Crypto : comment Bybit veut récupérer son butin de 1,5 milliard $ en déclarant la guerre judiciaire à la Corée du Nord

Voir un exchange crypto attaquer un État souverain devant un tribunal américain n’arrive presque jamais. Et pourtant, c’est exactement ce que vient de faire Bybit après le braquage numérique dont la plateforme a été victime en février 2025 : près de 1,5 milliard de dollars (environ 1,4 milliard d’euros) de cryptomonnaies envolés, attribués au groupe de hackers nord-coréen Lazarus Group.

Dans une plainte civile déposée à Washington, l’exchange basé à Dubaï vise directement la République populaire démocratique de Corée, son service de renseignement Reconnaissance General Bureau (RGB) et le collectif Lazarus, tout en obtenant dans la foulée une injonction de gel sur une partie des actifs volés. Une offensive judiciaire rare qui mêle cybersécurité, diplomatie et droit des crypto-actifs, et dont les effets pourraient dépasser largement le seul cas Bybit. Reste à voir jusqu’où cette stratégie pourra aller.

Plainte civile de Bybit : la Corée du Nord, le RGB et Lazarus visés

Selon les articles spécialisés, Bybit a saisi la Cour fédérale du district de Columbia, aux États-Unis, par le biais d’une plainte civile visant la République populaire démocratique de Corée, son agence de renseignement extérieur Reconnaissance General Bureau (RGB), ainsi que le Lazarus Group, groupe de hackers soutenu par Pyongyang. La démarche est décrite comme exceptionnelle, car elle cible directement un État souverain, ses services de renseignement et un collectif criminel identifié, indépendamment des enquêtes pénales toujours en cours menées par les autorités américaines.

D’après ces mêmes sources, la cour a déjà accordé une injonction préliminaire qui interdit à des défendeurs non identifiés, qualifiés de « John Doe defendants », de transférer ou de dissiper les actifs volés qu’ils détiendraient pendant toute la durée du litige. Le tribunal estime dans sa décision que « Bybit a démontré une probabilité de succès sur le fond ». De son côté, la plateforme résume l’objectif de cette mesure en indiquant que « L’ordonnance vise à préserver les actifs numériques volés identifiés pendant que la procédure se poursuit », un premier pas concret vers la récupération des fonds alors qu’une grande partie du butin a déjà été dispersée.

Un hack record à 1,5 milliard de dollars et des fonds en partie gelés

Le piratage à l’origine de cette offensive remonte au 21 février 2025, quand le Lazarus Group a réussi à compromettre un portefeuille froid Ethereum de Bybit en manipulant l’interface utilisateur Safe UI via une combinaison d’usurpation d’adresse et de phishing ciblé, selon le récit repris par Cointribune. Les assaillants se sont emparés d’environ 401 347 ETH, 90 375 stETH, 15 000 cmETH et 8 000 mETH, pour une valeur proche de 1,5 milliard de dollars, soit environ 1,4 milliard d’euros, une attaque considérée par les magistrats comme « l’un des plus grands vols de cryptos de l’histoire ». D’après les données de Chainalysis citées par la presse, ce braquage représente l’essentiel des 2,02 milliards de dollars (environ 1,8 milliard d’euros) volés par la Corée du Nord en 2025, sur un total estimé à 6,75 milliards de dollars, soit un peu plus de 6 milliards d’euros, dérobés au fil des années par des hackers liés au régime ; ces montants seraient largement utilisés pour financer le programme d’armement nord-coréen.

Malgré ces saisies, la majorité des sommes volées a déjà été blanchie via des mixers et des ponts inter-chaînes, ce qui rend leur récupération difficile. À ce stade, environ 48,4 millions de dollars (près de 44 millions d’euros) ont été récupérés et plus de 30,5 millions de dollars (environ 28 millions d’euros) sont gelés sur plus de 28 plateformes partenaires, selon Cointribune. Ce média relève que le volume sans précédent du casse a saturé les protocoles de mixage habituels de Lazarus, contraignant les pirates à convertir de grandes quantités d’Ether en Bitcoin sur des marchés de gré à gré et laissant des traces exploitables sur la blockchain. Cette traque s’appuie sur des sociétés d’analyse on-chain et, parmis les acteurs mobilisés, au moins 28 plateformes d’échange et dépositaires, alors que Bybit rappelle que « notre objectif n’a jamais changé : protéger nos utilisateurs d’abord, récupérer ce que nous pouvons, et veiller à ce que les personnes derrière ces attaques soient tenues pour responsables », a déclaré Ben Zhou, cité par Cointribune. Le cofondateur insiste aussi sur le fait que « l’attaque de Lazarus n’était pas seulement une attaque contre Bybit. C’était une attaque contre la confiance dans notre industrie. C’est pourquoi nous avons travaillé en étroite collaboration avec les enquêteurs, les plateformes d’échange, les régulateurs, les forces de l’ordre et maintenant les tribunaux. Nous espérons que cela marque une nouvelle étape pour faire de la crypto un secteur beaucoup plus difficile pour les criminels et un écosystème beaucoup plus sûr pour tous les autres » tout en estimant que « le vrai test vient après la crise. C’est là que vous montrez si votre engagement est réel ». Selon Cryptoast, cette action en justice s’inscrit dans une stratégie plus large de l’exchange, qui dit renforcer sa crédibilité auprès des régulateurs, obtenir de nouvelles licences en Europe et se positionner dans le cadre de MiCA, alors que des articles spécialisés évoquent déjà la possibilité d’une jurisprudence, même si la Corée du Nord, sous sanctions internationales, risque d’ignorer la convocation.