Groupe Lazarus : qui sont les hackers nord-coréens derrière les grands vols de cryptomonnaies

Le groupe Lazarus désigne un ensemble d'unités de piratage rattachées à l'État nord-coréen. Le nom vient de l'industrie privée de la cybersécurité, qui l'emploie pour regrouper des campagnes partageant les mêmes outils et les mêmes infrastructures. Les autorités américaines et britanniques l'ont repris à leur compte dans plusieurs attributions officielles. Le groupe est associé à certaines des cyberattaques les plus coûteuses de la dernière décennie, du piratage de Sony Pictures au vol de 620 millions de dollars sur le pont Ronin.

Une émanation du renseignement militaire nord-coréen

Le 13 septembre 2019, le Trésor américain a placé sous sanctions trois groupes de pirates, Lazarus Group, Bluenoroff et Andariel, en les qualifiant d'entités contrôlées par le gouvernement de la Corée du Nord. Selon le communiqué du Trésor, Lazarus a été créé par le gouvernement nord-coréen dès 2007. Il dépend du 110e centre de recherche, rattaché au 3e bureau du Reconnaissance General Bureau (RGB), le principal service de renseignement du pays.

Le RGB est lui-même sanctionné par les États-Unis depuis janvier 2015 et par les Nations unies depuis mars 2016, toujours selon le Trésor. Les cibles de Lazarus listées dans ce document couvrent un large spectre : administrations, armées, institutions financières, industrie, médias, divertissement, transport maritime et infrastructures critiques.

Le département de la Justice emploie la même grille de lecture. Dans son acte d'accusation rendu public le 17 février 2021, il indique que ces unités du RGB sont connues dans le secteur de la cybersécurité sous plusieurs noms, dont Lazarus Group et APT38.

Bluenoroff et Andariel, deux sous-groupes spécialisés

Le Trésor décrit deux sous-groupes de Lazarus. Bluenoroff a été formé pour procurer des revenus illicites au régime, en réponse au durcissement des sanctions internationales. Les sociétés de cybersécurité l'ont repéré dès 2014. Selon les sources industrielles et de presse citées par le Trésor, il avait tenté de dérober plus de 1,1 milliard de dollars à des institutions financières en 2018.

Andariel a été observé vers 2015. Il cible surtout le gouvernement et les infrastructures de la Corée du Sud, pour collecter du renseignement et semer le désordre. Le Trésor lui attribue notamment l'intrusion, en septembre 2016, dans l'ordinateur personnel du ministre sud-coréen de la Défense alors en fonction et dans l'intranet de son ministère.

Des membres identifiés par la justice américaine

L'identité des membres reste en grande partie inconnue. La justice américaine a toutefois nommé trois personnes. Park Jin Hyok a été visé par une plainte pénale rendue publique en septembre 2018. L'acte d'accusation de février 2021 a ajouté Jon Chang Hyok et Kim Il. Selon le département de la Justice, les trois hommes appartenaient à des unités du RGB et ont été par moments postés à l'étranger par le gouvernement nord-coréen, notamment en Chine et en Russie.

Les procureurs leur reprochent d'avoir participé à un complot visant à voler ou extorquer plus de 1,3 milliard de dollars en monnaie classique et en cryptomonnaies auprès de banques et d'entreprises.

Un objectif avant tout financier et politique

Les autorités américaines relient directement l'activité du groupe aux besoins du régime. Le Trésor indique que Bluenoroff génère des revenus en partie destinés aux programmes nucléaire et balistique de la Corée du Nord. Sigal Mandelker, alors sous-secrétaire au Trésor chargée du renseignement financier, a résumé cette position lors des sanctions de 2019 :

« Treasury is taking action against North Korean hacking groups that have been perpetrating cyber attacks to support illicit weapon and missile programs. »

L'acte d'accusation de 2021 évoque aussi des motifs de représailles. Le département de la Justice y décrit des opérations menées « par vengeance ou pour un gain financier ».

Les opérations attribuées au groupe

Sony Pictures, 2014

En novembre 2014, une cyberattaque destructrice a frappé Sony Pictures Entertainment. Selon le département de la Justice, elle répondait à la sortie de « The Interview », un film mettant en scène l'assassinat fictif du dirigeant nord-coréen. Les pirates ont ensuite ciblé en décembre 2014 la chaîne de cinémas AMC Theatres, qui devait projeter le film. Le Trésor tient Lazarus pour directement responsable de l'attaque contre Sony.

La banque centrale du Bangladesh, 2016

Bluenoroff et Lazarus ont volé environ 80 millions de dollars sur le compte de la banque centrale du Bangladesh à la Réserve fédérale de New York, selon le Trésor américain. Les pirates ont émis plus de 36 demandes de virement avec des identifiants SWIFT volés, pour un total visé de 851 millions de dollars. Une faute de frappe a alerté le personnel et stoppé le reste des transferts.

WannaCry, 2017

Le rançongiciel WannaCry a touché environ 300 000 ordinateurs dans 150 pays en mai 2017, dont 48 trusts du service de santé britannique. Le 19 décembre 2017, le gouvernement britannique a déclaré que son National Cyber Security Centre jugeait « hautement probable » l'implication du groupe Lazarus. Les États-Unis, l'Australie, le Canada et la Nouvelle-Zélande ont fait la même attribution à la Corée du Nord, rappelle le Trésor, qui chiffre le coût pour le NHS à plus de 112 millions de dollars.

Plateformes crypto et faux logiciels de trading

Selon les sources industrielles et de presse citées par le Trésor, Lazarus, Bluenoroff et Andariel ont probablement dérobé environ 571 millions de dollars en cryptomonnaies à cinq plateformes asiatiques entre janvier 2017 et septembre 2018. L'acte d'accusation de 2021 cite aussi le vol de 75 millions de dollars à une société slovène en décembre 2017 et de 24,9 millions de dollars à une société indonésienne en septembre 2018.

Le département de la Justice décrit également plusieurs applications de trading de cryptomonnaies piégées, comme Celas Trade Pro, Union Crypto Trader ou CryptoNeuro Trader. Elles ouvraient une porte dérobée sur l'ordinateur des victimes. Les procureurs mentionnent enfin des campagnes d'hameçonnage ciblé contre des sous-traitants de la défense, des entreprises de l'énergie et de l'aérospatiale, ainsi que le département d'État et le département de la Défense américains.

Le pont Ronin, 2022

Le 14 avril 2022, le FBI a confirmé que Lazarus Group et APT38 étaient responsables du vol de 620 millions de dollars en ether signalé le 29 mars 2022. Ce pont relie la blockchain Ronin, utilisée par le jeu Axie Infinity, au réseau Ethereum.

Le pont Horizon d'Harmony, 2022

Le 23 janvier 2023, le FBI a confirmé que le groupe Lazarus, aussi appelé APT38, avait volé 100 millions de dollars en cryptomonnaies sur le pont Horizon de la blockchain Harmony. Le vol avait été signalé le 24 juin 2022. Le FBI a publié la liste des adresses de portefeuilles contrôlées par la Corée du Nord qui ont contenu les fonds volés.

Ce qui s'est passé depuis

Les vols de cryptomonnaies attribués à la Corée du Nord se sont poursuivis. Le 26 février 2025, le FBI a annoncé que la Corée du Nord était responsable du vol d'environ 1,5 milliard de dollars en actifs numériques sur la plateforme Bybit, commis le 21 février 2025. L'agence rattache cette opération à une activité qu'elle nomme TraderTraitor, sans employer le nom Lazarus dans cet avis.

La réponse des autorités repose sur trois leviers : l'attribution publique des attaques, les sanctions financières contre les groupes et leurs portefeuilles, et les poursuites pénales contre les membres identifiés.