Le plus grand vol de cryptomonnaies de l’histoire : que s’est-il passé chez Bybit ?
Le 21 février 2025, le monde a assisté au plus important vol de cryptomonnaies jamais enregistré. Près de 1,5 milliard de dollars d’actifs numériques ont disparu de Bybit, une plateforme d’échange de cryptomonnaies basée à Dubaï, à la suite d’une attaque dévastatrice. L’ampleur et la sophistication de l’opération ont secoué le système financier mondial, révélant à la fois les vulnérabilités des marchés asiatiques des cryptomonnaies, en pleine expansion, et la portée inquiétante des cyberopérateurs liés à l’État nord-coréen.
Sommaire
- Le plus grand vol de cryptomonnaies de l’histoire : que s’est-il passé chez Bybit ?
- Comment le piratage s’est-il déroulé ?
- Conséquences immédiates et réaction du secteur
- Qui est à l’origine de l’attaque ? Le groupe Lazarus nord-coréen et TraderTraitor
- Dans les méthodes du groupe Lazarus
- Comment la Corée du Nord a-t-elle blanchi les cryptomonnaies volées ?
- La finance décentralisée, une arme à double tranchant
- Pourquoi la Corée du Nord cible-t-elle les cryptomonnaies, et quelles sont les conséquences mondiales ?
- Le facteur humain : ingénierie sociale et vulnérabilités du cloud
- L’écosystème des cryptomonnaies en Asie : un maillon faible ?
- Réaction du secteur et des autorités de régulation
- L’armée cybernétique nord-coréenne : une menace croissante
- Des attaques retentissantes antérieures
- Les défis des forces de l’ordre et les pistes pour l’avenir
- Leçons en matière de réglementation et de sécurité
- En bref
Bybit, l’une des plus grandes plateformes d’échange de cryptomonnaies au monde, avec plus de 60 millions d’utilisateurs, s’est retrouvée au cœur d’une nouvelle ère de cybercriminalité. Selon la société d’analyse de la blockchain Chainalysis, le piratage représentait près de 70 % de l’ensemble des actifs numériques volés dans le monde au premier semestre 2025. L’événement a mis en évidence les fissures grandissantes de l’écosystème numérique et signalé une dangereuse intensification des méthodes et des ambitions des pirates nord-coréens.
Comment le piratage s’est-il déroulé ?
La faille a été exploitée à l’occasion d’une transaction en apparence courante. Ben Zhou, le PDG de Bybit, a approuvé ce qui semblait être un transfert classique d’Ether (ETH), une cryptomonnaie très répandue, entre des comptes de l’entreprise. À son insu, les pirates avaient déjà compromis l’interface logicielle utilisée par Bybit pour gérer ces transactions. En quelques minutes, ils ont pris le contrôle d’un portefeuille contenant 401 000 ETH, d’une valeur de 1,5 milliard de dollars à l’époque, puis transféré les fonds vers des adresses qu’ils contrôlaient.
Les investigations ont révélé que les pirates avaient exploité une vulnérabilité dans un logiciel gratuit appelé Safe, utilisé par Bybit pour stocker et gérer des actifs numériques. En manipulant l’interface utilisateur de Safe et en y injectant du code malveillant, les attaquants ont amené Bybit à valider la transaction frauduleuse. Cette faille était non seulement une défaillance technique, mais aussi un rappel brutal des risques liés aux dépendances envers des logiciels tiers dans le secteur de la finance numérique.
Conséquences immédiates et réaction du secteur
Les répercussions ont été immédiates et graves. Les marchés des cryptomonnaies ont chuté, le bitcoin perdant 20 % par rapport à ses sommets de janvier. La confiance dans le secteur a vacillé, d’autant que le piratage est survenu alors que des responsables politiques aux États-Unis et ailleurs débattaient de nouvelles réglementations destinées à favoriser l’adoption des actifs numériques par le grand public.
Bybit a assuré à ses clients que leurs fonds seraient couverts et lancé un programme de récompenses pour leur récupération, proposant jusqu’à 10 % des actifs retrouvés à ceux qui pourraient aider à localiser et à geler les cryptomonnaies volées. En quelques semaines, plus de 40 millions de dollars de fonds dérobés ont été repérés et gelés, et plus de 4 millions de dollars de récompenses ont été versés aux contributeurs. Des experts ont toutefois averti que la majorité des actifs volés s’étaient déjà « volatilisés » : blanchis par des circuits sophistiqués et probablement impossibles à récupérer.
Qui est à l’origine de l’attaque ? Le groupe Lazarus nord-coréen et TraderTraitor
La Corée du Nord revendique rarement la responsabilité de cyberattaques, mais les éléments réunis dans l’affaire Bybit étaient accablants. Le FBI, aux côtés de sociétés internationales de cybersécurité, a attribué le piratage au tristement célèbre groupe Lazarus, lié à la Corée du Nord, et à sa sous-unité connue sous le nom de TraderTraitor. Ces pirates soutenus par l’État sont devenus tristement célèbres pour leurs vols audacieux, dont le produit sert à financer les programmes nucléaires et balistiques du régime.
Selon le FBI, la campagne « TraderTraitor » combine ingénierie sociale, attaques de la chaîne d’approvisionnement et exploitation de failles techniques. Le groupe est connu pour cibler les organisations spécialisées dans la blockchain et les cryptomonnaies, en recourant souvent à de fausses offres d’emploi et à des logiciels malveillants open source pour infiltrer ses cibles. Une fois à l’intérieur, il déploie des logiciels malveillants pour dérober des identifiants, exfiltrer les clés de portefeuilles de cryptomonnaies et, à terme, détourner d’importantes sommes d’actifs numériques vers des adresses contrôlées par la Corée du Nord.
Dans les méthodes du groupe Lazarus
Les méthodes du groupe Lazarus ont rapidement évolué. Ces dernières années, il a :
- Mené des campagnes d’hameçonnage sur des plateformes comme LinkedIn, Slack et Telegram pour inciter des employés à télécharger des logiciels malveillants.
- Compromis des ordinateurs de développeurs et injecté du code malveillant dans les chaînes d’approvisionnement logicielles.
- Exploité des vulnérabilités dans des services cloud et des logiciels de stockage, comme lors du piratage de Bybit.
- Utilisé des outils de finance décentralisée (DeFi), des ponts inter-chaînes et des services de mixage de cryptomonnaies pour blanchir les fonds volés et en dissimuler l’origine.
Dr Tom Robinson, cofondateur de la société d’analyse de la blockchain Elliptic, a expliqué l’efficacité du groupe :
La Corée du Nord est la meilleure pour blanchir des cryptomonnaies, probablement grâce à des outils automatisés et à des équipes qui se relaient pour convertir les cryptomonnaies en argent liquide.Les opérations du groupe conjuguent la sophistication d’un État et l’agilité de cybercriminels, ce qui en fait une menace redoutable pour le système financier mondial.
Comment la Corée du Nord a-t-elle blanchi les cryptomonnaies volées ?
L’un des aspects les plus inquiétants du piratage de Bybit a été la rapidité et l’efficacité avec lesquelles les actifs volés ont été blanchis. En 48 heures, au moins 160 millions de dollars avaient transité par des circuits illicites et, à la fin de la première semaine, plus de 400 millions de dollars avaient été déplacés. Au début du mois de mars, la première phase du blanchiment était achevée : la grande majorité des ethers volés avaient été convertis en bitcoins et répartis entre des milliers de portefeuilles.
La finance décentralisée, une arme à double tranchant
Les pirates se sont largement appuyés sur des protocoles de finance décentralisée (DeFi), en particulier des ponts inter-chaînes comme THORchain, pour échanger les actifs et brouiller les pistes. Ces outils, conçus pour permettre des transferts fluides entre différentes cryptomonnaies sans intermédiaire, compliquent aussi le suivi et le gel des fonds illicites par les forces de l’ordre.
Après avoir transféré les ethers volés vers le réseau Bitcoin, les pirates ont déposé d’importantes sommes dans des services de mixage de cryptomonnaies comme Wasabi et CryptoMixer. Ces services mêlent les transactions de plusieurs utilisateurs, rendant presque impossible l’identification de l’origine de pièces données. Si la transparence de la blockchain permet de suivre publiquement les transactions, le volume et la complexité du blanchiment ont débordé les équipes chargées de la conformité et les enquêteurs.
Malgré ces efforts, une part importante des bitcoins convertis reste inactive, ce qui laisse penser que les pirates se préparent à les liquider à grande échelle ou à brouiller davantage leur origine en passant par des réseaux de gré à gré, notamment dans des régions où les contrôles sont peu stricts, comme certaines zones de Chine.
Pourquoi la Corée du Nord cible-t-elle les cryptomonnaies, et quelles sont les conséquences mondiales ?
Si la Corée du Nord s’est tournée vers le vol de cryptomonnaies, c’est par nécessité. Isolé par les sanctions internationales et confronté à de graves difficultés économiques, le régime a fait de la cybercriminalité une source majeure de devises fortes. Selon les estimations des Nations unies, la Corée du Nord a dérobé plus de 3 milliards de dollars en cryptomonnaies depuis 2017, dont une grande partie aurait servi à financer ses programmes d’armement.
Le piratage de Bybit s’inscrit dans une tendance plus large. Au premier semestre 2025 seulement, plus de 2,17 milliards de dollars en cryptomonnaies ont été volés dans le monde, les pirates nord-coréens étant responsables de près de 70 % de ce montant. Cette recrudescence de la cybercriminalité a des conséquences mondiales : elle fragilise la confiance dans la finance numérique et alimente les appels à un renforcement de la réglementation et de la coopération internationale.
Le facteur humain : ingénierie sociale et vulnérabilités du cloud
Les attaques techniques ne sont qu’une partie de l’histoire. Les pirates nord-coréens sont devenus experts en ingénierie sociale : ils manipulent des employés pour obtenir un accès à des systèmes sensibles. Ils se font souvent passer pour des recruteurs ou des informaticiens et proposent de fausses offres d’emploi pour inciter leurs victimes à télécharger des logiciels malveillants ou à divulguer leurs identifiants. Ces tactiques se sont révélées particulièrement efficaces contre les entreprises de cryptomonnaies qui s’appuient sur le cloud, souvent avec des équipes à distance et des logiciels tiers.
Benjamin Read, chercheur en sécurité chez Wiz, a déclaré :
TraderTraitor se concentre sur l’exploitation des vulnérabilités du cloud, car c’est là que se trouvent les données et l’argent, en particulier chez les jeunes entreprises de cryptomonnaies qui privilégient les infrastructures cloud.À mesure que le secteur se développe, sa surface d’attaque s’élargit elle aussi pour les acteurs malveillants les plus sophistiqués.
L’écosystème des cryptomonnaies en Asie : un maillon faible ?
Le piratage de Bybit a mis au jour d’importantes vulnérabilités dans le secteur de la finance numérique en Asie. La croissance rapide, les lacunes réglementaires et la dépendance à l’égard de logiciels tiers ont fait de la région une cible de choix pour les cybercriminels. Selon Chainalysis, l’incident « a mis à nu les failles de sécurité grandissantes de l’écosystème numérique asiatique et annoncé l’avènement d’une nouvelle ère de cybercriminalité ».
Bien que Bybit ait son siège à Dubaï, sa clientèle et ses activités sont profondément ancrées en Asie. L’essor des cryptomonnaies dans la région a devancé la mise en place de normes de sécurité solides, exposant les plateformes d’échange et les investisseurs à des attaques toujours plus sophistiquées.
Réaction du secteur et des autorités de régulation
Après le piratage de Bybit, les dirigeants du secteur et les autorités de régulation réévaluent leur approche de la sécurité. Bybit s’est engagée à couvrir les pertes de ses clients et travaille avec des experts en criminalistique numérique pour tracer et récupérer les actifs volés. Parallèlement, les gouvernements et les forces de l’ordre appellent à une coopération internationale accrue et à l’élaboration de protocoles de sécurité normalisés pour les plateformes d’échange de cryptomonnaies.
Sous l’administration Trump, le gouvernement américain a fait des cryptomonnaies un axe majeur de sa politique technologique, avec l’objectif de faire des États-Unis un chef de file mondial de la finance numérique. Toutefois, l’attaque contre Bybit a souligné l’urgence de renforcer la réglementation et les mesures de sécurité afin de protéger les consommateurs et de préserver la confiance dans le secteur.
L’armée cybernétique nord-coréenne : une menace croissante
Le groupe Lazarus et ses sous-unités, dont TraderTraitor, représentent la pointe des capacités cybernétiques de la Corée du Nord. Ces groupes compteraient des milliers de membres, qui se relaient pour maximiser leur efficacité. Leurs opérations sont très organisées et associent les ressources d’un État à l’agilité d’entreprises cybercriminelles.
La stratégie cybernétique de la Corée du Nord est à plusieurs volets. Outre les vols directs, le régime emploie des informaticiens à distance pour infiltrer des entreprises technologiques, dérober leur propriété intellectuelle et les faire chanter. Les revenus tirés de ces activités sont acheminés vers Pyongyang, où ils soutiennent les programmes d’armement du pays, soumis à des sanctions, et contribuent au maintien d’une économie en difficulté.
Selon Chainalysis, les pirates nord-coréens étaient responsables de 61 % de l’ensemble des fonds en cryptomonnaies volés en 2024 et pourraient dépasser ce chiffre en 2025. Leur capacité à s’adapter et à innover, en utilisant l’IA pour rédiger des courriels d’hameçonnage convaincants, en exploitant de nouvelles technologies et en ciblant aussi bien de grandes plateformes que des portefeuilles individuels, en fait une menace persistante et évolutive.
Des attaques retentissantes antérieures
Le piratage de Bybit n’est que le dernier d’une série de vols importants de cryptomonnaies attribués à la Corée du Nord. Parmi les incidents notables figurent :
- L’attaque du pont Ronin en 2022 (600 millions de dollars volés)
- La faille d’Atomic Wallet en 2023 (100 millions de dollars volés)
- Le piratage d’UpBit en 2019 (41 millions de dollars volés)
- Le vol visant KuCoin en 2020 (275 millions de dollars volés)
Chaque attaque a témoigné d’une sophistication technique et d’une ampleur opérationnelle croissantes, le piratage de Bybit établissant un nouveau record sur ces deux plans.
Les défis des forces de l’ordre et les pistes pour l’avenir
Malgré la transparence de la blockchain, où chaque transaction est enregistrée publiquement, les forces de l’ordre se heurtent à d’importantes difficultés pour tracer et récupérer les cryptomonnaies volées. Le recours aux services de mixage, aux ponts inter-chaînes et aux plateformes d’échange décentralisées permet aux pirates de déplacer et de dissimuler rapidement les fonds, souvent plus vite que les enquêteurs ne peuvent réagir.
La coopération internationale est essentielle. Le FBI a publié des listes d’adresses de portefeuilles associées aux pirates nord-coréens et exhorté les plateformes d’échange et les prestataires de services à bloquer les transactions provenant de ces adresses. Cependant, toutes les entreprises du secteur ne sont pas disposées à se conformer à ces demandes, ni en mesure de le faire, et la nature décentralisée du secteur complique les efforts de contrôle.
Des progrès ont été réalisés. Le programme de récompenses de Bybit et sa collaboration avec des sociétés d’analyse de la blockchain ont permis de geler des dizaines de millions de dollars d’actifs volés. Les experts restent toutefois pessimistes quant à la récupération de la majorité des fonds, compte tenu du savoir-faire de la Corée du Nord et de la portée mondiale de ses réseaux de blanchiment.
Leçons en matière de réglementation et de sécurité
Le piratage de Bybit a suscité des appels en faveur :
- De normes de sécurité plus strictes pour les plateformes d’échange de cryptomonnaies, avec des audits réguliers et des évaluations des logiciels tiers
- D’une plus grande transparence et d’un meilleur partage d’informations entre les acteurs du secteur et les forces de l’ordre
- De cadres réglementaires internationaux adaptés à la dimension transfrontalière de la criminalité liée aux cryptomonnaies
- D’une meilleure sensibilisation du public et d’une information accrue sur les risques liés à l’ingénierie sociale et aux attaques par hameçonnage
Rétablir la confiance dans le système financier numérique nécessitera une action coordonnée des acteurs du secteur, des autorités de régulation et des consommateurs.
En bref
- Le piratage de Bybit, le 21 février 2025, a entraîné le vol de 1,5 milliard de dollars d’actifs en cryptomonnaies, ce qui en fait le plus important de l’histoire.
- Le groupe Lazarus, lié à la Corée du Nord, et sa sous-unité TraderTraitor sont tenus pour responsables de l’attaque, menée au moyen d’un mélange d’exploits techniques et d’ingénierie sociale.
- Les fonds volés ont été rapidement blanchis à l’aide d’outils de finance décentralisée, de ponts inter-chaînes et de services de mixage de cryptomonnaies, compliquant leur récupération.
- Les opérations cybercriminelles de la Corée du Nord financeraient ses programmes nucléaires et balistiques et constituent une menace pour la sécurité mondiale.
- L’incident a révélé d’importantes vulnérabilités dans l’écosystème des cryptomonnaies en Asie et mis en évidence la nécessité de renforcer les mesures de sécurité et de réglementation dans le monde entier.
- Les acteurs du secteur et les forces de l’ordre ont réussi à geler une partie des actifs volés, mais la majorité reste impossible à récupérer.
- Le piratage de Bybit souligne l’urgence d’une coopération internationale, de normes de sécurité rigoureuses et d’une sensibilisation du public pour protéger l’avenir de la finance numérique.
