Upbit, la principale plateforme d'échange de cryptomonnaies de Corée du Sud, a annoncé le 27 novembre 2025 avoir subi un piratage ayant entraîné le transfert non autorisé d'environ 44,5 milliards de wons d'actifs liés à la blockchain Solana vers une adresse inconnue. Les enquêteurs sud-coréens ont rapidement orienté leurs soupçons vers le groupe Lazarus, une organisation de cyberattaque rattachée au Bureau général de reconnaissance nord-coréen, en s'appuyant notamment sur des méthodes d'usurpation d'identifiants d'administrateur très proches de celles déjà employées contre la même plateforme lors d'un vol antérieur.
Ce précédent, survenu en 2019, avait coûté à Upbit près de cinquante-huit milliards de wons en Ethereum et avait également été attribué à Lazarus. Le fait que l'attaque de 2025 se soit produite le jour exact du sixième anniversaire de ce premier vol a immédiatement retenu l'attention des analystes, sans qu'aucune preuve ne permette d'établir avec certitude s'il s'agit d'une coïncidence ou d'un choix délibéré.
Cibler deux fois la même plateforme révèle les limites de la mémoire institutionnelle défensive
La répétition, à six ans d'intervalle, d'un mode opératoire similaire contre la même entreprise pose une question centrale pour l'analyse du contre-espionnage numérique : une organisation ayant déjà subi et documenté publiquement une attaque state-sponsored particulière conserve-t-elle, sur une durée de plusieurs années, une vigilance structurelle suffisante pour empêcher la répétition du même mode opératoire, ou les leçons tirées d'un premier incident tendent-elles à s'estomper à mesure que le personnel change et que les priorités de sécurité se déplacent vers des menaces plus récentes ? Un attaquant étatique disposant d'un horizon temporel pratiquement illimité et d'aucune contrainte judiciaire domestique peut se permettre d'attendre que cette mémoire institutionnelle s'affaiblisse avant de retenter une méthode déjà éprouvée.
Cette dynamique illustre une asymétrie fondamentale entre un acteur étatique patient, pour qui la répétition d'une méthode ayant déjà fonctionné constitue un choix rationnel tant qu'elle reste efficace, et une organisation privée dont la vigilance active sur un vecteur d'attaque spécifique décroît naturellement avec le temps écoulé depuis le dernier incident documenté.
Une coïncidence de calendrier peut elle-même devenir un instrument de signalement
Que la coïncidence de date entre les deux attaques soit délibérée ou fortuite, les deux interprétations possibles restent analytiquement significatives. Si elle est délibérée, elle relève d'une logique de signalement symbolique déjà observée dans d'autres opérations attribuées à des acteurs étatiques documentées ailleurs dans ce dossier, où le choix d'une date marquante sert à démontrer une capacité persistante et un mépris affiché pour les mesures de sécurité mises en place depuis le précédent incident. Si elle est fortuite, le simple fait que les observateurs ne puissent pas exclure une intention délibérée illustre comment un acteur sophistiqué et récidiviste peut tirer parti de cette ambiguïté irréductible, sans avoir à revendiquer explicitement un message qu'elle laisse le public libre d'interpréter.
Cette incertitude interprétative constitue elle-même une forme de succès opérationnel pour l'attaquant : elle contraint les analystes de sécurité et les journalistes à consacrer une attention disproportionnée à la symbolique de l'attaque, une attention qui, du point de vue strictement financier du vol commis, n'apporte rien à l'attribution technique mais amplifie la portée médiatique et psychologique de l'opération.
Un vol de cryptomonnaies sud-coréen s'inscrit dans un système de financement étatique plus large
Ce piratage ne constitue pas un événement isolé mais s'inscrit dans un système de financement documenté à l'échelle globale : selon la société d'analyse blockchain Chainalysis, des groupes de piratage liés au gouvernement nord-coréen ont dérobé environ 1,3 milliard de dollars en cryptomonnaies à travers quarante-sept incidents distincts au cours de la seule année 2024. Le rattachement du groupe Lazarus au Bureau général de reconnaissance, l'agence de renseignement extérieur nord-coréenne, signifie que ce vol visant une plateforme sud-coréenne relève simultanément d'une affaire de cybercriminalité financière et d'un enjeu de renseignement stratégique portant sur le financement des programmes d'armement de Pyongyang.
Ce que l'observateur extérieur ne peut établir avec certitude est si les mesures de sécurité renforcées qu'Upbit s'est engagée à mettre en œuvre après cette seconde attaque suffiront à empêcher un troisième incident similaire dans les années à venir, ou si la persistance démontrée par Lazarus sur cette cible précise, combinée à l'ampleur des sommes en jeu pour le régime nord-coréen, rend une nouvelle tentative statistiquement probable à un horizon que l'histoire récente de la plateforme ne permet plus d'ignorer.
Sources documentaires
- CoinDesk — South Korea Suspects North Korea-Linked Lazarus Behind $36M Upbit Hack.
- The Korea Herald — Authorities suspect North Korea behind W45b Upbit hack.
- The Record from Recorded Future News — Officials accuse North Korea's Lazarus of $30 million theft from crypto exchange.
- UPI — N. Korean hacking group Lazarus suspected behind recent crypto hacking.
National Intelligence Service
Le service sud-coréen chargé, entre autres missions, de suivre les activités financières nord-coréennes.
Lire l'analyseCorée du Nord et renseignement sud-coréen
Un autre volet de la relation de renseignement singulière entre les deux Corées.
Lire l'analyseDefence Intelligence Corée du Sud
Le renseignement militaire sud-coréen, également concerné par le financement des programmes nord-coréens.
Lire l'analyseGroupe Lazarus
Le groupe de piratage nord-coréen à l'origine des deux vols visant Upbit.
Lire l'analyseCluster Chine
Le dossier Chine relie sécurité intérieure, cyberespionnage, Front uni et collecte technologique au service de la puissance d'État.
ComparerCluster États-Unis
Le dossier États-Unis éclaire la communauté du renseignement, ses moyens techniques, ses contrôles et ses rivalités bureaucratiques.
ComparerCluster Russie
Le dossier Russie distingue FSB, SVR, GRU, influence et action clandestine dans la stratégie de puissance de Moscou.
ComparerCluster Iran
Le dossier Iran analyse les services, les Gardiens de la révolution et les réseaux régionaux dans leur environnement politique.
Comparer
Analyste en géopolitique, anthropologie politique et relations internationales.