Le ministère américain de la Justice a annoncé le 12 novembre 2026 qu'il avait obtenu l'autorisation judiciaire pour saisir ou bloquer plus de 1,2 milliard de dollars en cryptomonnaies présumément volées à Binance par des hackers parrainés par l'État nord-coréen, marquant l'une des plus grandes actions d'exécution uniques dans le domaine des cryptomonnaies de l'histoire des États-Unis. L'annonce portait sur deux efforts parallèles : le gel des actifs liés à la faille de l'exchange et le démantèlement d'une campagne distincte de vol de cryptomonnaies, prétendument liée.

Ce que couvrent les ordonnances judiciaires

Selon le communiqué de presse du DOJ, les procureurs fédéraux du district de Columbia ont obtenu des ordonnances de saisie et de blocage autorisées par le tribunal couvrant plus de 1,2 milliard de dollars en actifs virtuels liés à la faille de Binance. Les ordonnances de ce type bloquent le mouvement des actifs ciblés pendant que les procédures judiciaires déterminent leur destination finale. L'action représente un effort coordonné impliquant le ministère de la Justice, le FBI, le Secret Service et la division Criminal Investigation de l'Internal Revenue Service (IRS).

Lorsque les mesures autorisées par le tribunal sont combinées avec les gelées exécutées par les agences gouvernementales américaines et des partenaires du secteur privé, la valeur totale des actifs retirés de la circulation dépasse 2,7 milliards de dollars, selon l'annonce du DOJ. Les ordonnances obtenues à Washington couvrent environ un cinquième des 6 milliards de dollars que le département affirme avoir été volés lors de la faille.

Dans l'annonce, le procureur général adjoint A. Tysen Duva a décrit l'opération comme « le gel immédiat de plusieurs milliards de dollars d'actifs numériques de Binance volés avant qu'ils n'échappent à la portée des forces de l'ordre ». L'autorisation judiciaire est intervenue environ deux semaines après la faille présumée du 29 octobre, un calendrier que le département a lié au maintien des fonds volés à la portée des forces de l'ordre.

Vol présumé et attribution nord-coréenne

Le DOJ affirme que le vol sous-jacent s'est produit vers le 29 octobre 2026, lorsque TraderTraitor, une unité de l'armée nord-coréenne, aurait volé plus de 6 milliards de dollars en actifs virtuels à Binance — un incident que le département a qualifié de plus grand piratage d'exchange jamais enregistré. Selon le DOJ, TraderTraitor opère sous un réseau d'alias comprenant Sapphire Sleet, BlueNoroff, APT38, UNC1069, Dangerous Password, CryptoCore et Stardust Chollima.

Selon des rapports non confirmés cités par The Record, les enquêteurs estiment que les hackers ont obtenu l'accès initial via l'appareil d'un employé après des mois de préparation, bien que cette méthode d'intrusion n'ait pas été confirmée dans la déclaration officielle du DOJ. Une source unique a également rapporté que Kim Yo Jong, la sœur du dirigeant nord-coréen Kim Jong Un, avait publié un démenti de l'implication de la Corée du Nord le 3 novembre 2026, bien que cette affirmation n'ait pas été vérifiée de manière indépendante. Aucun de ces détails n'est confirmé, laissant la méthode d'accès initial et la position officielle de la Corée du Nord comme des questions ouvertes à mesure que l'affaire évolue.

La société d'analyse blockchain Elliptic a suivi l'activité de blanchiment à travers environ 12 000 portefeuilles sur 11 blockchains, impliquant plus de 40 000 transactions, selon des données citées par The Record. Une dispersion à cette échelle souligne pourquoi les efforts de récupération dans les grands vols de cryptomonnaies associent l'analyse blockchain à l'action des forces de l'ordre. Dans une technique également observée lors du piratage de Bybit de 1,4 milliard de dollars, la Corée du Nord aurait créé au moins six meme coins sur la blockchain NEAR entre le 5 et le 7 novembre, faisant circuler les fonds volés à travers les pools de liquidité d'exchanges décentralisés afin d'obscurcir la trace des actifs.

Le directeur des opérations de la branche cyber du FBI, Brett Leatherman, a déclaré dans l'annonce du DOJ : « Le régime nord-coréen dépend des profits issus du vol de cryptomonnaies à grande échelle pour financer son programme d'armes illicite, volant des milliards de dollars ces dernières années. »

Opération FaceStealer et risque systémique pour les développeurs

Parallèlement à la récupération des actifs de Binance, le DOJ a annoncé le démantèlement d'une opération distincte attribuée à l'APT38, le même groupe de menaces nord-coréen cité parmi les alias de TraderTraitor. La campagne FaceStealer aurait volé plus de 400 millions de dollars en cryptomonnaies sur une période de 18 mois, en utilisant des deepfakes générés par IA et de faux appels vidéo pour tromper les victimes. Cette durée de 18 mois marque la campagne comme soutenue plutôt qu'opportuniste.

Dans le cadre de l'enquête FaceStealer, le FBI a séparément saisi plus de 900 vidéos de webcam de victimes, avec des mandats exécutés dans le district central de la Californie couvrant la saisie d'infrastructures cloud.

Moins largement rapportée est la dimension de chaîne d'approvisionnement de la campagne. Les acteurs nord-coréens auraient ciblé les mainteneurs de paquets JavaScript open source et de crates Rust afin d'intégrer du code malveillant dans des bibliothèques de développement largement utilisées. Ce risque s'étend au-delà des victimes individuelles à quiconque dépend des paquets affectés.

Impact sur le marché et contexte d'exécution

Le BNB, le token natif de l'exchange Binance, a chuté de 7,46 % en 24 heures à 588,37 $, donnant à l'actif une capitalisation boursière d'environ 77,38 milliards de dollars, selon les données de CoinGecko au 9 novembre 2026. Les chiffres reflètent un instantané pris trois jours avant l'annonce du DOJ.

Implications pour l'infrastructure des développeurs et du Web3

Pour l'économie des créateurs et l'infrastructure sous-tendant la propriété numérique, l'implication plus large de l'annonce réside dans la menace de la chaîne d'approvisionnement. Les plateformes NFT, les marketplaces et les protocoles de token-gating qui dépendent des dépendances JavaScript open source sont directement exposés aux tactiques de ciblage des développeurs attribuées à FaceStealer. À mesure que les acteurs nord-coréens évoluent des piratages d'exchange vers l'empoisonnement des outils que les développeurs utilisent pour construire l'infrastructure Web3, les revues de sécurité des plateformes devront s'étendre bien au-delà de la couche des smart contracts.

Avertissement : cet article est fourni à titre informatif uniquement et ne constitue pas un conseil financier ou d'investissement. Les marchés des cryptomonnaies et des actifs numériques comportent des risques importants. Faites toujours vos propres recherches avant de prendre des décisions.