Corée du Nord : 9,6 milliards de dollars volés en crypto depuis 2019, Binance en pèse les deux tiers

Le vol de 6,4 milliards de dollars subi par Binance le 29 octobre 2026 fait passer le cumul des hacks attribués à la Corée du Nord depuis 2019 à environ 9,6 milliards de dollars. L'opération d'un seul jour pèse donc deux tiers du total sur six ans. La compilation est publiée par unfolded.io à partir des données Chainalysis, DefiLlama, du FBI et de plusieurs cabinets de sécurité ; la synthèse est reprise par Journal du Coin. Les rapports primaires de Chainalysis (blog) et TRM Labs (blog) attribuent le vol Binance au groupe TraderTraitor, sous-unité de Lazarus.

Ce qui a été volé

Le cumul 9,6 Md$ rassemble les détournements documentés attribués à la Corée du Nord depuis 2019. Hors Binance, le total ressort à environ 3,2 milliards de dollars sur six ans. Les étapes marquantes recensées par unfolded :

• Upbit, 2019 : 49 M$
• Ronin (Axie Infinity), 2022 : 624 M$
• Harmony, 2022 : montant non précisé par l'article
• Atomic Wallet, 2023 : montant non précisé par l'article
• Bybit, février 2025 : 1,4 Md$ (source DefiLlama)
• Drift, 2026 : 295 M$ (unfolded suggère une unité nord-coréenne distincte)
• Kelp DAO, 2026 : 293 M$
• Bitget, septembre 2026 : 387 M$
• Binance, 29 octobre 2026 : 6,4 Md$ (Chainalysis), 6,36 Md$ (TRM Labs), 6,3 Md$ (Binance)

Pour comparaison, Journal du Coin rappelle que les neuf plus gros hacks crypto cumulés avoisinent 5,4 Md$ — l'opération Binance les dépasse d'un milliard, à elle seule.

Attribution — ce qui est confirmé, ce qui ne l'est pas

L'attribution converge, mais avec des réserves à préciser pour chaque source :

• Chainalysis attribue le hack à TraderTraitor sur la base d'un mélange on-chain avec les fonds Bitget (septembre 2026) ; la publication est datée du 30 octobre, 00h30 ET.
• TRM Labs parvient à la même conclusion avec « haute confiance ».
• Elliptic parle d'une attribution « probable », notant que le recoupement avec Bitget ne couvre qu'environ 39 000 $ de flux communs — un indice ténu si on l'isole.
• Le FBI, l'USSS et l'IRS-CI ont publié un avis conjoint le 31 octobre confirmant formellement l'attribution à TraderTraitor et appelant les opérateurs THORNode, les fournisseurs RPC, les exchanges instantanés et les services DeFi à bloquer les adresses listées (voir notre couverture : attribution formelle FBI).

Pour les volumes antérieurs du cumul 9,6 Md$, les attributions restent celles établies par Chainalysis et le Trésor américain : la plupart des gros vols (Ronin, Harmony, Atomic Wallet, Bybit) ont fait l'objet d'une désignation OFAC ou d'un PSA FBI/IC3 à l'époque. Les cas 2026 — Drift, Kelp DAO, Bitget — reposent principalement sur Chainalysis et unfolded, sans équivalent OFAC public à ce stade.

Bloc chiffres

- Cumul vols attribués (2019 → 29 oct 2026) : 9,6 Md$
- Hors Binance                               : 3,2 Md$
- Part de Binance dans le cumul              : ~66 %
- Top 9 hacks crypto hors cumul NK           : ~5,4 Md$ (unfolded)
- Vol Binance (Chainalysis)                  : 6,4 Md$
- Vol Binance (TRM Labs)                     : 6,36 Md$
- Vol Binance (Binance)                      : 6,3 Md$
- Gel Tether                                 : ~1,77 Md USDT
- Gel Circle                                 : ~823 M USDC
- Gel total (Elliptic)                       : ~2,84 Md$ (~44 % du vol)
- Gel total (Binance)                        : ~3 Md$

Chiffres croisés entre Journal du Coin, Chainalysis, TRM Labs, Elliptic et Binance. Le total gelé diffère selon le périmètre retenu par chaque cabinet.

Impact — ce que change ce franchissement

Un seul vol qui double le cumul de six ans produit trois signaux pratiques :

1. Le facteur de risque est l'infrastructure interne, pas la cryptographie des chaînes. Chainalysis, TRM et le FBI insistent : la vulnérabilité est entrée « par un ordinateur portable », pas via une faille de smart contract Ethereum. L'exposition opérationnelle d'une plateforme centralisée domine désormais le risque chaîne.
2. La fenêtre de blanchiment se compresse. Les gels on-chain ont commencé moins d'une heure après le début du siphonnage (22h14 heure de Paris, selon Journal du Coin), et Chainalysis a identifié le premier recoupement vers 5h30 heure de Paris le 30 octobre. L'écart entre vol et attribution est passé sous les 24h sur Binance ; il était de plusieurs jours sur Ronin en 2022.
3. La politique de sanctions va s'adapter. Après l'avis FBI du 31 octobre, le point d'inflexion à surveiller est une désignation OFAC nouvelle (adresses, services instantanés, THORNode-adjacents). C'est le levier qui déplace la responsabilité juridique des intermédiaires US.

À surveiller

1. La publication d'une désignation OFAC complémentaire par le Trésor américain, qui transformerait l'avis FBI en instrument de sanctions.
2. La réponse de THORChain / THORNode à la demande explicite du FBI de bloquer les transactions liées aux adresses listées.
3. Le détail du cumul mis à jour par Chainalysis dans son prochain rapport annuel : le passage de 6,75 Md$ à ~13 Md$ (chiffre cumulé Chainalysis + Binance) rebattrait la hiérarchie des APT.
4. L'arbitrage réglementaire européen (AMF, ACPR, BCE) : la Corée du Nord n'a pas encore d'équivalent MiCA côté opérateurs d'actifs numériques — attendue dans un prochain avis conjoint des régulateurs européens.

Contexte — Nième retour sur l'infrastructure CEX

Le motif se répète : exchange centralisé, poste de travail compromis, siphonnage de hot wallet, mélange on-chain, dispersion vers des exchanges instantanés et bridges. Les précédents proches sont Bybit (février 2025, UI Safe compromise), DMM Bitcoin (mai 2024, 305 M$), WazirX (juillet 2024, 234 M$) et Atomic Wallet (juin 2023, 100 M$). Ce qui est inédit avec Binance, c'est l'échelle — un hack qui, à lui seul, suffit à doubler le cumul mondial — et la vitesse de la riposte stablecoin : les émetteurs ont bougé avant la fin de la première heure, ce qui n'avait pas eu lieu sur Ronin ni sur Bybit.