Deux semaines après le casse, la contre-attaque. Le ministère américain de la Justice a annoncé jeudi 12 novembre deux opérations coordonnées contre les hackers de Pyongyang.
La première vise directement le piratage de Binance du 29 octobre : un tribunal fédéral autorise la saisie de plus de 1,2 milliard de dollars de fonds volés. La seconde démantèle l’infrastructure cloud de FaceStealer, une campagne d’arnaque aux faux appels vidéo qui a rapporté plus de 400 millions de dollars en dix-huit mois à la Corée du Nord. Dans les deux cas, le FBI pointe la même constellation de hackers.
L’argent n’est pas encore rendu, mais il ne bougera plus. Le communiqué du DOJ parle de « saisie et de blocage » de plus de 1,2 milliard de dollars d’actifs volés à Binance « vers le 29 octobre ». Cette somme fait partie des 2,7 milliards déjà gelés par les autorités américaines et le secteur privé, les deux plus gros émetteurs de stablecoins en tête. Sur un butin évalué à 6,3 milliards, il reste donc environ 3,6 milliards dans la nature.
Le FBI attribue l’attaque à TraderTraitor, l’unité liée à l’armée nord-coréenne déjà derrière le hack de Bybit en février 2025. Les enquêteurs disent continuer à suivre les fonds à travers les ponts, les mixeurs et les exchanges, et demandent aux plateformes de bloquer toute transaction issue des adresses de blanchiment répertoriées dans une alerte conjointe avec le Secret Service et l’IRS. « Le gouvernement nord-coréen finance son régime voyou et son programme d’armement illicite par le vol de cryptomonnaies », résume M. Scott Proctor, numéro deux de la division sécurité nationale du ministère.
Pour Binance, le calendrier tombe bien. L’exchange a annoncé la veille avoir fini de couvrir l’intégralité des avoirs de ses clients et publié une nouvelle preuve de réserves, deux jours après avoir coupé les ponts avec MEXC sous la pression du Trésor américain.
La seconde concerne un piège bien plus artisanal, et redoutablement efficace. Vous recevez une invitation à un appel vidéo d’un partenaire ou d’un investisseur que vous connaissez. L’interface ressemble à Zoom ou à Microsoft Teams. Votre interlocuteur apparaît à l’écran, son visage, sa voix. Puis un « problème technique » survient, et on vous demande d’installer un correctif ou de lancer une commande. Ce correctif est un malware. Il vide vos wallets et ouvre la porte à vos autres systèmes.
Le visage, lui, est faux. Selon l’alerte du FBI, les hackers rejouent des extraits de webcam enregistrés à l’insu de victimes précédentes, et de plus en plus des vidéos générées par IA. Chaque victime enrichit le carnet d’adresses et la banque d’images des attaquants, ce que le Bureau décrit comme une croissance « exponentielle » du vivier de cibles. Les agents ont saisi plus de 900 de ces vidéos et l’infrastructure cloud qui servait à les diffuser.
Le bilan chiffré donne le vertige. Plus de 400 millions de dollars volés en dix-huit mois, selon Brett Leatherman, directeur des opérations de la branche cyber du FBI. La campagne, rattachée au groupe APT38 (aussi connu sous les noms BlueNoroff ou Sapphire Sleet), ne vise pas seulement les détenteurs de crypto. Elle cible aussi les développeurs qui maintiennent des logiciels open source très répandus, avec l’idée de compromettre toute la chaîne d’approvisionnement logicielle d’un coup.
Le message adressé aux exchanges est double. D’un côté, le DOJ leur demande de bloquer les adresses listées par le FBI, une obligation de fait pour toute plateforme qui veut garder ses relations bancaires américaines. De l’autre, FaceStealer rappelle que la faille, dans le cas Binance comme ailleurs, reste humaine : l’attaque du 29 octobre était partie de l’ordinateur compromis d’un ingénieur. Un appel vidéo convaincant suffit.
Le FBI a mis en ligne une page dédiée, fbi.gov/facestealer, et recommande une règle simple aux équipes crypto : ne jamais installer un logiciel ou exécuter une commande à la demande d’un interlocuteur en visioconférence, même connu, sans vérification par un autre canal. Les 900 vidéos saisies serviront aussi à prévenir les personnes dont l’image a été utilisée.
