Hackers nord-coréens et IA : Zerion perd 100 000$ en social engineering

Zerion vient de publier son post-mortem. Résultat : 100 000 dollars volés depuis ses hot wallets par des hackers affiliés à la Corée du Nord, grâce à une attaque de social engineering dopée à l'IA. Les fonds des utilisateurs n'ont pas été touchés, et l'application web a été désactivée par précaution le temps de l'investigation.

Concrètement, les attaquants ont réussi à s'emparer de sessions actives de membres de l'équipe, de leurs identifiants de connexion, ainsi que des clés privées des wallets internes de la société. Pas de faille dans un smart contract, pas de bug de protocole. Juste de la manipulation humaine, perfectionnée par des outils d'intelligence artificielle.

Ce n'est pas un cas isolé. C'est le deuxième incident de ce type ce mois-ci. Le protocole DeFi Drift a lui aussi été frappé début mai : 280 millions de dollars envolés dans ce que les enquêteurs ont qualifié d'« opération de renseignement structurée » menée par des acteurs liés au régime de Pyongyang.

Le groupe derrière ces attaques s'appelle UNC1069. La Security Alliance (SEAL) a tracké et bloqué 164 domaines liés à ce groupe sur une fenêtre de deux mois, entre février et avril. Leur mode opératoire : des campagnes de plusieurs semaines, basse pression, menées sur Telegram, LinkedIn et Slack. Ils usurpent l'identité de contacts connus, de marques crédibles, ou exploitent des comptes déjà compromis pour créer une illusion de confiance.

La division cybersécurité de Google, Mandiant, a documenté dès février l'utilisation de fausses réunions Zoom et de l'IA pour manipuler des images et vidéos en temps réel lors des phases de contact. Le visage que vous voyez dans la caméra n'est peut-être pas celui de votre interlocuteur.

Taylor Monahan, développeuse chez MetaMask et chercheuse en sécurité, a rappelé ce mois-ci que des travailleurs IT nord-coréens s'infiltrent dans des entreprises crypto et des projets DeFi depuis au moins sept ans. Pas comme pirates extérieurs : comme employés.

La firme Elliptic résume le problème clairement : la menace ne vise plus seulement les exchanges. Développeurs indépendants, contributeurs de projets, toute personne ayant accès à une infrastructure crypto est une cible potentielle. L'IA accélère simplement la capacité des attaquants à identifier, cibler et convaincre.

Ce que ça change : L'ère où un audit de smart contract suffisait à dormir tranquille est révolue. Le maillon faible, c'est l'humain. Les équipes crypto doivent traiter la sécurité opérationnelle comme une priorité au même titre que le code — vérification stricte des identités, sessions compartimentées, formation continue. Sinon, peu importe la solidité de votre protocole : un faux recruteur sur LinkedIn peut tout faire tomber.