Crypto : Les hackers d'État font grimper les attaques on-chain de 420% selon Chainalysis

Pendant que tout le monde regarde le prix des crypto, des hackers d’État planquent minutieusement leurs instructions de piratage directement dans la blockchain. Selon un rapport de Chainalysis publié ce 17 septembre, le nombre de fois où des attaquants ont stocké des instructions malveillantes ou des informations d’infrastructure sur des blockchains publiques a grimpé de 420% en douze mois ! Et comme par hasard, les acteurs étatiques comme la Corée du Nord et l’Iran sont en tête.

Crypto : un groupe Nord-coréen change trois fois de blockchain avant de livrer son malware

Chainalysis a réussi à relier une activité jusque-là non attribuée, répartie sur Tron, Aptos et BNB Smart Chain, à UNC5342. Il s’agit d’un groupe nord-coréen suivi par Google Threat Intelligence. Le mode opératoire est presque élégant mais dans le genre tordu : 

• Des pointeurs encodés dans des transactions crypto Tron et Aptos redirigent les appareils infectés vers la même transaction BSC ;
• Tron sert alors de route principale, Aptos de plan B si la première échoue ;
• Cette transaction BSC contient des adresses de serveurs chiffrées et des données de configuration. Ceux-ci relient donc les machines compromises à une infrastructure offchain dédiée à l’accès distant et au vol de données.

Tout peut mal se passer dans une blockchain, sauf les instructions. Et c’est pourquoi elles restent accessibles tant que la chaîne tourne. C’est le même principe que l’EtherHiding utilisé par des hackers nord-coréens en 2025 pour planquer du code voleur de cryptos dans des smart contracts. On appelle ça un « dead drop » numérique. Pour ceux qui s’en rappellent, les espions de la Guerre froide planquaient des micro-films sous des bancs publics ; ceux-là planquent leurs adresses serveur dans une transaction Tron à juste 0,001 dollar.

L’IA chinoise dans la boucle et Téhéran qui squatte l’adresse bitcoin de Satoshi

Chainalysis pousse le constat plus loin car les écritures malveillantes ont bondi de 440% depuis juillet 2025, date à laquelle des modèles d’IA open source chinois à haute capacité sont devenus capables de produire du code malveillant avec peu de garde-fous. Eric Jardine, responsable de la recherche sur la cybercriminalité chez Chainalysis, parle d’une « association nette dans le temps ». Le tout, en reconnaissant l’impossibilité de prouver que les auteurs de ces transactions crypto ont réellement utilisé ces modèles d’IA pour industrialiser leur production. Une façon terre à terre de dire qu’il n’y a pas de preuves malgré les soupçons.

Côté iranien, l’histoire est presque plus étrange car des acteurs suspectés d’être liés au ministère du Renseignement iranien écrivent des données de routage « command-and-control » directement sur la blockchain Bitcoin. Et pour leur point de rendez-vous public, ils ont choisi une adresse historiquement liée à Satoshi Nakamoto. Sans aucun lien réel avec les attaquants, il sert juste de repère public que tous les appareils infectés peuvent consulter. Il suffit ensuite de publier une nouvelle transaction Bitcoin pour changer d’infrastructure. Les machines infectées récupèrent automatiquement les nouvelles instructions crypto, puis l’opération repart offchain pour l’accès distant, le vol d’identifiants ou la livraison d’autres charges malveillantes.

Wall Street prédit 500 000 dollars pour le bitcoin d’ici 2030

Il y a quelque chose d’assez cocasse dans le timing. Car Au moment même où Chainalysis documente comment des services de renseignement des États transforment le bitcoin et les blockchains publiques en infrastructure d’espionnage durable, Ric Edelman, fondateur d’une société de gestion d’actifs pesant 337 milliards de dollars, prédit en direct sur X que le bitcoin atteindra 500 000 dollars d’ici 2030 ! Ajoutant même que sa prévision est plutôt basse comparée à beaucoup d’autres.

Deux récits pour une seule blockchain. D’un côté, la couche technique qui sert de PLC à des hackers nord-coréens et iraniens. De l’autre, la couche narrative qui vend du rêve à sept chiffres. Les deux tournent sur le même réseau crypto, au même moment, et c’est bien ça, le vrai sujet. L’infrastructure qui porte la valorisation est aussi celle qu’exploitent des États pour espionner. Un détail que les thread Twitter sur le prochain ATH du BTC oublient systématiquement de mentionner.

Que retenir des attaques on-chain orchestrées par des hackers crypto des États ?

• Les attaques malveillantes on-chain ont progressé de 420% en un an, avec les acteurs des États à l’origine de 51% de l’activité au deuxième trimestre 2026, contre moins de 10% un an plus tôt.
• La Corée du Nord (UNC5342) fait transiter ses instructions par Tron, Aptos puis BNB Smart Chain pour brouiller les pistes avant de rejoindre son infrastructure offchain.
• L’Iran est suspecté d’utiliser le bitcoin et une adresse liée à Satoshi Nakamoto comme point de repère public pour mettre à jour ses instructions d’attaque.
• La hausse de 440% des attaques malveillantes depuis juillet 2025 coïncide avec l’essor de modèles d’IA chinois open source.

À la base, la blockchain a été pensée pour être infalsifiable et permanente. Deux qualités qu’apprécient aussi bien les partisans du « number go up » que les services de renseignement des États nord-coréens et iraniens. Personne n’avait vraiment prévu ce deuxième public mais au milieu de tout cela, le bitcoin a désormais un objectif à 500 000 dollars.