Les groupes de piratage nord-coréens visent la crypto depuis des années. L’exploit de Ronin Bridge 2022 à 625 millions de dollars a été un réveil précoce, mais la menace n’a fait qu’évoluer.
Rien qu’en 2025, les attaquants affiliés à la Corée du Nord ont été liés à une série de campagnes conçues pour siphonner la valeur et compromettre les acteurs clés de WEB3: ils ont ciblé 1,5 milliard de dollars d’actifs à Bybit par le biais de campagnes de récolte des références, avec des millions déjà lavés. Ils ont lancé des attaques de logiciels malveillants contre les utilisateurs de Metamask et Trust Wallet, ont tenté d’infiltrer les échanges via de faux candidats et de configurer des sociétés Shell aux États-Unis pour cibler les développeurs de Crypto.
Et tandis que les titres se concentrent souvent sur les vols à grande échelle, la réalité est plus simple et plus accablante. La couche la plus faible de Web3 n’est pas des contrats intelligents, mais des humains.
Les attaquants de l’État-nation n’ont plus besoin de trouver des jours zéro dans la solidité. Ils ciblent les vulnérabilités opérationnelles des équipes décentralisées: une mauvaise gestion clé, des processus d’intégration inexistants, des contributeurs non évalués poussant le code des ordinateurs portables personnels et la gouvernance du Trésor menée via des sondages discords. Pour tous les discours de notre industrie sur la résilience et la résistance à la censure, de nombreux protocoles restent des cibles douces pour les adversaires sérieux.
Chez Oak Security, où nous avons effectué plus de 600 audits dans les principaux écosystèmes, nous voyons constamment cet écart: les équipes investissent massivement dans des audits de contrats intelligents mais ignorent la sécurité opérationnelle de base (OPSEC). Le résultat est prévisible. Des processus de sécurité inadéquats entraînent des comptes de contributeurs compromis, une capture de gouvernance et des pertes évitables.
L’illusion du contrat intelligent: code sécurisé, équipes non sécurisées
Pour tout l’argent et les talents afflués dans la sécurité des contrats intelligents, la plupart des projets Defi échouent toujours les bases de la sécurité opérationnelle. L’hypothèse semble être que si le code a réussi un audit, le protocole est sûr. Cette croyance n’est pas seulement naïve – elle est dangereuse.
La réalité est que les exploits de contrats intelligents ne sont plus la méthode d’attaque préférée. C’est plus facile – et souvent plus efficace – pour poursuivre les personnes qui dirigent le système. De nombreuses équipes Defi n’ont pas de pistes de sécurité dédiées, choisissant de gérer d’énormes bons du Trésor sans personne qui est officiellement responsable de l’OPSEC. Cela seul devrait être préoccupant.
Surtout, les échecs de l’OPSEC ne se limitent pas aux attaques de groupes parrainés par l’État. En mai 2025, Coinbase a révélé qu’un agent d’assistance à l’étranger – bribe par les cybercriminels – a illustré les données des clients, déclenchant une réparation de 180 à 400 millions de dollars et des limbes de rançon. Les acteurs malveillants ont fait des tentatives similaires sur Binance et Kraken. Ces incidents n’étaient pas motivés par des erreurs de codage – elles ont été portées par la corruption d’initiés et les échecs humains de première ligne.
Les vulnérabilités sont systémiques. Dans l’ensemble de l’industrie, les contributeurs sont généralement intégrés via la discorde ou le télégramme, sans vérification d’identité, sans provisioning structuré et sans dispositifs vérifiablement sécurisés. Les modifications de code sont souvent poussées à partir d’ordinateurs portables non évalués, avec peu ou pas de sécurité de point final ou de gestion des clés. Les discussions de gouvernance sensibles se déroulent dans des outils non garantis comme Google Docs et la notion, sans sentiers d’audit, cryptage ou contrôles d’accès appropriés. Et quand quelque chose va inévitablement mal, la plupart des équipes n’ont pas de plan de réponse, pas de commandant d’incident désigné et pas de protocole de communication structuré – juste le chaos.
Ce n’est pas une décentralisation. C’est une négligence opérationnelle. Il y a des DAO qui géraient 500 millions de dollars qui échoueraient à un audit OPSEC de base. Il y a des bons du Trésor gardés par les forums de gouvernance, les sondages de discorde et les multisigs du week-end – invitations ouvertes pour les mauvais acteurs. Jusqu’à ce que la sécurité soit traitée comme une responsabilité complète – de la gestion clé à l’intégration des contributeurs – WAB3 continuera de fuir la valeur à travers ses couches les plus douces.
Ce que Defi peut apprendre de la culture de sécurité Tradfi
Les institutions TRADFI sont des cibles fréquentes d’attaques des pirates nord-coréens et au-delà – et, par conséquent, les banques et les sociétés de paiement perdent des millions chaque année. Mais il est rare de voir une institution financière traditionnelle s’effondrer, ou même de faire une pause, face à une cyberattaque. Ces organisations opèrent en supposant que les attaques sont inévitables. Ils conçoivent des défenses en couches qui réduisent la probabilité d’attaques et minimisent les dommages lorsque les exploits se produisent, entraînés par une culture de vigilance constante qui manque encore en grande partie.
Dans une banque, les employés n’accèdent pas aux systèmes de trading à partir d’ordinateurs portables personnels. Les appareils sont durcis et surveillés en continu. Les contrôles d’accès et la ségrégation des tâches garantissent qu’aucun employé ne peut déplacer unilatéralement des fonds ou déployer du code de production. Les processus d’intégration et de conduite sont structurés; Des titres de compétences sont délivrés et révoqués avec soin. Et quand quelque chose ne va pas, la réponse aux incidents est coordonnée, pratiquée et documentée – pas improvisée dans la discorde.
Web3 doit adopter une maturité similaire, mais adaptée aux réalités des équipes décentralisées.
Cela commence par l’application des livres de jeu OPSEC dès le premier jour, exécutant des simulations en équipe rouge qui testent le phishing, le compromis d’infrastructure et la capture de gouvernance – pas seulement les audits de contrat intelligents – et l’utilisation de portefeuilles multi-signatures soutenus par des portefeuilles matériels individuels ou la gestion du trésor. Les équipes devraient vérifier les contributeurs et effectuer des vérifications des antécédents sur toute personne ayant accès à des systèmes de production ou à des contrôles de trésorerie – même dans les équipes qui se considèrent pleinement «décentralisées».
Certains projets commencent à diriger ici, investissant dans des programmes de sécurité structurés et des outils de qualité d’entreprise pour la gestion des clés. D’autres tirent parti de l’outillage des opérations de sécurité avancé (SECOPS) et des consultants en sécurité dédiés. Mais ces pratiques restent l’exception, pas la norme.
La décentralisation n’est pas une excuse pour la négligence
Il est temps de faire face à la vraie raison pour laquelle de nombreuses équipes Web3 sont à la traîne de la sécurité opérationnelle: il est difficile de mettre en œuvre dans des organisations décentralisées et distribuées à l’échelle mondiale. Les budgets sont serrés, les contributeurs sont transitoires et la résistance culturelle aux principes de la cybersécurité, qui sont souvent mal perçues comme une «centralisation», reste forte.
Mais la décentralisation n’est pas une excuse pour la négligence. Les adversaires de l’État-nation comprennent cet écosystème. Ils sont déjà à l’intérieur des portes. Et l’économie mondiale dépend de plus en plus des infrastructures en chaîne. Les plates-formes Web3 doivent de toute urgence utiliser et respecter les pratiques de cybersécurité disciplinées, ou risquer de devenir un flux de financement permanent pour les pirates et les escrocs cherchant à les saper.
Le code seul ne nous défendra pas. La culture sera.