Les deux plus grands braquages de l’histoire des cryptomonnaies ont été commis par le même groupe : le FBI relie le vol de Binance à TraderTraitor

Le secteur des cryptomonnaies fait face à une évolution majeure sur le plan de la sécurité : les deux plus grands vols de l’histoire des cryptoactifs auraient été attribués au même groupe de hackers lié à la Corée du Nord.

Le Federal Bureau of Investigation (FBI) a identifié TraderTraitor comme le groupe responsable du vol de plus de 6,3 milliards de dollars d’actifs numériques sur Binance. Cette attribution établit un lien entre l’incident visant Binance et le piratage de Bybit, d’un montant d’environ 1,5 milliard de dollars en février 2025, que le FBI avait déjà attribué au même groupe.

Si ces éléments sont confirmés par les enquêtes forensiques et judiciaires finales, ces affaires constitueront bien plus que deux compromissions isolées de plateformes d’échange. Ensemble, elles montrent comment des réseaux cybercriminels liés à des États associent désormais ingénierie sociale, logiciels malveillants, attaques contre les infrastructures de portefeuille et techniques sophistiquées de blanchiment on-chain à une échelle sans précédent.

Un nouveau record dans le vol de cryptomonnaies

L’incident de Binance aurait dépassé l’attaque contre Bybit, devenant ainsi le plus grand vol de cryptomonnaies jamais enregistré. Même si les estimations peuvent encore évoluer au fur et à mesure que les enquêteurs retracent d’autres portefeuilles et identifient les actifs concernés, les pertes annoncées se chiffrent en milliards de dollars.

L’attribution du FBI est particulièrement importante, car elle concorde avec les analyses précédentes d’entreprises spécialisées dans le renseignement blockchain. Des chercheurs travaillant pour des organisations telles que TRM Labs et Chainalysis auraient relevé des similitudes entre les attaques contre Binance et Bybit, notamment :

• Des modes opératoires comparables
• Le recours répété à des portefeuilles intermédiaires
• Le déplacement rapide des fonds volés sur plusieurs blockchains
• L’utilisation de services décentralisés et de conversions inter-chaînes
• Des infrastructures de blanchiment communes
• De petits transferts préliminaires destinés à préparer des transactions ultérieures

Les transactions blockchain sont publiques par conception, mais cette visibilité ne rend pas automatiquement les fonds faciles à récupérer. Les attaquants peuvent répartir les actifs entre des milliers de transferts, les faire circuler sur plusieurs réseaux, échanger des jetons et utiliser des services renforçant la confidentialité afin de compliquer leur traçage.

Qui est TraderTraitor ?

TraderTraitor est largement considéré comme une branche opérationnelle majeure de l’écosystème cybercriminel nord-coréen, souvent associé au groupe Lazarus.

Le nom du groupe fait référence à une tactique récurrente : cibler les personnes et les organisations actives dans le trading de cryptomonnaies, le développement blockchain, la conservation d’actifs numériques et les infrastructures financières. Ses opérations ont notamment inclus de fausses campagnes de recrutement, des applications malveillantes, des usurpations d’identité et des attaques contre des employés disposant d’un accès à des systèmes de signature ou à des logiciels liés aux portefeuilles.

Le gouvernement américain a averti à plusieurs reprises que les cyberacteurs liés à la Corée du Nord utilisent le vol de cryptomonnaies pour générer des revenus au profit du régime. Les ressources officielles du FBI consacrées à la cybercriminalité ainsi que les recommandations de la CISA fournissent un contexte plus large sur les opérations cyber parrainées par des États et les menaces pesant sur les actifs numériques.

L’importance de TraderTraitor ne tient pas seulement à la valeur des actifs dérobés, mais aussi à la capacité du groupe à s’attaquer aux couches humaines et organisationnelles qui entourent les systèmes blockchain.

Un schéma récurrent dans les grands braquages de cryptomonnaies

Les incidents visant Binance et Bybit s’inscrivent dans une série plus large d’attaques associées à TraderTraitor ou au même réseau lié à la Corée du Nord.

DMM Bitcoin : environ 308 millions de dollars

En mai 2024, la plateforme d’échange japonaise DMM Bitcoin a subi une perte d’environ 308 millions de dollars, soit près de 4 502,9 BTC à l’époque.

Les enquêteurs ont attribué l’incident à une campagne d’ingénierie sociale au cours de laquelle un attaquant a utilisé une fausse approche de recrutement sur LinkedIn pour cibler un employé de Ginco, une entreprise spécialisée dans les logiciels de portefeuille. L’employé aurait été amené à exécuter du code malveillant, donnant aux attaquants la possibilité d’interférer avec l’environnement opérationnel de l’entreprise.

Cette affaire a mis en évidence une réalité essentielle en matière de sécurité : un attaquant n’a pas toujours besoin de compromettre directement une blockchain. Il peut suffire d’obtenir l’accès à un développeur, un administrateur ou un processus d’approbation des transactions pour autoriser un transfert catastrophique.

Bybit : environ 1,5 milliard de dollars

L’attaque contre Bybit, en février 2025, est devenue le plus grand vol de cryptomonnaies connu à l’époque, avec des pertes estimées à environ 1,5 milliard de dollars.

Le FBI a publiquement attribué l’incident à TraderTraitor. L’attaque a également attiré l’attention sur les risques liés aux systèmes d’approbation des transactions, aux dispositifs multisignatures et aux interfaces utilisées pour examiner des transferts complexes d’actifs numériques.

Un portefeuille multisignature peut réduire le risque lié à la compromission d’une clé unique, mais il ne constitue pas une solution complète. Si plusieurs signataires sont trompés, si l’interface de signature affiche des informations trompeuses ou si un attaquant compromet l’infrastructure environnante, un processus multisignature peut toujours être exploité.

KelpDAO : environ 292 millions de dollars

En avril 2026, KelpDAO aurait subi une perte d’environ 292 millions de dollars.

Des chercheurs en sécurité ont relevé plusieurs caractéristiques qui semblaient cohérentes avec les activités précédemment attribuées à TraderTraitor, notamment de petits transferts initiaux associés à Tornado Cash, la préparation en amont de transactions liées à la signature et des mouvements soigneusement orchestrés avant l’exploitation principale.

Dans ce type d’affaire, l’attribution est souvent probabiliste plutôt qu’immédiate. Les analystes comparent le comportement transactionnel, la réutilisation des infrastructures, les relations entre portefeuilles, les schémas de logiciels malveillants et la chronologie des transferts avant de parvenir à une conclusion.

Bitget : des pertes estimées entre 350 et 387 millions de dollars

Un incident survenu en septembre 2026 et impliquant Bitget a été évalué par différentes sources entre 350 et 387 millions de dollars.

Des analystes auraient identifié des liens entre les fonds volés et des portefeuilles précédemment associés à des activités liées à TraderTraitor. Les similitudes présumées concernaient notamment des itinéraires de blanchiment communs, des méthodes comparables de fractionnement des fonds et des actifs qui ont ensuite été mélangés à ceux provenant d’autres vols majeurs.

Lorsque plusieurs vols utilisent les mêmes services de conversion, les mêmes bridges ou les mêmes adresses intermédiaires, les enquêteurs blockchain peuvent parfois identifier un réseau opérationnel plus large. Toutefois, le passage de fonds par une infrastructure commune ne prouve pas automatiquement que chaque incident a été commis par les mêmes individus. Une attribution définitive nécessite de combiner les preuves on-chain avec des renseignements off-chain.

Binance : plus de 6 milliards de dollars

Le vol visant Binance aurait eu lieu en octobre 2026 et aurait entraîné des pertes supérieures à 6 milliards de dollars. L’attribution du FBI à TraderTraitor place désormais le groupe au cœur du plus grand braquage de cryptomonnaies de l’histoire.

L’ampleur de l’incident est remarquable pour deux raisons. Premièrement, elle montre que l’impact financier d’une seule compromission peut désormais rivaliser avec celui de grandes affaires de criminalité financière traditionnelle. Deuxièmement, elle indique que les techniques du groupe ont évolué : elles ne se limitent plus à l’hameçonnage opportuniste, mais s’inscrivent dans des campagnes de longue durée visant des écosystèmes complexes d’actifs numériques.

Pourquoi les affaires Binance et Bybit sont importantes

Le lien entre les deux plus grands vols de cryptomonnaies modifie la manière dont le secteur doit évaluer la sécurité des plateformes d’échange.

1. La blockchain n’est peut-être pas le principal point faible

Dans de nombreux incidents de grande ampleur, le protocole blockchain sous-jacent continue de fonctionner comme prévu. Le problème survient aux points d’interaction entre les personnes, les applications et la blockchain :

• Les systèmes de conservation des plateformes d’échange
• Les environnements de développement
• Les appareils de signature
• Les tableaux de bord d’approbation des transactions
• Les infrastructures cloud
• Les canaux de communication des employés
• Les logiciels de portefeuille tiers
• Les clés API et les identifiants d’accès

C’est pourquoi la sécurité blockchain doit être envisagée comme une discipline de bout en bout, et non comme une simple question de code de contrats intelligents.

2. L’ingénierie sociale reste extrêmement efficace

Les fausses offres d’emploi, opportunités d’investissement, propositions de partenariat et documents techniques demeurent des vecteurs d’attaque particulièrement efficaces.

Les employés des entreprises blockchain sont souvent exposés à un grand nombre de messages non sollicités. Un fichier ou une application malveillante peut sembler légitime, surtout lorsqu’il s’insère dans une conversation réaliste de recrutement ou de développement commercial.

Les organisations doivent donc partir du principe que même des employés très expérimentés sur le plan technique peuvent devenir des cibles. La formation à la sécurité doit couvrir non seulement les mots de passe et les liens d’hameçonnage, mais aussi les dépôts de code, les outils d’accès à distance, les logiciels de portefeuille, les extensions de navigateur et les processus de signature.

3. L’examen des transactions doit être compréhensible par les utilisateurs

Une transaction peut sembler légitime à première vue tout en comportant des détails dangereux. Les attaquants peuvent manipuler les autorisations accordées à des jetons, les interactions avec des contrats, les adresses de destination ou les paramètres de transaction.

Les équipes de sécurité devraient utiliser des canaux de vérification indépendants et demander aux signataires de confirmer :

• L’adresse exacte du destinataire
• L’actif et le montant transférés
• Les autorisations accordées aux contrats
• Les identifiants du réseau et de la blockchain
• La finalité de la transaction
• La conformité de la transaction avec une demande interne approuvée

Approuver aveuglément une transaction parce qu’elle apparaît dans une interface familière est l’une des habitudes les plus dangereuses dans la gestion des actifs numériques.

4. Le traçage on-chain est puissant, mais pas instantané

Les registres publics permettent aux enquêteurs de suivre les actifs volés, ce qui est souvent impossible avec de l’argent liquide traditionnel. Toutefois, le traçage ne garantit pas la récupération des fonds.

Les attaquants peuvent utiliser :

• Des bridges inter-chaînes
• Des plateformes d’échange décentralisées
• Des échanges de jetons
• De nombreux portefeuilles intermédiaires
• Des services renforçant la confidentialité
• Des courtiers de gré à gré
• Des portefeuilles dormants activés seulement après de longs délais

Il en résulte une course permanente entre enquêteurs et criminels. Les plateformes d’échange, les dépositaires, les entreprises d’analyse et les services répressifs doivent partager rapidement leurs informations, car les premières heures suivant un incident peuvent être déterminantes.

Ce que les utilisateurs et les organisations peuvent faire dès maintenant

Les affaires liées à TraderTraitor offrent des enseignements pratiques aux utilisateurs individuels comme aux équipes professionnelles du secteur des cryptomonnaies.

Séparer les avoirs à long terme des fonds destinés au trading actif

Les actifs qui ne sont pas nécessaires au trading quotidien ne devraient pas rester connectés à des comptes d’échange ou à des applications exposées à Internet. Un modèle de conservation compartimenté peut limiter le montant exposé en cas de compromission d’un compte de trading, d’une clé API ou d’un poste de travail.

Utiliser une approbation des transactions fondée sur un appareil matériel

Un portefeuille matériel peut conserver les clés privées à l’écart des ordinateurs généralistes et réduire l’exposition aux logiciels malveillants. Toutefois, l’appareil ne remplace pas une vérification attentive des transactions. Les utilisateurs doivent toujours contrôler l’adresse, le réseau, le montant et l’interaction avec le contrat avant d’approuver un transfert.

Conserver des sauvegardes indépendantes de la phrase de récupération

La phrase de récupération d’un portefeuille doit être générée et conservée hors ligne. Elle ne doit jamais être saisie sur un site web, dans une application de messagerie, un document cloud ou un logiciel inconnu.

Les utilisateurs devraient également éviter de photographier ou de copier numériquement leur phrase de récupération. Les sauvegardes physiques doivent être protégées contre les accès non autorisés, le feu, l’eau et les pertes accidentelles.

Considérer les messages de recrutement non sollicités comme des incidents de sécurité

Pour les personnes travaillant dans le Web3, une offre d’emploi ou une proposition de partenariat peut constituer une tentative d’attaque. Les fichiers, dépôts de code, applications de visioconférence, extensions de navigateur et outils liés aux portefeuilles doivent être vérifiés par un canal de communication distinct avant toute installation ou exécution.

Ajouter des contrôles opérationnels pour les équipes chargées de la trésorerie

Les organisations qui gèrent des actifs numériques importants devraient envisager :

• Plusieurs niveaux d’approbation indépendants
• Des listes d’adresses autorisées et des délais avant retrait
• La simulation des transactions avant signature
• Des appareils distincts pour la signature et la communication
• Des contrôles d’accès stricts fondés sur les rôles
• Des procédures de mise en pause d’urgence
• Une surveillance continue de l’activité des portefeuilles
• Un examen régulier des intégrations de services tiers
• Des exercices de réponse aux incidents

Aucun contrôle isolé ne suffit contre un adversaire disposant de moyens importants. La meilleure défense repose sur une combinaison d’isolation technique, de rigueur procédurale et de détection rapide.

Ce que cela signifie pour l’avenir de la sécurité des cryptomonnaies

Les incidents récents confirment une évolution plus large du paysage des menaces. Le vol de cryptomonnaies ne se limite plus à l’attaque de portefeuilles personnels mal sécurisés ou à l’exploitation de vulnérabilités évidentes dans des contrats intelligents. Les grands groupes criminels ciblent de plus en plus les infrastructures qui relient les utilisateurs, les applications, les plateformes d’échange et les blockchains.

Les améliorations de sécurité les plus importantes pourraient notamment concerner :

• De meilleures interfaces de signature
• Une simulation plus claire des transactions
• Une isolation renforcée des appareils
• Une meilleure formation des employés à la sécurité
• Une coopération plus rapide entre les plateformes d’échange et les enquêteurs
• Des procédures plus efficaces de sanctions et de gel des actifs
• La détection automatisée des flux de fonds suspects
• Une plus grande transparence concernant l’architecture de conservation

Pour le secteur, la leçon centrale est simple : la sécurité des clés privées est nécessaire, mais elle ne constitue qu’une partie du problème. La protection des actifs numériques exige également de sécuriser les appareils, les identités, les applications, les procédures d’approbation et les canaux de communication qui entourent chaque transaction.

Un niveau de protection pratique pour les utilisateurs individuels

Pour les particuliers détenant des montants significatifs en cryptomonnaies, un portefeuille matériel peut fournir un niveau de protection important en maintenant les opérations liées aux clés privées séparées d’un ordinateur connecté à Internet.

Les portefeuilles matériels OneKey sont conçus autour de l’isolation hors ligne des clés et de l’approbation des transactions directement sur l’appareil. Cela peut contribuer à réduire le risque qu’un logiciel malveillant présent sur un ordinateur extrait discrètement les clés privées. Les utilisateurs doivent néanmoins vérifier soigneusement chaque transaction et appliquer de bonnes pratiques de sauvegarde, car la conservation sur matériel ne peut pas protéger les fonds si une phrase de récupération est exposée ou si une transaction malveillante est approuvée.

Les affaires Binance et Bybit montrent pourquoi l’auto-conservation doit être envisagée comme un processus de sécurité complet, et non comme le simple achat d’un appareil. La génération sécurisée des clés, les sauvegardes hors ligne, la vérification des adresses et la rigueur dans les habitudes de signature jouent toutes un rôle dans la défense contre des campagnes de vol de cryptomonnaies toujours plus sophistiquées.