Cryptomonnaies : la finance clandestine de Pyongyang

Cryptomonnaies et financement clandestin de la Corée du Nord

Les cryptomonnaies ont offert à la Corée du Nord un accès paradoxal à la finance mondiale. Le pays est coupé d’une grande partie du système bancaire international, mais ses opérateurs peuvent viser des plateformes qui conservent des actifs transférables vingt-quatre heures sur vingt-quatre. Un vol réussi traverse les frontières sans cargo, déclaration douanière ni correspondant bancaire classique. Cette mobilité explique pourquoi les actifs numériques occupent désormais une place majeure dans les évaluations du financement nord-coréen sous sanctions.

Il serait pourtant trompeur de décrire la blockchain comme une caisse noire parfaitement opaque. La plupart des grands réseaux enregistrent publiquement les transactions. Les enquêteurs peuvent suivre les mouvements, identifier des regroupements d’adresses et alerter les plateformes où les fonds cherchent une sortie. La clandestinité ne vient donc pas d’une disparition de la trace, mais de la difficulté à relier rapidement une adresse à une personne, à suivre des conversions successives et à agir dans des juridictions dont les règles ou les capacités diffèrent. Le rapport de force oppose la vitesse du blanchiment à celle de la coopération.

Un actif volé n’est pas encore une devise disponible

Les estimations publiques additionnent souvent la valeur des actifs au moment de leur soustraction. Cette convention est utile pour mesurer le dommage subi par une plateforme, mais elle ne dit pas ce que l’auteur parvient réellement à utiliser. Le cours peut varier, une partie peut être gelée, saisie ou rendue invendable par la publicité donnée aux adresses. Des commissions et décotes rémunèrent les intermédiaires qui acceptent le risque. La valeur volée, la valeur blanchie et la valeur convertie en biens ou en monnaie sont donc trois grandeurs différentes.

Le rapport final du Groupe d’experts de l’ONU publié en mars 2024 indiquait enquêter sur dix-sept vols de cryptomonnaies signalés en 2023, évalués à plus de 750 millions de dollars, et sur cinquante-huit attaques soupçonnées entre 2017 et 2023, évaluées à environ trois milliards. Le vocabulaire compte : il s’agissait d’enquêtes et de montants estimés, non d’un relevé bancaire certifiant que chaque dollar avait atteint un programme militaire. La fin du mandat du Groupe en avril 2024 a en outre réduit la continuité d’un suivi universel placé sous l’autorité du Conseil de sécurité.

L’affaire Bybit a changé l’échelle visible. Le FBI a attribué à la Corée du Nord le vol d’environ 1,5 milliard de dollars d’actifs virtuels commis le 21 février 2025. En juin de la même année, le Groupe d’action financière signalait qu’une faible fraction seulement avait alors été récupérée. Même dans ce cas spectaculaire, le montant nominal ne constitue pas une recette budgétaire immédiate. Il représente un stock exposé à la surveillance mondiale, dont l’utilité dépend de la réussite des étapes suivantes.

Les plateformes concentrent le risque plus que la monnaie

La vulnérabilité ne réside pas nécessairement dans le protocole d’une cryptomonnaie. Elle se trouve souvent dans les organisations qui en gardent les clés, valident les transferts, développent des contrats ou administrent des ponts entre réseaux. Une plateforme peut regrouper des milliards d’actifs derrière quelques procédures critiques. Une erreur de gouvernance, un poste de travail compromis ou une validation mal sécurisée permet alors de détourner une réserve que des milliers d’utilisateurs croyaient distribuée.

Les opérateurs nord-coréens recherchent cette concentration. Ils étudient les employés et sous-traitants, construisent des relations de confiance et attendent parfois le moment où une action apparemment ordinaire ouvre l’accès aux mécanismes de signature. Cette dimension humaine explique pourquoi la sécurité ne peut se réduire à auditer le code. La séparation des responsabilités, la vérification indépendante des changements et la protection des environnements de développement sont aussi importantes que la robustesse du réseau sous-jacent.

La finance décentralisée ajoute une difficulté. Les services fonctionnent à travers des contrats automatisés et des communautés réparties, sans toujours disposer d’un responsable capable de suspendre une opération. Les ponts entre chaînes agrègent des liquidités et deviennent des cibles rentables. Leur innovation accélère les échanges légitimes, mais multiplie les interfaces où une faiblesse peut être exploitée. La stratégie de Pyongyang consiste moins à « casser » la cryptographie qu’à repérer les lieux où l’écosystème réintroduit de la confiance humaine et de la centralisation.

Le blanchiment est une succession de transformations

Après le vol commence une course. Les auteurs dispersent les actifs, les échangent contre d’autres jetons et déplacent la valeur entre réseaux afin d’augmenter le nombre d’intermédiaires que les enquêteurs doivent reconstituer. Ils peuvent recourir à des services de mixage, qui regroupent des fonds de multiples utilisateurs avant de les redistribuer, ou à des courtiers de gré à gré capables d’échanger des actifs contre des devises. Aucune technique ne garantit l’anonymat ; leur combinaison vise à gagner du temps et à rendre la preuve plus coûteuse.

Le Trésor américain a sanctionné Sinbad en novembre 2023, le présentant comme un service privilégié pour blanchir une partie des produits attribués au groupe Lazarus, notamment après les vols d’Axie Infinity, de Horizon Bridge et d’Atomic Wallet. Il avait auparavant visé Blender.io et Tornado Cash. Ces décisions illustrent une stratégie consistant à fermer les infrastructures utilisées après l’attaque, pas seulement à désigner les pirates. Elles soulèvent aussi une question juridique : un outil de confidentialité peut avoir des usages licites, et sanctionner un service ou un protocole n’est pas équivalent à poursuivre un opérateur criminel.

Cette tension est apparue lorsque le Trésor a retiré Tornado Cash de sa liste en mars 2025 à la suite d’un réexamen des questions juridiques et technologiques, tout en maintenant sa préoccupation concernant le blanchiment nord-coréen. La décision ne blanchit pas les transactions illicites ; elle montre que la politique publique doit distinguer le code, le service effectivement contrôlé, les personnes et les flux. Une réponse trop large risque de déplacer l’activité sans atteindre les convertisseurs qui donnent aux actifs leur valeur stratégique.

La transparence des chaînes rend possible la contre-offensive

Une transaction bancaire clandestine peut rester enfouie dans les livres d’une institution. Sur une blockchain publique, le trajet demeure visible, même si l’identité derrière l’adresse est inconnue. Les entreprises d’analyse regroupent les adresses selon leurs comportements, les plateformes comparent les dépôts avec des listes de risque et les autorités demandent le gel lorsqu’un lien juridique est établi. Une erreur ancienne peut ainsi devenir exploitable plusieurs mois plus tard, après l’identification d’un portefeuille ou d’un intermédiaire.

Cette traçabilité explique les opérations de récupération. En juin 2025, le ministère américain de la Justice a demandé la confiscation de plus de 7,74 millions de dollars en actifs liés, selon sa plainte civile, à des travailleurs informatiques nord-coréens et à un représentant de la Foreign Trade Bank. En novembre, il a annoncé des procédures portant sur plus de quinze millions de dollars de stablecoins saisis dans des enquêtes concernant plusieurs vols attribués à APT38. Une plainte de confiscation expose une allégation que le tribunal doit examiner ; elle montre néanmoins que les fonds peuvent être immobilisés avant leur conversion finale.

La défense doit donc agir en réseau. Une plateforme détecte un dépôt, une entreprise d’analyse retrace son origine, une autorité obtient une mesure de gel et une juridiction décide de la saisie. Si l’une de ces étapes arrive trop tard, les actifs rejoignent un service moins coopératif. Le facteur décisif n’est pas l’existence abstraite d’une règle, mais la vitesse avec laquelle les informations de confiance circulent entre acteurs privés et publics, sans bloquer arbitrairement les utilisateurs légitimes.

La sortie vers l’économie réelle reste le point vulnérable

Le régime ne peut construire une installation, importer une machine ou rémunérer un fournisseur uniquement avec une succession d’adresses. Il doit convertir une partie de la valeur en monnaies acceptées, en marchandises ou en services. C’est au moment de cette sortie que réapparaissent les acteurs classiques : courtiers, sociétés-écrans, comptes bancaires, négociants et représentants à l’étranger. La cryptomonnaie ne remplace pas la finance clandestine traditionnelle ; elle lui fournit une nouvelle réserve et un moyen de transfert.

Les stablecoins ont pris une importance croissante parce qu’ils limitent la volatilité et circulent rapidement. Le GAFI relevait en 2025 leur usage accru dans les activités illicites, y compris celles attribuées à la Corée du Nord. Mais leur ancrage sur une monnaie et l’existence fréquente d’un émetteur capable de geler certains jetons créent aussi des points de contrôle. La propriété technique d’un actif ne détermine donc pas seule son efficacité clandestine : sa gouvernance, sa liquidité et les obligations des intermédiaires comptent tout autant.

Les courtiers de gré à gré jouent ici un rôle sensible. Ils peuvent accepter des actifs dont les grandes plateformes refusent l’origine, fragmenter la conversion et organiser un règlement dans une autre juridiction. Les représentants bancaires nord-coréens et les entreprises de façade reconnectent ensuite les fonds à des achats. C’est pourquoi une politique centrée exclusivement sur les chaînes rate le dernier kilomètre. Le renseignement financier doit suivre simultanément les portefeuilles, les bénéficiaires effectifs et les marchandises acquises.

Le lien avec les armes est stratégique, mais rarement traçable dollar par dollar

Les Nations unies, les États-Unis et le GAFI considèrent que les activités numériques contribuent au financement des programmes nucléaire et balistique nord-coréens. Cette appréciation est cohérente avec un système où l’État contrôle les grandes unités cyber, les banques extérieures et l’allocation des devises. Elle ne signifie pas qu’un enquêteur puisse suivre chaque jeton volé jusqu’à une pièce de missile. Les fonds sont mélangés, convertis et intégrés à des comptes dont la ventilation budgétaire reste opaque.

La prudence ne réduit pas la portée stratégique. Dans un pays qui dispose de peu de recettes exportatrices légales, plusieurs centaines de millions de dollars peuvent financer des importations à double usage, rémunérer des intermédiaires ou libérer d’autres ressources pour la défense. L’effet est fongible : payer une acquisition civile avec des recettes clandestines permet de réserver des fonds différents à un programme militaire. Le financement de la prolifération doit donc être compris comme une capacité globale, non comme une chaîne comptable toujours observable.

Le cyber ne constitue pas non plus l’unique source de devises. Le commerce avec la Chine, les travailleurs à l’étranger, les activités maritimes et la coopération militaire avec la Russie complètent le dispositif. Surestimer la part des cryptomonnaies conduirait à croire qu’un durcissement technique suffirait à assécher le régime. Leur importance vient plutôt de leur rendement exceptionnel, de leur portée mondiale et de leur capacité à compenser rapidement la fermeture d’un autre canal.

Fermer les sorties sans criminaliser l’innovation

La réponse la plus efficace combine sécurité des plateformes, vigilance financière et coopération judiciaire. Les réserves importantes doivent être protégées par une séparation réelle des pouvoirs de validation, des contrôles indépendants et des procédures capables de détecter une modification anormale. Après une attaque, les informations sur les adresses et les mouvements doivent circuler vite entre acteurs de confiance. Au point de conversion, l’identification des clients et des bénéficiaires effectifs réduit la possibilité de transformer discrètement les actifs en monnaie ou en biens.

Le GAFI souligne cependant les écarts de mise en œuvre entre juridictions. Une plateforme fortement régulée peut bloquer un dépôt, tandis qu’un service situé ailleurs conserve des exigences minimales. Les auteurs exploitent cette fragmentation plus que l’absence totale de règles. Harmoniser les standards, former les autorités et accélérer l’entraide produit probablement davantage d’effet qu’une accumulation de désignations que certains territoires n’appliquent pas.

La politique doit enfin préserver une distinction entre la technologie et son usage. Les outils de confidentialité protègent aussi des journalistes, des opposants et des citoyens ordinaires ; les échanges décentralisés ne sont pas intrinsèquement criminels. Une mesure crédible cible le contrôle effectif, la connaissance des flux illicites et la facilitation démontrable, avec des voies de recours. La Corée du Nord a transformé les actifs numériques en ressource stratégique parce que l’écosystème est mondial, rapide et fragmenté. Réduire ce rendement suppose de sécuriser les concentrations de valeur et de contrôler les sorties, sans promettre une transparence totale qui détruirait les usages légitimes.