BitOK : les vols de cryptomonnaies liés à la Corée du Nord ont atteint 7,61 milliards de dollars en 2026

Un basculement signalé des attaques visant le code vers la compromission des systèmes de signature

La société d’analyse de la blockchain BitOK estime que des pirates nord-coréens ont dérobé 7,61 milliards de dollars en cryptomonnaies lors de 38 incidents entre janvier et octobre 2026. Le rapport recense six attaques majeures et indique qu’elles reposaient sur la prise de contrôle des personnes ou des systèmes autorisant les retraits, plutôt que sur l’exploitation du code. Cette distinction compte pour les audits de sécurité : selon le rapport, les attaques ont commencé en dehors de la logique des contrats intelligents, que les audits de code classiques sont conçus pour examiner.

BitOK indique que 2,86 milliards de dollars ont été gelés ou saisis, laissant 4,75 milliards de dollars hors d’atteinte. Binance représente 6,41 milliards de dollars du total déclaré, tandis que 32 vols de moindre ampleur ciblant des particuliers et des entreprises s’élèvent à 178,4 millions de dollars. Ces chiffres décrivent des pertes fortement concentrées, une seule plateforme d’échange représentant l’essentiel du montant déclaré. Ils montrent aussi que les récupérations obtenues par intervention n’ont pas suivi le rythme des sommes dérobées.

Les chiffres couvrent une période définie, de janvier à octobre 2026, et correspondent à des estimations attribuées à BitOK. La principale conclusion du rapport n’est pas que la sécurité du code est devenue sans importance, mais que les vérifications du code à elles seules n’ont pas empêché les six incidents les plus graves. Dans chacun d’eux, les retraits portaient des signatures valides ou avaient passé les contrôles habituels. La source ne précise pas comment BitOK a calculé son estimation totale ; les montants rapportés doivent donc être considérés comme l’évaluation de la société.

Comment les attaquants ont obtenu l’autorisation

Dans le cas de Binance, BitOK désigne l’ordinateur portable d’un ingénieur DevOps et un conteneur du service de signature comme points d’entrée des attaquants. Cette hypothèse concorde avec les conclusions antérieures citées dans la source au sujet de l’incident d’octobre. Le rapport situe donc la compromission au niveau des outils et des accès utilisés pour autoriser les retraits, et non dans une faille identifiée du code de retrait lui-même. La source ne détaille pas la séquence complète de compromission de l’ordinateur portable ou du conteneur.

D’autres incidents majeurs ont impliqué des systèmes différents : les signataires multisig de Drift, une plateforme de trading basée sur Solana ; un vérificateur unique du bridge de KelpDAO ; et le système de portefeuille de Bitget. Ces exemples concernent les infrastructures de trading, de transfert inter-chaînes et d’exchange, mais BitOK décrit une issue commune : les autorisations étaient valides ou les contrôles habituels avaient été satisfaits. Le rapport soulève une préoccupation concrète en matière de sécurité : protéger le code de chaque application peut ne pas suffire si le processus de signature peut être détourné.

Selon BitOK, avant chaque attaque, les opérateurs ont testé le parcours exact avec de petits montants. Dans le cas de Binance, le contrat d’attaque était actif publiquement quatre heures avant le vol. Ce détail suggère que l’opération comportait une phase de test visible sur la chaîne avant le transfert important. Il ne permet pas d’établir quels dispositifs de surveillance étaient en place ni si le test aurait pu être repéré à ce moment-là, mais il montre pourquoi les petites transactions préliminaires peuvent être utiles à l’enquête.

La course au transfert des fonds et les limites des gels

L’échantillon de 540 transactions de BitOK révèle également un calendrier qui ressemblait davantage à une journée de travail qu’à une activité continue : 48 % ont eu lieu entre 16 h et 21 h, heure de Pyongyang, et le rapport n’a relevé aucune activité pendant les jours fériés en Corée du Nord. Le samedi, le dimanche et le lundi réunis ne représentaient que 10 % des transactions. Ces tendances peuvent aider à décrire le comportement des opérateurs, même si la source ne dit pas que l’horaire, à lui seul, permet d’identifier qui a initié un transfert particulier.

Dès qu’une attaque avait commencé, le schéma changeait. Le rapport indique que les scripts prenaient le relais et que les mouvements de fonds se poursuivaient jour et nuit. Ce contraste entre un rythme opérationnel relativement régulier et des mouvements automatisés et continus après un incident est utile aux enquêteurs qui retracent les transactions. Cela signifie également qu’une compromission initiale peut rapidement donner lieu à des activités qui ne suivent pas le même apparent rythme de travail. BitOK ne précise pas quels outils d’automatisation ont été utilisés.

La rapidité est déterminante pour pouvoir geler les fonds, selon BitOK. Dans les minutes qui ont suivi le vol, les opérateurs ont échangé des stablecoins contre de l’ETH ou emprunté de l’ETH en mettant en garantie des actifs volés ; le rapport souligne que l’ETH ne peut pas être gelé par un émetteur. Après l’exploitation de la passerelle rsETH en avril, 52 440 ETH ont quitté des protocoles de prêt en un peu plus de huit minutes. Les interventions sur les actifs dont l’émetteur peut encore les geler ne disposent donc que d’un délai très court.

Une piste de transactions ténue relie plusieurs attaques

Le processus de blanchiment pouvait ensuite marquer une pause avant que les fonds ne soient remis en mouvement. Après l’incident rsETH, les actifs seraient restés inactifs pendant 2,5 à 5 jours avant que des scripts ne les acheminent via THORChain, un protocole d’échange entre chaînes. BitOK a également recensé 2 257 échanges liés à Binance, d’une valeur totale de 55,8 millions de dollars, pour un coût total de 0,50 %. Ces chiffres indiquent que, dans cet échantillon, le transfert de fonds par le biais d’échanges était relativement peu coûteux ; ils ne permettent pas d’établir le coût du blanchiment pour chaque attaque.

L’écart entre les taux de recouvrement illustre les limites des gels. Selon BitOK, 43 % des fonds volés à Binance ont été gelés ou saisis, contre 6 % pour l’ensemble des autres attaques majeures. Même dans le cas de Binance, le moment de l’intervention a compté : Tether a reçu sa première demande de gel 34 minutes après le retrait, alors que 345 millions d’USDT avaient déjà quitté l’adresse d’origine. Le rapport indique que les gels n’ont fonctionné que pour les stablecoins qui n’avaient pas encore été transférés.

Une erreur de nettoyage a fourni une nouvelle piste d’enquête. Après avoir fait transiter 5 047 ETH par Umbra et le bridge Stargate, un opérateur a transféré les poussières restantes vers un portefeuille ; le 31 août, 150 adresses y ont vidé leurs fonds en trois minutes et 36 secondes. Le portefeuille collecteur n’a reçu que 0,27 ETH, mais des adresses de règlement communes relient cinq attaques, de KelpDAO en avril à Binance en octobre. BitOK estime qu’un seul opérateur de blanchiment est à l’œuvre, tout en admettant que différentes équipes ont pu mener les piratages.

Source : BeInCrypto