Le régime de Pyongyang transforme le vol numérique en machine de guerre. Pendant que le monde scrutait ses missiles, la Corée du Nord bâtissait une armée invisible capable de vider des portefeuilles numériques à l’autre bout de la planète. Cyberattaques crypto : la Corée du Nord mise sur ses propres IA pour frapper, marquant un tournant inquiétant. Ces intelligences artificielles fonctionnent sans connexion Internet, rendant leur repérage quasi impossible tout en automatisant le pillage de milliards de dollars.
En bref
- La Corée du Nord développe des IA locales qui fonctionnent hors ligne pour éviter toute détection lors de leurs attaques contre les cryptomonnaies
- Le groupe Kimsuky utilise ces technologies pour générer de faux documents financiers piégés et trier automatiquement les données volées afin d’identifier les wallets
- Depuis 2017, les hackers nord-coréens ont dérobé 3 milliards de dollars en cryptos, finançant 40 % de leur programme nucléaire et balistique
- Plus de 1 400 BTC ont été volés en août 2026 via l’exploitation d’une faille Coldcard, possiblement détectée grâce à une IA d’analyse de code
- Environ 100 000 Nord-Coréens opèrent comme travailleurs IT sous fausses identités dans 40 pays, générant 500 millions de dollars annuels supplémentaires
Les nouvelles technologies au service des cyberattaques nord-coréennes
Les hackers nord-coréens développent aujourd’hui leurs propres logiciels d’intelligence artificielle locaux pour améliorer leurs attaques contre le secteur des cryptomonnaies. Contrairement aux IA classiques qui fonctionnent en ligne, ces outils tournent directement sur leurs ordinateurs sans envoyer la moindre conversation vers l’extérieur.
Cette approche leur permet d’éviter toute détection ou blocage par des entreprises tierces. Le groupe Kimsuky, particulièrement actif, expérimente notamment ces technologies pour cibler des ambassades, des chercheurs et des acteurs du marché crypto.
Des traces révèlent l’usage d’une fonction appelée LocalDocs, qui transforme un dossier de documents volés en bibliothèque interrogeable. Au lieu de lire manuellement chaque fichier dérobé, les attaquants demandent simplement à leur IA de repérer des coordonnées, des mots de passe ou des phrases de récupération donnant accès aux wallets.
Cyberattaques crypto : la Corée du Nord mise sur ses propres IA pour frapper
Les cyberattaques crypto orchestrées par la Corée du Nord s’appuient désormais massivement sur leurs IA propriétaires pour maximiser l’efficacité de leurs opérations. Cette technologie intervient à deux moments clés des attaques.
D’abord en amont, l’IA fabrique de faux rapports financiers suffisamment crédibles pour tromper les victimes. Quand celles-ci ouvrent le document, il s’affiche normalement à l’écran tandis qu’un logiciel malveillant s’installe discrètement en arrière-plan.
Ensuite en phase post-intrusion, l’intelligence artificielle trie les données exfiltrées et identifie les victimes les plus intéressantes. Les opérateurs cherchent spécifiquement des informations liées aux wallets, comptes Gmail et utilisateurs de Bitcoin.
L’Hack Coldcard illustre jusqu’où l’automatisation pourrait aller. Une erreur présente depuis 2021 dans certains hardware wallets rendait les clés privées bien plus faciles à deviner. Entre le 30 juillet et le 2 août 2026, plus de 1 400 BTC ont été volés sur près de 5 500 adresses.
Certains experts estiment que cette faille aurait pu être facilement détectée par des modèles d’IA. Une intelligence artificielle n’a pas besoin de casser la cryptographie de Bitcoin : elle peut examiner en continu le code des wallets jusqu’à trouver une erreur passée inaperçue.
L’évolution des méthodes de hacking en Corée du Nord
Les techniques employées par Pyongyang ont connu une transformation radicale ces dernières années. Le secteur crypto est devenu la cible première après une période 2016-2019 davantage orientée vers les banques traditionnelles.
Le Lazarus Group, acteur central lié au 3e Bureau du Bureau général de reconnaissance, opère depuis au moins 2009. Les forces cyber nord-coréennes comptent environ 8 400 individus, dont une partie agit depuis des pays tiers comme la Thaïlande, la Malaisie ou la Chine.
De la tromperie aux faux documents
Kimsuky utilise depuis plusieurs années de faux documents pour voler des fonds ou des informations sensibles. Le groupe perfectionne constamment ses leurres pour les rendre indétectables.
Les rapports financiers contrefaits constituent leur arme favorite. Ces fichiers piégés donnent aux attaquants un accès complet à l’ordinateur de la victime dès leur ouverture.
Nous conseillons de ne jamais ouvrir de rapports financiers inattendus, même s’ils semblent légitimes. Un simple clic peut installer un malware et compromettre toutes vos données.
L’impact des IA sur les techniques de piratage
L’intelligence artificielle accélère dramatiquement la découverte et l’exploitation de failles logicielles. Les hackers peuvent scanner le code de dizaines d’applications simultanément pour repérer des vulnérabilités.
La chronologie de l’affaire Coldcard révèle que la faille a été exploitée quelques jours après la sortie du modèle chinois Kimi K3. Cette coïncidence interroge sur l’utilisation possible d’IA avancées pour analyser le code des wallets.
Nous conseillons de mettre à jour vos wallets et applications dès que possible. Les correctifs de sécurité deviennent encore plus critiques face à des adversaires équipés d’IA capables de détecter rapidement les faiblesses.
Les cibles privilégiées des hackers nord-coréens
Le secteur des cryptomonnaies représente une cible idéale pour plusieurs raisons. Les transactions blockchain restent pseudonymes et certaines chaînes complexes sont difficiles à retracer, ce qui complique les investigations. (voir aussi menace sur les cryptomonnaies)
L’industrie crypto regroupe de nombreuses entreprises de taille modeste, souvent avec des régulations limitées et un personnel de sécurité restreint. Ces « cibles molles » offrent moins de résistance que les institutions bancaires traditionnelles.
La diversité des systèmes, langages et protocoles accroît la surface d’attaque. Chaque nouvelle blockchain ou application représente autant de portes d’entrée potentielles pour les pirates.
Les vols les plus spectaculaires incluent 620 millions de dollars sur Axie Infinity en 2022, 275 millions sur KuCoin en 2020, et plus de 100 millions sur Harmony et Atomic Wallet. Un rapport onusien recense 58 cyberattaques nord-coréennes visant spécifiquement le secteur crypto.
Financement des programmes militaires par le cyber-banditisme
Depuis 2017, les hackers liés à Pyongyang auraient dérobé l’équivalent de 3 milliards de dollars en cryptomonnaies. Ces sommes colossales financent directement les ambitions militaires du régime.
Selon un rapport onusien, 40 % du financement du programme nucléaire et balistique proviendrait de ces revenus cybercriminels. Le cyber constitue un moyen efficace de contourner les sanctions internationales.
Rien qu’en 2023, environ 20 piratages de cryptomonnaies ont été attribués aux hackers nord-coréens, pour un butin estimé à 1 milliard de dollars. Ces chiffres démontrent l’ampleur industrielle de leurs opérations.
Le régime a également multiplié les tentatives depuis 2022 pour faire embaucher des agents comme travailleurs IT à distance sous fausses identités, en complément de campagnes de fausses offres d’emploi visant à infiltrer les entreprises. Ces opérateurs utilisent des photos générées par IA et des sociétés écran pour reverser leur salaire à Pyongyang.
Plus de 100 000 Nord-Coréens opéreraient dans 40 pays selon cette méthode, générant environ 500 millions de dollars par an. Certains transmettent même des accès informatiques aux équipes de hackers.
Les enjeux de la cybercriminalité d’État en Corée du Nord
La cybercriminalité menée par un État pose des défis uniques. Les attaques s’inscrivent dans une stratégie géopolitique à long terme et bénéficient de ressources considérables.
Le blanchiment et le retrait des sommes volées restent toutefois un défi majeur. Seule une fraction des montants détournés finirait réellement dans les coffres du régime, le reste se perdant dans les circuits de conversion.
Nous conseillons de ne jamais stocker de phrases de récupération, mots de passe ou identifiants Gmail dans des dossiers de documents. Les IA utilisées par les attaquants peuvent retrouver rapidement ces éléments critiques dans les données volées.
La dangerosité des crypto-exchanges pour les acteurs du marché
Les plateformes d’échange représentent des points de concentration de richesse particulièrement vulnérables. Une attaque réussie peut créer une onde de choc sur l’ensemble du marché.
L’exchange sud-coréen Youbit a fait faillite fin 2017 après le vol de 17 % de ses actifs lors d’une attaque soupçonnée nord-coréenne. Cet exemple montre qu’une seule intrusion peut détruire une entreprise.
Les principaux risques auxquels font face les crypto-exchanges incluent :
- Les vulnérabilités logicielles exploitables par des IA d’analyse de code
- Le phishing sophistiqué utilisant des documents générés par intelligence artificielle
- Les infiltrations d’agents sous fausses identités dans les équipes techniques
- Les attaques sur les systèmes de stockage à chaud moins sécurisés
L’influence sur la sécurité internationale et les sanctions économiques
Les activités cybercriminelles nord-coréennes sapent l’efficacité des sanctions économiques internationales. Le régime obtient des devises étrangères sans passer par les circuits bancaires surveillés.
L’exemple de la Banque centrale du Bangladesh en 2016 reste emblématique. Les hackers ont tenté de transférer près d’1 milliard de dollars, mais seulement 81 millions ont effectivement atteint une banque philippine grâce à une détection de justesse et une faute de frappe.
Cette dimension d’État change la nature même de la menace. Les attaquants disposent de temps, de moyens et d’une protection politique qui les rendent particulièrement dangereux pour la stabilité du système financier international.
FAQ
Pourquoi les hackers nord-coréens développent-ils leurs propres logiciels d’intelligence artificielle locaux ?
Pourquoi les hackers nord-coréens développent-ils leurs propres logiciels d’intelligence artificielle locaux ? Pour opérer hors ligne, éviter la détection et empêcher tout blocage par des entreprises tierces, tout en accélérant l’analyse des données volées.
Comment la fonction LocalDocs aide-t-elle à exploiter des documents volés ?
Comment la fonction LocalDocs aide-t-elle à exploiter des documents volés ? Elle transforme un dossier en bibliothèque interrogeable afin de repérer vite coordonnées, mots de passe et phrases de récupération liées aux wallets.
Pourquoi ne jamais ouvrir de rapports financiers inattendus, même s’ils semblent légitimes ?
Pourquoi ne jamais ouvrir de rapports financiers inattendus, même s’ils semblent légitimes ? Car un document piégé peut s’afficher normalement tout en installant un malware en arrière-plan et compromettre vos données.
Quels sont les principaux risques auxquels font face les crypto-exchanges ?
Quels sont les principaux risques auxquels font face les crypto-exchanges ? Vulnérabilités logicielles, phishing via documents générés par IA, infiltrations sous fausses identités, et attaques sur les systèmes de stockage à chaud.
Comment les hackers nord-coréens utilisent-ils l’IA en amont et en post-intrusion ?
Comment les hackers nord-coréens utilisent-ils l’IA en amont et en post-intrusion ? En amont, elle fabrique de faux rapports financiers; en post-intrusion, elle trie les données exfiltrées et cible wallets, Gmail, Bitcoin.
Pourquoi mettre à jour vos wallets et applications dès que possible ?
Pourquoi mettre à jour vos wallets et applications dès que possible ? Parce que les correctifs de sécurité réduisent l’exploitation de failles que des IA peuvent détecter rapidement, comme l’a montré l’affaire Coldcard.