Le vol de cryptomonnaies est devenu depuis plusieurs années l’une des principales sources de devises du régime nord-coréen. Le département de la Justice américain a annoncé le 12 novembre 2026 avoir démantelé FaceStealer, une campagne de faux appels vidéo qui a rapporté à des pirates nord-coréens plus de 400 millions de dollars en cryptomonnaies en l’espace de dix-huit mois.
Comment fonctionnent les faux appels vidéo de FaceStealer
Le scénario décrit par le FBI commence par un message envoyé depuis un compte authentique sur Telegram, LinkedIn, Slack ou Discord, volé lors d’une attaque précédente. Les pirates s’en servent pour inviter la cible à une réunion en ligne. Le lien mène vers une imitation de Zoom, de Microsoft Teams ou de Google Meet. La victime y voit apparaître une vidéo préenregistrée d’une personne qu’elle connaît, filmée à son insu lors d’un piège antérieur.
Pour rendre l’échange plus crédible, les attaquants ajoutent parfois d’autres faux participants, voire des hypertrucages (des vidéos générées par intelligence artificielle qui imitent le visage et la voix d’une personne réelle) représentant des figures connues du secteur des cryptomonnaies. Arrive ensuite le prétexte technique, toujours le même : un message affirme que le son de la cible ne passe pas et lui propose une correction, sous la forme d’un script à lancer ou de commandes à coller dans un terminal.
Cette prétendue réparation installe en réalité un logiciel malveillant qui enregistre les frappes au clavier, capture l’écran et donne aux pirates un accès durable à la machine. Cet accès leur sert ensuite à vider des portefeuilles de cryptomonnaies, à prendre le contrôle de comptes et à récupérer des listes de contacts pour trouver de nouvelles cibles. Certains vols ont été commis plus d’un an après l’infection initiale, signe que l’accès obtenu peut rester exploité très longtemps.
Plus de 900 vidéos de victimes saisies par le FBI
En vertu d’un mandat fédéral, le FBI a saisi l’infrastructure cloud utilisée par la campagne, dont plus de 900 enregistrements de webcam. Chaque réunion piégée filmait en effet la nouvelle victime afin de réutiliser ces images contre ses propres contacts. Le département de la Justice attribue l’opération à plusieurs groupes rattachés à Pyongyang et suivis sous les noms d’APT38, BlueNoroff et Sapphire Sleet, entre autres.
Des chercheurs en sécurité ont recensé plus de 677 cibles réparties dans 58 pays, parmi lesquelles des détenteurs de cryptomonnaies mais aussi, de plus en plus, des développeurs de logiciels libres. Leur poste de travail peut servir de porte d’entrée vers des milliers d’utilisateurs. L’ordinateur d’un développeur chargé d’un logiciel très répandu a ainsi été compromis et du code malveillant a été glissé dans son projet, une manœuvre repérée et stoppée avant qu’elle ne se diffuse largement.
Les responsables du FBI à Los Angeles ont reconnu qu’aucun correctif ne peut bloquer une attaque qui repose entièrement sur la manipulation psychologique, et ont prévenu que la méthode s’étend déjà au partage de documents, aux demandes de vérification d’identité et à d’autres échanges professionnels.
Plus de 400 millions de dollars volés en dix-huit mois grâce à de faux appels vidéo, et plus de 900 enregistrements de victimes saisis par le FBI.
Une offensive parallèle sur le butin de Binance
Le département de la Justice a obtenu dans le même temps l’autorisation judiciaire de saisir ou de bloquer plus de 1,2 milliard de dollars issus du piratage record de Binance du 29 octobre 2026, attribué au groupe nord-coréen TraderTraitor, qui avait emporté environ 6,3 milliards de dollars. Au total, plus de 2,7 milliards de dollars ont été gelés par les autorités et par des acteurs privés, ce montant incluant le 1,2 milliard visé par la justice. Les pirates fractionnent le reste vers des réseaux de blanchiment pour compliquer sa récupération.
Les enquêteurs américains estiment que les deux campagnes ont vraisemblablement été menées par des équipes nord-coréennes distinctes. Pyongyang a nié toute implication dans l’attaque contre Binance et a qualifié l’accusation de grave provocation politique. La plateforme affirme de son côté avoir couvert l’intégralité des pertes sur ses fonds propres et rouvre progressivement les retraits.
Un pilier du financement de Pyongyang
Avant même l’attaque contre Binance, les pirates liés à la Corée du Nord avaient dérobé environ 643 millions de dollars au premier semestre 2026 selon une société d’analyse de la blockchain, soit près des deux tiers des vols de cryptomonnaies recensés dans le monde. À titre de comparaison, le piratage de la plateforme Bybit, également imputé à Pyongyang, avait coûté environ 1,5 milliard de dollars en février 2025.
Un groupe d’experts des Nations unies estimait en 2024 que ces activités informatiques illicites finançaient environ 40% des programmes d’armes de destruction massive du pays. S’y ajoutent les faux informaticiens embauchés à distance par des entreprises occidentales. Washington a démantelé en octobre un réseau de ce type qui touchait plus de 70 entreprises américaines, avec deux arrestations et la saisie d’environ 187 ordinateurs, après des sanctions visant dix personnes et une entité le 28 octobre.
Les vols de cryptomonnaies n’épargnent pas les acteurs français, comme l’a montré début novembre le détournement de plus de 133 millions de dollars au Crédit Mutuel Arkéa. Pour les fonds saisis par la justice américaine, une éventuelle restitution passera par des procédures judiciaires chargées d’établir leurs propriétaires. Leur calendrier n’a pas encore été fixé.
