart contracts, ainsi que des audits périodiques certifiés par le NIST et rendus obligatoires par le Trésor.
Les sources disponibles ne signalent toutefois aucune variation chiffrée des cours de marché directement liée aux sanctions du 28 octobre 2025. L’impact de ces mesures se mesure donc davantage en termes de conformité et de risque réglementaire qu’en termes de prix.
Perspectives et scénarios
Le dossier nord-coréen illustre une tension structurelle : plus la crypto s’intègre aux marchés financiers, plus elle devient attractive pour des acteurs sous sanctions, et plus les infrastructures de conformité doivent être robustes. Trois scénarios se dessinent. Dans le scénario central, les sanctions ciblées et la surveillance on-chain continuent de gêner la conversion sans éradiquer les flux. Dans un scénario plus favorable, l’adoption de registres publics de compromissions et d’audits certifiés réduit les vecteurs d’attaque. Dans un scénario défavorable, la sophistication des deepfakes et la fragmentation multichaîne rendent la détection plus lente que l’exfiltration.
Pour les investisseurs comme pour les entreprises, le risque opérationnel (recrutement, gestion des clés, sécurité des smart contracts) constitue désormais un facteur à part entière, au même titre que la volatilité.
Sources
Cet article est publié à titre informatif et éducatif. Il ne constitue en aucun cas un conseil en investissement. Faites vos propres recherches (DYOR) avant toute décision.
