Le ministère américain de la Justice (DOJ) a obtenu l'autorisation d'un tribunal pour saisir ou geler plus de 1,2 milliard de dollars en crypto-monnaies volées à Binance par des hackers militaires nord-coréens. Cette mesure d'exécution, annoncée le 12 novembre, vise des fonds liés à ce que les responsables décrivent comme une cyberattaque de 6,3 milliards de dollars et s'inscrit dans une stratégie plus large visant à perturber les opérations de vol de crypto-monnaies du régime (annonce du ministère de la Justice).

Depuis l'attaque du 29 octobre, le gouvernement américain, en collaboration avec des partenaires, a gelé plus de 2,7 milliards de dollars des crypto-monnaies volées. Le montant couvert par l'ordonnance du tribunal représente près de la moitié des fonds volés gelés, et les enquêtes pour tracer le reste sont toujours en cours. La réponse a été rapide : la violation s'est produite le 29 octobre, le FBI a publié son alerte d'attribution le 31 octobre, et l'action autorisée par le tribunal a suivi le 12 novembre. Le FBI a attribué l'attaque à TraderTraitor (alerte cyber du FBI).

L'action du 12 novembre cible également un second schéma lié à la Corée du Nord, FaceStealer, qui a dérobé plus de 400 millions de dollars en crypto-monnaies en 18 mois grâce à des vidéos préenregistrées et à la technologie deepfake.

Le ministère de la Justice cible le vol de crypto-monnaies nord-coréen

Le DOJ affirme que la RPDC utilise le vol de crypto-monnaies comme moyen de générer de l'argent pour financer son gouvernement et ses armements illicites. La dernière série d'actions a impliqué plusieurs agences, notamment la Division de la sécurité nationale, la Division pénale, le FBI, le Secret Service américain et l'IRS Criminal Investigation.

The US Department of Justice seized infrastructure linked to North Korea's $400 million FaceStealer crypto theft scheme and froze over $1.2 billion in cryptocurrency stolen from Binance. #Crypto #Binance — Lego (@Doctor_Stefan) November 12, 2026

Source : publication X

L'implication des fournisseurs de services d'actifs virtuels a permis aux autorités de geler des milliards de dollars avant que l'argent ne quitte leur juridiction. Pour l'industrie crypto, ce détail montre comment les résultats des mesures d'exécution peuvent dépendre de la coopération des fournisseurs de services : les fonds détenus sur une plateforme d'échange ou de garde peuvent être immobilisés avant d'être dispersés. Le procureur général adjoint A. Tysen Duva a expliqué que la Division pénale et ses partenaires ont agi rapidement pour stopper environ la moitié de l'énorme piratage de Binance.

Le tribunal a ordonné au gouvernement de saisir ou de geler plus de 1,2 milliard de dollars sur les 2,7 milliards gelés. La distinction est importante : le gel de crypto-monnaies signifie empêcher le mouvement des fonds, tandis que le blocage (restrain) signifie obtenir le droit de saisir les fonds.

TraderTraitor déplace les actifs volés de Binance via les réseaux crypto

Le FBI a indiqué que des membres militaires de la République populaire démocratique de Corée étaient derrière l'attaque du 29 octobre contre Binance et avaient utilisé le pseudonyme « TraderTraitor ». Dans une alerte cyber publiée le 31 octobre, le FBI a rapporté que les attaquants transféraient les actifs vers des comptes où les fonds volés étaient convertis en Ether (ETH).

Le FBI a déclaré que les attaquants utiliseraient des applications de finance décentralisée (DeFi) et des services d'échange instantané pour convertir les crypto-monnaies en d'autres formes de fonds. Cela rendrait les transactions plus difficiles à tracer pour les enquêteurs, l'argent transitant par plusieurs réseaux blockchain et actifs numériques.

Le FBI a demandé aux opérateurs de plateformes d'échange de crypto-monnaies, aux services DeFi, aux sociétés d'intelligence blockchain et aux fournisseurs d'infrastructure de bloquer toute transaction liée aux adresses de portefeuille qu'il a rendues publiques dans le cadre de l'opération de blanchiment.

L'enquête est toujours en cours, les hackers nord-coréens continuant de tenter de déplacer les fonds volés à l'aide de ponts crypto, de mixeurs et de plateformes d'échange.

FaceStealer utilise des deepfakes pour voler plus de 400 millions de dollars

Parallèlement à l'action liée à Binance, le ministère de la Justice a annoncé la saisie de l'infrastructure cloud utilisée dans la campagne FaceStealer. Selon le FBI, l'enquête a révélé que les auteurs avaient compromis des personnes actives dans les crypto-monnaies, le Web3 et le développement de logiciels open source, et avaient volé plus de 400 millions de dollars en crypto-monnaies sur 18 mois.

Les réunions vidéo étaient organisées à l'aide des comptes compromis. Les hackers présentaient lors des appels des images préenregistrées de personnes connues des victimes, et utilisaient également des vidéos générées par intelligence artificielle pour se faire passer pour des figures influentes de l'univers crypto et Web3.

Durant les appels vidéo, les attaquants invoquaient de faux problèmes techniques — comme l'incapacité d'entendre la victime — puis fournissaient des liens ou des instructions de dépannage, entraînant l'installation de logiciels malveillants sur les appareils des victimes, donnant accès aux crypto-monnaies et à d'autres informations.

Les attaquants attendaient des mois, voire des années, après l'infection initiale d'un ordinateur avant de procéder aux vols ou de détourner les comptes de communication. Ils utilisaient également les ordinateurs compromis pour accéder aux contacts, aux comptes de réseaux sociaux et aux messages des victimes afin d'identifier de nouvelles cibles.

Des agents du FBI ont saisi plus de 900 enregistrements de webcams au moyen d'un mandat délivré par un tribunal fédéral, ont perturbé les ressources d'informatique en nuage utilisées dans la campagne et ont publié un rapport technique (avis conjoint de cybersécurité) expliquant comment l'opération avait été menée.

L'action du DOJ met en lumière les risques pour la crypto et les développeurs de logiciels

FaceStealer ciblait les développeurs de logiciels open source. La campagne visait à pirater les comptes des personnes responsables du développement et de la maintenance de logiciels afin de mener des attaques de la chaîne d'approvisionnement contre les applications d'autres organisations. Dans une attaque de la chaîne d'approvisionnement, compromettre un développeur ou une dépendance de confiance est crucial car chaque application en aval qui repose sur ce code hérite de l'exposition.

L'impact s'étend donc au-delà des détenteurs de crypto-monnaies. Les hackers peuvent nuire non seulement aux personnes travaillant avec les crypto-monnaies, mais aussi aux éditeurs de logiciels et à leurs produits, ce qui signifie que les entreprises utilisant des logiciels open source pourraient être exposées même sans activité en crypto-monnaies.

Patrick Grandy, directeur adjoint du bureau du FBI de Los Angeles, a déclaré que l'opération pouvait tromper même les experts techniques en exploitant des contacts de confiance et des outils de visioconférence fiables. Les personnes qui ne pensaient pas pouvoir être trompées par de telles attaques, a-t-il noté, n'avaient peut-être pas envisagé toutes les façons possibles dont cela pouvait se produire.

Pour les entreprises crypto, ces développements renforcent l'importance de vérifier les invitations à des réunions, de confirmer les identités via des canaux de communication distincts et d'éviter les instructions d'installation de logiciels inconnus. La surveillance des portefeuilles et la réponse rapide aux notifications des forces de l'ordre sont également devenues cruciales pour les plateformes d'échange et les fournisseurs d'infrastructure.

Selon le ministère de la Justice, le traçage, le gel, la saisie et la confiscation des actifs liés à Binance se poursuivent. Les enquêtes sur les deux opérations, TraderTraitor et FaceStealer, menées par le FBI sont en cours, et les autorités ont formulé des demandes de rapports d'activités suspectes. Ce qu'il faut surveiller désormais est d'ordre procédural : savoir si les blocages évoluent vers une confiscation définitive, et si d'autres saisies suivront à mesure que les enquêteurs tracent le reste des fonds volés.