Des hackers nord-coréens ont volé environ 7,61 milliards de dollars au cours de 38 incidents entre janvier et octobre — soit une moyenne d'environ 200 millions de dollars par incident — selon un rapport publié le 6 novembre par la société d'intelligence blockchain BitOK. La société a indiqué que les six attaques les plus importantes n'avaient pas nécessité de casser le code des smart-contracts. À la place, les attaquants ont pris le contrôle d'employés, de dispositifs de signature et de systèmes de retrait.

BitOK a recensé des vols visant des plateformes d'échange, des plateformes de finance décentralisée et d'autres entreprises crypto. Sur le total estimé, 2,86 milliards de dollars ont été interceptés par des gelées et des saisies, tandis que 4,75 milliards de dollars — soit environ 62 % du total estimé — sont restés hors de portée. Ces chiffres décrivent de nombreux incidents distincts plutôt qu'une transaction unique ou une seule attaque coordonnée.

Les systèmes de signature, nouvelle surface d'attaque privilégiée

Le rapport identifie les systèmes qui autorisent les retraits comme cible principale. Dans le cas de Binance, BitOK indique que les attaquants ont utilisé l'ordinateur portable d'un ingénieur DevOps et un conteneur de service de signature. Les transferts qui en ont résulté portaient des signatures valides ou passaient les contrôles standards, alors même que l'environnement de signature avait été compromis — pour la blockchain, un retrait correctement signé est valide, indépendamment de qui contrôlait le dispositif qui l'a produit.

D'autres incidents impliquaient des signataires multisig chez Drift, un vérificateur de pont chez KelpDAO et le système de portefeuille de Bitget. BitOK précise que les attaquants ont testé les routes avec de petits montants avant d'exécuter des vols plus importants. Dans le cas de Binance, le contrat d'attaque était publiquement actif quatre heures avant le vol majeur.

Le rapport décrit également un mouvement rapide des stablecoins vers l'ETH, un actif que les émetteurs ne peuvent pas geler. Tether a reçu sa première demande de gel 34 minutes après le retrait sur Binance ; à ce moment-là, 345 millions d'USDT avaient déjà quitté l'adresse d'origine. BitOK indique que 43 % des fonds volés lors de l'attaque contre Binance ont été gelés ou saisis, contre 6 % pour l'ensemble des autres attaques majeures.

Des traces communes relient des incidents distincts

BitOK affirme que des adresses de règlement partagées ont relié cinq attaques, de vol chez KelpDAO en avril à l'incident Binance en octobre. La société a retracé des soldes résiduels qui aboutissaient à un portefeuille collecteur. Le 31 août, 150 adresses ont été vidées vers ce collecteur en 3 minutes et 36 secondes, ne laissant que 0,27 ETH.

La société a interprété cette trace commune comme la preuve d'un opérateur de blanchiment unique, tout en admettant que différentes équipes ont pu mener les intrusions. Le rapport n'identifie aucune personne inculpée ou condamnée dans le cadre des incidents de 2026, laissant non résolue la relation entre ceux qui ont obtenu l'accès et ceux qui ont déplacé les fonds.

BlockTelegraph avait précédemment publié un article sur les sorties de fonds de Binance après le piratage, incluant les 4,7 milliards de dollars de sorties nettes rapportées après la reprise des retraits. Un autre article examinait les permissions de portefeuille liées aux portefeuilles Binance. Sa couverture de Bitget détaillait le zero-day lié au vol.

La récupération dépend d'une intervention rapide

Les chiffres de BitOK montrent comment le timing a déterminé les résultats de la récupération. Les stablecoins ou les actifs détenus sur un service capable de bloquer les transferts offraient une chance d'arrêter les mouvements. Une fois que les attaquants avaient converti les fonds en ETH ou les avaient acheminés via d'autres services et chaînes, la récupération devenait nettement plus difficile, selon le rapport.

Le prochain axe de sécurité du rapport porte sur les clés de signature et sur les personnes ou systèmes qui les contrôlent. Il désigne les dispositifs des employés, les conteneurs et les chemins d'approbation comme faisant partie de la frontière de sécurité avant que les transactions n'atteignent une blockchain. Le rapport souligne également l'intérêt des petits soldes résiduels : le collecteur de 0,27 ETH a aidé à relier des adresses associées à des attaques distinctes.

L'estimation 2026 de BitOK couvre les incidents jusqu'à octobre et a été publiée le 6 novembre. Le rapport présente les liens de blanchiment communs comme un moyen de relier les mouvements de fonds, tout en laissant ouverte la question de savoir si les intrusions distinctes provenaient d'une seule équipe. Son récit place la détection rapide et les demandes de gel parmi les mesures de réponse qui ont déterminé ce qui a pu être récupéré.