Le procès de 1,5 milliard de dollars que personne ne peut percevoir

Engager une nation souveraine pour 1,5 milliard de dollars en termes de cryptomonnaies volées ressemble à une manœuvre politique efficace. Cela semble être une façon de faire respecter les règles. Cela semble être un signe que l’industrie se développe et apprend à se défendre. Mais si on examine les détails : qui possède vraiment les actifs, quelle juridiction judiciaire s’y applique, et combien de la valeur volée reste encore sur le réseau blockchain… Alors, cette action en justice ne ressemble pas du tout à une méthode pour récupérer les biens volés. C’est plutôt un signe que le vrai problème se trouve ailleurs.

La semaine dernière, Bybit a déposé une plainte civile devant le tribunal district de Columbia aux États-Unis contre la Corée du Nord, son Bureau général de reconnaissance et le groupe Lazarus. L’action en justice a également permis d’obtenir une ordonnance préliminaire visant à paralyser les actifs volés appartenant à des personnes anonymes. Le tribunal a jugé que Bybit avait une chance de réussir en termes de fondement juridique. L’équipe de relations publiques qualifie cela de…Une initiative majeure pour la récupération d’actifs cryptographiques.

Voyons ce qui s’est réellement passé.

Anatomie de l’escroque

Le 21 février 2025, le groupe Lazarus de Corée du Nord a volé environ 1,5 milliard de dollars en Ethereum depuis Bybit.Plus de 400 000 ETH et ETH en stakingIl a disparu d’un des portefeuilles froids de Bybit en quelques minutes. Le FBI a ensuite attribué l’attaque à un sous-cluster appelé “TraderTraitor”. Ils ont également publié une liste de 52 adresses Ethereum connues qui sont liées à cette opération de blanchiment d’argent.

C’est un détail important, car la plupart des articles sur les cryptomonnaies l’ignorent : Lazarus n’a pas pu accéder à Bybit. Ils n’ont pas exploité une vulnérabilité dans un contrat intelligent.Ils ont compromis Safe{Wallet}L’interface de portefeuille à signature multiple tierce utilisée par Bybit pour gérer les transferts de stockage froid.

Chaîne d’attaque :

1. Lazarus a compromis un bucket d’hébergement de fichiers JavaScript fourni par Amazon Web Services S3, destiné à l’interface Safe{Wallet}.
2. Ils ont remplacé un fichier JavaScript légitime par une version malveillante qui détecte les adresses de portefeuille spécifiques de Bybit et modifie les paramètres des transactions.
3. Lorsque les dirigeants de Bybit ont examiné ce qui semblait être une opération de transfert de données entre deux systèmes différents, l’interface compromise affichait les informations correctes, tandis que la transaction blockchain était envoyée vers les adresses contrôlées par Lazarus.
4. Le processus de validation multisecrits de Bybit – conçu pour empêcher les retraits non autorisés – a été vaincu, car tous les signataires regardaient la même interface compromise.

Les signataires ont approuvé la transaction de bonne foi. Le contrôle humain impliqué dans le processus de validation, que les institutions utilisent pour assurer la sécurité des portefeuilles froids, a été neutralisé par une attaque sur la chaîne d’approvisionnement du logiciel qui affichait la transaction. Le système de multi-signatures est aussi sûr que l’interface utilisateur qui affiche l’écran de validation.

Les mathématiques de la récupération

Le communiqué de presse de Bybit met en évidence l’action juridique concernée. Mais les chiffres qui accompagnent cet événement racontent une histoire différente.

En août 2026 – soit 18 mois après le vol – Bybit a récupéré environ 48,4 millions de dollars en biens volés. Un autre montant de 30,5 millions de dollars a été gelé dans 28 plateformes et entrepôts financiers, en attente de poursuites juridiques supplémentaires. En total, cela représente environ 79 millions de dollars recouvrés ou immobilisés sur un montant total de 1,5 milliard de dollars volés.

Cela représente 5 % qui ont été récupérés ou congelés. 95 % de la valeur volée reste encore en jeu.

Les autorités allemandes ont démantelé le marché de cryptomonnaies eXch et ont perturbé Cryptomixer.io – deux nœuds d’infrastructure de blanchiment d’argent utilisés pour traiter les fonds volés.Un cycle de blanchiment de 45 jours est la norme pour les vols importants en République populaire démocratique de Corée..

Les actifs qui peuvent être récupérés sont ceux qui se trouvent sur des exchanges centralisés qui respectent les lois américaines. Le reste a été converti en Bitcoin, transporté entre différentes réseaux, transmis via des services qui ne requièrent pas de vérification KYC. Dans de nombreux cas, il a également été converti en monnaie fiduciaire par des services OTC en Asie du Sud-Est et au Moyen-Orient. Le système de blanchiment d’argent en crypto est conçu pour atteindre précisément ce résultat.

Pourquoi le procès reste-t-il simplement un procès

La loi sur les immunités souveraines étrangères interdit en général aux tribunaux américains d’examiner des plaintes contre des gouvernements étrangers. Mais il existe des exceptions : activités commerciales, actes illégaux commis aux États-Unis, expropriation de biens en violation du droit international. La plainte de Bybit s’appuie sur ces exceptions. Le tribunal a accordé une ordonnance préliminaire, ce qui signifie que le juge a jugé que les arguments présentés étaient suffisamment crédibles pour permettre la saisie des actifs pendant la procédure judiciaire.

Mais une ordonnance préliminaire contre les personnes nommées John Doe, dont les adresses blockchain sont identifiées, n’est pas une décision concernant la Corée du Nord. Il s’agit plutôt d’une mesure de saisie des portefeuilles spécifiques, pendant que le processus juridique détermine si la compétence des tribunaux américains s’applique à un régime qui ne reconnaît pas les tribunaux américains.

Même si Bybit parvient finalement à obtenir une décision judiciaire favorable, recouvrer 1,5 milliard de dollars de la Corée du Nord n’est pas un problème d’exécution. C’est plutôt un problème de fantasme. La Corée du Nord ne possède aucs actifs dans le système financier américain qui puissent être utilisés pour satisfaire une telle demande. Le gouvernement contrôle les actifs que le groupe Lazarus a déjà volés.

La véritable fonction de cette action en justice n’est pas de obtenir des réparations. C’est plutôt un moyen de signaler aux utilisateurs, aux régulateurs et aux partenaires financiers que Bybit prend tous les moyens juridiques disponibles pour se défendre. Après une perte de 1,5 milliard de dollars, l’exchange devait prouver qu’il ne s’effondrait pas.

Le problème structurel

Le vol de Bybit a été le plus grand vol de cryptomonnaies de l’histoire. Mais ce n’est pas un cas exceptionnel. C’est plutôt un exemple typique d’une campagne organisée de manière persistante.

Selon les données de Chainalysis, les hackers nord-coréens ont volé 2,02 milliards de dollars en cryptomonnaies en 2025 – une augmentation de 51 % par rapport à l’année précédente. Le montant total des vols cumulés est d’au moins 6,75 milliards de dollars.Les acteurs liés à la RPDC représentaient 76 % de l’ensemble de la valeur des attaques informatiques causées par des compromissions dans le domaine des services, jusqu’en avril 2026..

Le modèle est une campagne, et non une série d’accidents :

La Corée du Nord a fait de la vol de cryptomonnaies un élément essentiel de son modèle de revenus nationaux. Le Conseil de sécurité des Nations Unies a constaté que les actifs numériques volés servent à financer les programmes d’armement de Pyongyang. Le Bureau général de reconnaissance dispose de unités cybersécurité spécialisées dans la manipulation des chaînes d’approvisionnement, les attaques ciblant le personnel technique, ainsi que dans la conversion rapide des cryptomonnaies volées en monnaie utilisable.

Ce n’est pas la même menace qu’une plateforme DeFi dotée d’un contrat intelligent défectueux, ou une bourse ayant des pratiques de stockage froid insuffisantes. Il s’agit d’un État qui mène des attaques persistantes financées par l’État, contre l’infrastructure de garde des cryptomonnaies. Et les attaques deviennent de plus en plus efficaces. La Corée du Nord a enregistré une augmentation de 51 % dans la valeur volée, avec moins d’incidents ; cela signifie que chaque attaque est plus importante et plus précise.

Ce qui est vraiment important

L’action en justice contre Bybit est une sorte de “théâtre” qui a un effet positif : elle exerce une pression sur les exchanges et les services de sécurité pour qu’ils gelent les actifs volés avant qu’ils ne puissent être transférés. Chaque dollar gelé par un exchange conforme constitue donc un dollar qui ne peut pas financer le programme d’armement de Pyongyang. L’ordonnance judiciaire émise par John Doe joue donc un rôle réel dans cette situation.

Mais les mécanismes qui permettent de résoudre ce problème ne passent pas par le système judiciaire de Washington. Ils passent plutôt par l’infrastructure financière dont dépendent tous les grands exchanges et les institutions financières.

Le Safe{Wallet} est utilisé par des centaines d’institutions. Le même vecteur de compromission lié au bucket S3 qui a été utilisé contre Bybit peut affecter n’importe quelle entité qui utilise la même plateforme de multi-signatures. Le vecteur d’attaque correspond à la couche d’interface entre l’approbation humaine et l’exécution sur le blockchain – c’est précisément ce point qui était protégé par les systèmes de multi-signatures. Lorsque cette interface elle-même est compromise, le processus d’approbation devient inutile.

Ethereum est actuellement en cours de négociation à 1 924 dollars. À ce prix, les plus de 400 000 ETH volés par Bybit valent 768 millions de dollars. Cependant, la valeur en dollars au moment du vol était de 1,5 milliard de dollars. L’important n’est pas le chiffre lui-même. L’important, c’est qu’une simple faille dans la chaîne d’approvisionnement ou dans l’interface de paiement utilisée par une carte de paiement largement utilisée peut permettre de voler la rémunération générée par les activités de cryptomonnaies d’un pays autorisé pendant toute une année, en une seule journée.

La question pour ceux qui détiennent ou gèrent des actifs numériques n’est pas de savoir si Bybit gagnera son procès. La question est plutôt de savoir si votre infrastructure de gestion des actifs dépend d’une interface de signature tiers, dont l’environnement de développement n’a jamais été vérifié en termes de risques liés aux chaînes d’approvisionnement.

Si c’est le cas, le groupe Lazarus sait déjà comment l’utiliser.

Quoi regarder

L’affaire Bybit se déroulera sur plusieurs années. Les ordonnances de suspension seront mises à l’épreuve, la question de l’immunité souveraine sera discutée, et les comptes gelés continueront de se vider peu à peu, au fur et à mesure que leurs détenteurs s’adaptent aux nouvelles méthodes de dissimulation. Pendant ce temps, le problème structurel continue de s’aggraver.

Le déclencheur qui change cette situation n’est pas une décision judiciaire. C’est la prochaine violation de la sécurité des données, via une interface de gestion des clés de sécurité compromise. La magnitude de la perte déterminera si l’industrie traite cela comme une priorité pour améliorer la sécurité, ou simplement comme une autre tentative de piratage malheureuse. Mon scénario de base est que, tant qu’une plateforme de trading ou un service de gestion des données plus grand que Bybit ne sera pas touché par le même attaquant, les choses resteront inchangées. Les procès continueront à se multiplier. Les taux de récupération des données ne changeront pas beaucoup. Et la Corée du Nord continuera à trouver de nouvelles cibles à compromettre.

La machine à imprimer de l’argent ne fonctionne pas à Pyongyang. Mais elle fonctionne grâce à Ethereum. Et personne ne vérifie les systèmes utilisés pour cette opération.