Aperçu du résumé
Lazarus : L'Armée Fantôme Nord-Coréenne qui Vole des Milliards
Salut à toi ! Aujourd'hui, on va plonger dans un truc assez dingue, un peu comme un film de science-fiction, mais qui est bien réel. Imagine un pays où 25 millions de personnes n'ont jamais vu Internet. Ça te paraît fou ? C'est la Corée du Nord. Et c'est dans ce pays qu'opèrent environ 8000 hackers. Ils ne connaissent pas YouTube, n'ont jamais ouvert Google, mais depuis 10 ans, ils ont réussi à voler plus de 7 milliards de dollars. Oui, tu as bien lu : 7 milliards ! C'est plus que le PIB de certains pays. Et chaque centime volé, en gros, ça finance des ogives nucléaires. Je suis Mister Darkweb, et je vais te parler de Lazarus, cette vraie armée de hackers qui pourrait bien être en train de fouiller dans ton portefeuille numérique en ce moment même.
Le Début : Une Trouvaille Fortuite et un Signe d'Alerte
Cette histoire a commencé pour moi un peu par hasard, fin 2024. Je traînais sur des forums underground, à glaner des infos sur des combines financières en Asie du Sud-Est. Routine, quoi. Mais au milieu de plein de fichiers, j'en trouve un qui attire mon regard, sans que je sache pourquoi. Un petit document texte, écrit dans un anglais approximatif, sans titre ni signature. Dedans, une liste de portefeuilles crypto, des dates, des sommes, et à la fin, une note : "Ne touchez jamais à ces adresses. Ce ne sont pas des gens, c'est l'État." À l'époque, j'ai pas compris. J'ai pensé à de la paranoïa, une blague. J'ai gardé le fichier, puis j'ai oublié. Mais deux mois plus tard, en février 2025, un truc s'est passé qui a rendu cette phrase beaucoup moins marrante. La plus grande plateforme d'échange de cryptos au monde s'est fait vider de 155 milliards de dollars en une nuit. Pas de hack de mot de passe, pas de phishing, aucune faille du côté des victimes. Et quand le FBI a annoncé les coupables : Lazarus Group. Là, j'ai repensé à mon fichier. Je l'ai rouvert, comparé les adresses avec celles publiées par le FBI. Quatre sur cinquante-et-une correspondaient. À partir de là, j'ai commencé à creuser. Plus je creusais, plus le tableau devenait effrayant. Lazarus, ce n'est pas juste un groupe de hackers comme on l'entend d'habitude. Pas des geeks dans un garage, ni des anonymes qui veulent se faire du fric. C'est l'armée cybernétique d'un pays entier : la Corée du Nord. Le pays le plus fermé de la planète, qui nie leur existence tout en construisant sa puissance nucléaire sur leur dos. Le Département de la Justice américain décrit Lazarus comme un outil de déstabilisation de la cybersécurité mondiale et de génération de revenus illégaux, violant les sanctions internationales. Derrière cette phrase clinique, il y a une réalité qui fait froid dans le dos. Lazarus est derrière l'attaque sur Sony Pictures en 2014, le braquage de la banque centrale du Bangladesh en 2016, le virus WannaCry qui a paralysé des hôpitaux dans 150 pays en 2017, et des dizaines de vols de cryptos pour un total de plus de 7 milliards de dollars. J'ai passé des mois sur cette enquête, épluché des centaines de documents : inculpations du ministère de la Justice, rapports du FBI, analyses de sociétés comme Chainalysis et Elliptic, témoignages de transfuges nord-coréens, rapports d'experts de l'ONU, et même des discussions sur des forums underground. Plus je lisais, plus je réalisais que ce que fait Lazarus est unique. Il n'y a jamais eu rien de tel dans l'histoire. Aucun pays n'a jamais bâti son économie sur des cyberattaques. Sauf la Corée du Nord. C'est l'histoire du terrorisme d'État déguisé en cybercriminalité. D'un pays qui a transformé ses meilleurs mathématiciens en voleurs. De gens sélectionnés à l'école, entraînés comme des forces spéciales, envoyés à l'étranger pour voler des milliards sans pouvoir en garder un seul centime. Et je vais commencer par la fin, par le plus gros braquage
Le Plus Gros Braquage de l'Histoire des Cryptos : Le Hack de BYBIT
On est le 21 février 2025, un vendredi. Direction Dubaï, au siège de BYBIT, une des plus grosses plateformes d'échange de cryptos au monde. Journée normale. Opération de routine : transférer des fonds d'un portefeuille froid vers un portefeuille chaud. Une procédure que les employés ont faite des dizaines de fois. Trois signatures, plusieurs validations. Tout est conforme au protocole. Sur l'écran, l'interface habituelle de Safe Wallet, une plateforme multi-signatures utilisée par des milliers d'entreprises. La somme, l'adresse du destinataire, le bouton de confirmation. Le PDG, Ben Zhou, regarde l'écran. Tout a l'air parfait. Il clique sur "Confirmer". Deux autres employés font de même. Quarante minutes plus tard, 401 347 Ether, soit près d'un milliard et demi de dollars, ont disparu. Pas vers la mauvaise adresse, pas dans le mauvais portefeuille, pas dans le mauvais pays. Ils ont disparu, tout simplement. Ce qui est crucial à comprendre, c'est que personne n'a fait d'erreur. Le système n'a pas planté. Les mots de passe n'ont pas été volés. Les employés n'ont pas cliqué sur un lien de phishing. Ils ont fait exactement ce qu'ils devaient faire. Et c'est exactement sur ça que comptaient ceux qui étaient de l'autre côté de l'écran. Alors, qu'est-ce qui s'est passé ? Quelques jours avant l'attaque, les hackers ont compromis l'ordinateur d'un développeur de Safe Wallet – pas de BYBIT, mais de la plateforme de validation elle-même. Ils n'ont pas cassé la sécurité à la dure, ni cherché des failles dans le code. Ils sont passés par l'humain. Ingénierie sociale : un appel, un mail, une invitation à une conférence, un faux entretien. La méthode exacte reste secrète, mais selon la Safe Ecosystem Foundation, la compromission s'est faite via le poste de travail du développeur. Une fois sur sa machine, les hackers ont volé des 'session tokens' – des clés temporaires qui permettent de se connecter à un service cloud sans avoir à retaper le mot de passe. C'est comme ça qu'ils ont contourné l'authentification à deux facteurs. Ils ont calculé le timing, opéré aux mêmes heures que le développeur pour ne pas éveiller les soupçons des systèmes de monitoring. Et puis, le 19 février, deux jours avant l'attaque, ils ont modifié un seul fichier : un bout de code JavaScript responsable de l'affichage des transactions. Ce fichier est arrivé sur le serveur via le domaine officiel de Safe Wallet. Ça a marché nickel pour tous les utilisateurs, sauf un. Sauf BYBIT. Comment ça se fait que personne n'ait vu passer un milliard et demi au moment du transfert ? Ça sonne comme un mauvais scénario, mais c'est exactement comme ça que ça marche. Quand tu as l'habitude de cliquer sur "Confirmer" tous les jours et que tout se passe toujours bien, tu ne vérifies pas chaque pixel de l'écran. Ce n'est pas de la négligence, c'est la confiance dans le système que des milliers d'entreprises utilisent. Et Lazarus n'a pas cassé le système, il a cassé cette confiance. Le code modifié affichait
Financer la Programme de Missiles : L'Argent du Cyberespace
Selon les estimations d'un groupe d'experts de l'ONU dissous en 2024, jusqu'à 40% du financement des programmes nucléaires et de missiles de la Corée du Nord provient de cyber-vols. 40% ! Pas du commerce de charbon, pas de la vente d'armes, pas de l'aide des alliés, mais de cryptomonnaies volées. Ce n'est pas une hypothèse de journaliste. C'est la conclusion d'une commission internationale qui travaillait sous mandat du Conseil de Sécurité. Le milliard et demi volé sur BYBIT, ce n'est pas un crime pour le profit. C'est une ligne dans le budget d'un État qui n'existe pas officiellement. Rien qu'en 2025, selon la plateforme Chainalysis, les hackers liés à la Corée du Nord ont volé plus de 2 milliards de dollars, soit 51% de plus que l'année précédente. Au total, de 2019 à fin 2025, ça fait 6,75 milliards. C'est 76% de tous les vols de cryptomonnaies dans le monde. Trois quarts : un seul pays, un seul opérateur. La société d'analyse Elliptic, qui a enquêté sur le hack, a résumé la situation ainsi : "Lazarus Group n'est pas un groupe parrainé par l'État au sens conventionnel. Lazarus, c'est la Corée du Nord, et la Corée du Nord, c'est Lazarus. Il n'y a pas de frontière entre les hackers et le régime, pas de décalage. C'est un organisme unique." Et c'est là que commence la partie la plus sombre de cette histoire. Parce que pour comprendre comment un groupe issu de l'un des pays les plus pauvres et les plus isolés du monde a appris à voler des milliards, il faut remonter 20 ans en arrière, dans un endroit que presque personne ne connaît. Là où on sélectionne les enfants à l'école. Pas pour leurs exploits sportifs, ni pour leur talent musical, mais pour leur capacité à résoudre des problèmes mathématiques plus vite que les autres. Et où, de ces enfants, on fait des soldats qui ne prendront jamais d'arme, mais qui causeront plus de dégâts que n'importe quelle armée.
La Naissance d'une Cyber-Armée : De Kim Il-sung au Bureau 121
En 1996, Kim Jong-il, alors dirigeant de la Corée du Nord, visite la ligne de front militaire. Selon des témoignages conservés dans des rapports du renseignement sud-coréen, il aurait prononcé une phrase qui a défini les 30 années suivantes de l'histoire de son pays : "Toutes les guerres du futur seront des guerres informatiques." 1996. Internet n'existait quasiment pas encore. La plupart des gens sur la planète ignoraient ce qu'était un e-mail, et l'homme qui dirigeait l'un des pays les plus pauvres du monde avait déjà compris que le clavier était plus dangereux qu'un char. Plus tard, dans les années 2000, il s'est exprimé encore plus fort. D'après des chercheurs de l'organisation C4ADS, qui citent des documents du renseignement sud-coréen, Kim Jong-il aurait déclaré que les cyberattaques, c'était comme des bombes atomiques. "La guerre est gagnée par celui qui, en temps de paix, obtient le plus d'accès aux informations militaro-techniques de l'ennemi." Il ne plaisantait pas, il construisait une armée. En 1998, le Bureau 121 est créé – une unité de cyber-guerre au sein du Département principal du renseignement (GRU). Ce n'est pas l'équivalent d'un service informatique. C'est une structure militaire à part entière, rattachée au Troisième Bureau technique de surveillance – l'organe principal en charge de toutes les cyber-opérations de la RPDC. Les premières estimations parlaient d'environ 1800 spécialistes au Bureau 121. En 2014, l'agence sud-coréenne NIS a augmenté ce chiffre à 5900. Aujourd'hui, selon le Wall Street Journal, on parle de 8000 hackers à plein temps, organisés en unités militaires. Mais d'où viennent les hackers dans un pays sans Internet ? La réponse est simple et terrifiante. On les élève depuis l'enfance. Partout en Corée du Nord, il existe un système de sélection mis en place dans les années 90. Dans les collèges et lycées pour surdoués, on installe des ordinateurs. D'après des transfuges, il y a encore peu, c'étaient des machines de niveau Pentium 4. Les professeurs repèrent les enfants avec des capacités mathématiques exceptionnelles. Les meilleurs sont envoyés dans des universités spécialisées. La principale est le Collège Mirim, aussi appelé Université d'Automatisation de Pyongyang. Chaque année, il forme environ 100 hackers. Chang Se-yul, un transfuge qui a étudié à Mirim avant de fuir en Corée du Sud, a raconté à quoi ressemblait le cursus : six cours de 90 minutes par jour. Langages de programmation de C à l'assembleur, systèmes d'exploitation Linux et Windows. Une quantité énorme de temps était consacrée à l'analyse de l'architecture de Microsoft Windows : comment elle fonctionne, où sont les failles, comment y pénétrer. Cinq ans de formation, sans week-ends au sens habituel, sans Internet libre, juste l'étude et la pratique. À côté de Mirim, il y a l'Université Kim Il-sung, l'Université technologique Kim Ch'aek et l'Université de Morambong. C'est là qu'on envoie les plus doués. Kim Hyung-gwan, ancien professeur
L'Attaque sur Sony Pictures : Vengeance pour une Comédie
Le matin du 24 novembre 2014 est gravé à jamais dans la mémoire des employés de Sony Pictures Entertainment. Ils sont arrivés au travail et ont découvert que leurs ordinateurs étaient morts. Sur les écrans : une image de squelette rouge et un message du groupe se faisant appeler Guardians of Peace ("Gardiens de la Paix"). Le message était simple : "Nous avons tout pris. Si vous ne répondez pas à nos exigences, nous publierons tout ça." Ce n'était pas une exagération. Les hackers étaient présents dans le réseau de Sony depuis au moins 2 mois, voire un an selon certaines sources. Pendant ce temps, ils ont copié plus de 100 To de données : e-mails internes de la direction, documents financiers, données personnelles des employés (numéros de sécurité sociale, dossiers médicaux, salaires), films pas encore sortis, scénarios de futurs projets. Puis, ils ont activé un logiciel malveillant qui a détruit environ 70% de l'infrastructure serveur de l'entreprise. Les disques durs ont été réécrits, les enregistrements de démarrage effacés, les ordinateurs transformés en "briques". La raison : une comédie. Le film "The Interview" avec Seth Rogen et James Franco. Une satire où deux journali