Un milliard et demi de dollars qui s’évaporent en quelques heures. C’est le butin que le groupe Lazarus, bras armé numérique de Pyongyang, a arraché à la plateforme Bybit en février dernier. Le plus gros vol de l’histoire des cryptomonnaies. Mais voler, finalement, c’est la partie facile. Le vrai défi commence après : comment transformer des jetons traçables à la seconde près en argent utilisable, sans se faire repérer ?
C’est précisément ce mécanisme que l’enquêteur on-chain ZachXBT a entrepris de disséquer. Figure respectée de la communauté crypto pour ses enquêtes indépendantes, il affirme avoir infiltré un réseau de blanchiment opérant depuis la Chine pour le compte des hackers nord-coréens. Une plongée dans la plomberie du crime financier moderne.
Un vol record, puis la cavale numérique
Reprenons le fil. Le piratage de Bybit, l’une des plus grandes plateformes d’échange au monde, a marqué un tournant. Les attaquants, identifiés comme appartenant à Lazarus, ont mis la main sur environ 1,5 milliard de dollars d’actifs. Un montant qui dépasse de loin les hacks précédents attribués à la Corée du Nord, pourtant déjà prolifique en la matière.
Le problème, pour les voleurs, tient à la nature même de la blockchain. Chaque transaction y est publique, horodatée, gravée dans un registre que personne ne peut effacer. Déplacer une telle somme revient à traverser une place bondée avec des sacs marqués « argent volé ». Les regards se tournent immédiatement. Les plateformes gèlent les fonds dès qu’elles les identifient. Pour écouler le magot, il faut donc le fragmenter, le faire transiter, le brouiller.
C’est là qu’interviennent les réseaux de blanchiment. Et selon ZachXBT, celui qui a traité une partie des fonds de Bybit opérait depuis la Chine. Un intermédiaire, en somme, entre les pirates et le monde réel.
L’infiltration, étape par étape
Plutôt que d’observer de loin, l’enquêteur dit avoir pénétré le réseau de l’intérieur. Sa méthode combine deux approches : l’infiltration humaine, pour comprendre qui fait quoi, et le traçage on-chain, pour suivre les flux d’argent d’adresse en adresse.
Le principe du traçage mérite qu’on s’y arrête. Quand des fonds volés passent par un mélangeur (un « mixer »), ils sont brassés avec ceux d’autres utilisateurs pour casser le lien entre l’origine et la destination. Les hackers enchaînent ensuite les sauts : d’une blockchain à l’autre via des ponts (les fameux « bridges »), de jeton en jeton, de portefeuille en portefeuille. L’idée est d’épuiser la patience et les moyens des enquêteurs. Mais ZachXBT a bâti sa réputation sur sa capacité à démêler précisément ce type d’écheveau.
Ce qu’il décrit, c’est une chaîne de sous-traitance du crime. Lazarus vole. Un réseau chinois nettoie. Et chaque maillon prend sa commission au passage. On est loin de l’image du hacker solitaire : il s’agit d’une organisation structurée, avec des rôles définis et des circuits rodés par des années de pratique.
Pourquoi Pyongyang mise tout sur la crypto
Il faut remettre cette affaire dans son contexte. La Corée du Nord est l’un des pays les plus sanctionnés de la planète. Coupée du système bancaire international, privée de la plupart de ses débouchés commerciaux, elle a trouvé dans les cryptomonnaies une bouée de sauvetage financière. Les rapports du groupe d’experts des Nations unies le documentent depuis plusieurs années : les vols de crypto financeraient une part significative du programme balistique et nucléaire du régime.
Les montants en jeu donnent le vertige. Les sociétés d’analyse blockchain estiment que les hackers nord-coréens ont dérobé plusieurs milliards de dollars au fil des ans, à travers des attaques contre des plateformes, des ponts inter-chaînes et des protocoles de finance décentralisée. Le hack de Bybit s’inscrit dans cette longue série, mais par son ampleur, il la couronne.
Ce qui frappe, c’est l’asymétrie. D’un côté, un État qui mobilise des équipes entières pour ces opérations. De l’autre, des enquêteurs souvent indépendants, comme ZachXBT, qui travaillent avec leurs propres moyens et une poignée d’outils d’analyse. Que l’un d’eux parvienne à infiltrer un réseau de ce calibre en dit long sur l’ingéniosité de cette communauté — mais aussi sur la difficulté structurelle à endiguer le phénomène.
Ce que cela change pour les utilisateurs
Pour le lecteur francophone qui détient quelques cryptos, le message est double. D’abord, la transparence de la blockchain reste une arme à double tranchant : elle permet de traquer les criminels, mais elle expose aussi chacun de nos mouvements. Ensuite, et surtout, ces affaires rappellent une évidence trop souvent oubliée. La sécurité d’une plateforme n’est jamais acquise. Quand un géant comme Bybit se fait vider de 1,5 milliard de dollars, la question de la garde de ses propres actifs se repose avec force.
Rien n’oblige à céder à la paranoïa. Mais il faut le dire clairement : laisser ses fonds sur une plateforme, c’est faire confiance à sa capacité à résister à des adversaires de niveau étatique. C’est un pari, pas une certitude.
Reste une interrogation que cette enquête ne résout pas. Tracer l’argent, c’est une chose. Le récupérer, en geler le reste, poursuivre les responsables réfugiés derrière des frontières infranchissables, c’en est une autre. Le travail de ZachXBT éclaire les circuits. Il ne les ferme pas. Et tant que les sanctions internationales isoleront Pyongyang, le régime continuera sans doute de voir dans la crypto l’un de ses derniers guichets ouverts sur le monde.
