La Corée du Nord a volé au moins 2,8 milliards de dollars en cryptomonnaies entre janvier 2024 et septembre 2025 et blanchit de plus en plus ces fonds via les mêmes réseaux que ceux utilisés par les escroqueries et le crime organisé, selon un rapport de recherche publié ce mois-ci par le Royal United Services Institute (RUSI), un groupe de réflexion britannique sur la défense et la sécurité. Ce montant représente une part importante de toutes les cryptomonnaies volées dans le monde durant cette période et souligne le rôle croissant du vol d’actifs numériques comme source de revenus pour cet État lourdement sanctionné.

Le rapport, rédigé par Allison Owen et Noémi També, se concentre sur l’étape où les actifs numériques volés sont convertis en monnaie fiduciaire — une phase qui a reçu moins d’attention que le flux de fonds, bien documenté, à travers des services décentralisés tels que les mixers et les ponts inter-chaînes. Parce que les transactions sur les blockchains publiques sont traçables par conception, une grande partie des recherches et des efforts d’application de la loi se sont concentrés sur le blanchiment on-chain. Le problème plus difficile, selon le rapport, est l’étape finale : transformer la cryptomonnaie en liquidités utilisables par l’intermédiaire de réseaux humains qui opèrent largement hors de la visibilité des outils d’analyse blockchain.

Selon le rapport, les fonds volés sont supposés soutenir le programme d’armement de la Corée du Nord — une catégorie de financement illicite connue sous le nom de financement de la prolifération, que le Groupe d’action financière (GAFI), l’organisme mondial de lutte contre le blanchiment d’argent, considère comme l’une des menaces les plus graves pour le système financier international.

Transferts de propriété avant la conversion en espèces

Le rapport constate que la propriété des cryptomonnaies volées change fréquemment de mains avant la conversion. Des tiers achètent parfois directement les coins volés à prix réduit. Un enquêteur a expliqué aux auteurs qu’un tel transfert peut être détecté lorsque les fonds réapparaissent mélangés à des produits d’escroqueries d’investissement de type "pig butchering", ou à des adresses liées à des entités comme le Huione Group du Cambodge, dont l’infrastructure a été saisie en juin par le ministère américain de la Justice. Elliptic, la société d’analyse blockchain qui a fourni les données pour l’étude, estime que ces transferts ont souvent lieu sur la blockchain Bitcoin.

Après le piratage de Bybit en février 2025 — d’environ 1,5 milliard de dollars, le plus grand vol jamais enregistré sur une plateforme d’échange de cryptomonnaies — les intervenants de ZeroShadow ont observé que le régime s’appuyait sur un réseau de blanchisseurs, de bureaux de gré à gré et de traders peer-to-peer — souvent des ressortissants chinois opérant 24 heures sur 24. TraderTraitor, le groupe nord-coréen responsable du vol chez Bybit, aurait utilisé des groupes du crime organisé chinois pour déplacer les fonds et restituer des liquidités.

Ce chevauchement entre vol soutenu par l’État et réseaux criminels transnationaux représente un défi important pour les équipes de conformité. Une fois que les produits de la Corée du Nord entrent dans des écosystèmes criminels, les indicateurs de financement de la prolifération deviennent difficiles à distinguer d’un blanchiment d’argent ordinaire, ce qui complique les obligations qui pèsent sur les banques et les plateformes d’échange dans le cadre des régimes de sanctions internationaux.

Mules financières et conversions structurées

Les comptes utilisés pour la sortie des fonds appartiennent généralement à des mules financières recrutées principalement aux Philippines, en Indonésie et en Chine, où les identifiants bancaires sont suffisamment bon marché pour être achetés en masse et permettre l’ouverture de comptes à grande échelle. Des personnes interrogées ont indiqué aux auteurs qu’une fois que les mules découvrent pour qui elles travaillent réellement, elles souhaitent généralement cesser leur participation.

Les conversions sont effectuées par petites quantités. Les acteurs vendent environ 7 000 dollars de stablecoins à la fois sur des places de marché peer-to-peer, en restant sous les seuils qui déclencheraient un contrôle bancaire. ZeroShadow a également constaté que des sommes plus importantes étaient divisées en lots de 30 000 dollars afin qu’un éventuel gel "n’ait pas d’impact excessif." D’autres signaux comportementaux apparaissent au niveau des plateformes d’échange, notamment des connexions via le VPN Astrill et les 50 à 70 tickets d’assistance que les blanchisseurs déposent désormais pour faire libérer une seule transaction bloquée.

Conversion en monnaie fiduciaire

Les produits en monnaie fiduciaire arrivent rarement par un simple virement bancaire. À la place, les fonds provenant de courtiers de gré à gré sont souvent déposés sur des comptes contrôlés par la Corée du Nord à l’aide de cartes UnionPay émises par des banques chinoises. Le rapport identifie 19 banques chinoises que le Multilateral Sanctions Monitoring Team a signalées l’an dernier comme étant utilisées par le régime et ses relais.

Sur les quelque 1,5 milliard de dollars volés à Bybit, 95 % ont transité par des services décentralisés, et l’équipe de surveillance a indiqué que la totalité de ces fonds avait été convertie en monnaie fiduciaire ou en devises fortes d’ici septembre 2025.

Les auteurs appellent à des orientations réglementaires sur les relations de correspondant entre plateformes d’échange, à des questionnaires d’intégration standardisés, à des canaux sécurisés de partage de renseignements et à l’ajout d’un identifiant VASP dans les messages de paiement afin que les banques destinataires puissent les repérer.

Pour les victimes, le bilan est clair d’après les propres déclarations de Bybit : la plateforme a annoncé lundi qu’elle avait poursuivi la Corée du Nord en justice et obtenu une ordonnance de gel des actifs identifiés, après avoir récupéré 48,4 millions de dollars et gelé 30,5 millions de dollars supplémentaires, soit ensemble environ 5 % des sommes dérobées.

Daily Debrief Newsletter