Le responsable mondial de la politique et des affaires gouvernementales de TRM Labs, Ari Redbord, a caractérisé le vol de 6,3 milliards de dollars chez Binance de « cyber-guerre » et exhorté les gouvernements à mener des opérations cyber offensives contre l'infrastructure de piratage nord-coréenne, arguant que le succès sans précédent de l'industrie à geler 40 % des fonds dérobés ne dissuadera pas un régime pour lequel le vol de crypto-actifs constitue environ un tiers du PIB.
Points Clés
- Le groupe nord-coréen TraitorTrader attribué pour le piratage de 6,3 milliards $ chez Binance (intrusion de huit semaines via ingénierie sociale recruteurs et outil d'IA compromis) et celui de 1,5 milliard $ chez Bybit en février 2025.
- L'industrie a gelé ~2,67 milliards $ (40 % des fonds volés) dans une coordination sans précédent ; Tether a gelé 971,1 millions USDT en 37 minutes via le réseau Beacon de TRM.
- L'attaque équivaut à ~1/3 du PIB de la Corée du Nord et à 50 % de l'ensemble des vols crypto d'origine étatique depuis 2017 (12,5 milliards $ au total) ; Redbord argue que le gel défensif seul ne dissuade pas.
- L'Unité de criminalité financière T3 (TRM, Tron, Tether) dissoute en août 2025 pour défaillances de coordination ; Tether poursuit via Beacon.
- Redbord appelle à des opérations cyber offensives étatiques, une parité défensive par l'IA et une action contre les réseaux de blanchiment ; Fed/OCC examinent l'exposition des banques américaines.
Synthèse Exécutive d'Intelligence
Mécanique de l'attaque et attribution
Binance a dévoilé dans un post-mortem du 3 novembre que les attaquants s'étaient fait passer pour des recruteurs afin d'implanter un logiciel malveillant sur l'ordinateur professionnel d'un ingénieur, puis avaient exploité un outil interne d'IA compromis pour accéder au service de signature de portefeuilles de la plateforme. La fenêtre d'intrusion s'est étendue sur huit semaines avant l'exploitation, selon la société de sécurité blockchain SEAL. TRM Labs a attribué l'attaque à un groupe nord-coréen qu'il suit sous le nom de TraitorTrader, citant des preuves « indiscutables » tant on-chain qu'off-chain. Ce même groupe a été lié au piratage de 1,5 milliard de dollars chez Bybit en février 2025.
Redbord a noté que le vol du 29 octobre par la Corée du Nord représentait la moitié des 12,5 milliards dérobés par des pirates étatiques depuis 2017. « Même si les attaquants ne récupèrent que 1 milliard, le gain potentiel reste énorme », a-t-il déclaré. « La Corée du Nord continuera tant que cela sera efficace. »
Coordination industrielle sans précédent
La rapidité de la riposte industrielle a marqué un tournant. Tether a gelé 971,1 millions d'USDT en 37 minutes après le balayage principal. Les gels combinés des émetteurs de stablecoins ont totalisé environ 2,67 milliards de dollars, soit 40 % du montant volé. « Rien de tel n'avait jamais été fait », a affirmé Redbord. « Ils ont réussi à récupérer 40 % dès le départ. »
La coordination a été facilitée par le réseau Beacon de TRM, un système de partage de renseignements lancé en 2025. « D'ordinaire, je vois quelques alertes Beacon par jour. J'en ai vu, je ne sais pas, des centaines, voire peut-être un millier ces derniers jours », a rapporté Redbord. Le réseau a permis aux entreprises d'immobiliser les fonds avant de travailler à les saisir.
Failles structurelles et dissolution de l'unité T3
Malgré ce succès de coordination, des faiblesses structurelles persistent. Bloomberg a rapporté le 4 novembre que l'Unité de criminalité financière T3 — formée par TRM, Tron et Tether en septembre 2024 — s'est dissoute fin août 2025, des sources invoquant des réponses lentes et une mauvaise coordination. Tether a indiqué qu'elle continuerait de collaborer avec TRM via Beacon. Cette dissolution interroge sur la durabilité des partenariats public-privé sans gouvernance formelle.
Le rapport de TRM sur le déficit de capacités a constaté que l'asymétrie entre attaquants et défenseurs se creuse, portée par l'adoption précoce de technologies de pointe telles que l'IA par les pirates. Redbord a argué que les forces de l'ordre et les équipes de conformité ont besoin de capacités d'IA équivalentes pour détecter et corriger les vulnérabilités à la vitesse à laquelle les attaquants les exploitent.
Implications politiques et perspectives
« Chaque fois que la Corée du Nord pirate, nous devrions la pirater en retour », a lancé Redbord, réclamant des opérations cyber offensives et des actions contre les réseaux de blanchiment et les banques servant au retrait. La Fed et l'OCC auraient commencé à vérifier l'exposition des banques américaines suite au piratage. Un durcissement de la surveillance réglementaire sur les contrôles de hot wallets des exchanges et la gouvernance des outils d'IA internes est probable. L'attribution à TraitorTrader, si elle est confirmée par les autorités, pourrait déclencher des désignations de sanctions et isoler davantage les réseaux financiers nord-coréens.
