Le piratage du portefeuille chaud d'Upbit en 2019 a fait perdre 48,5 M$ en ETH — la plateforme d'échange a absorbé l'intégralité de la perte

Le 27 novembre 2019, 342 000 ETH — environ 48,5 millions de dollars au prix de l'époque — ont été transférés du portefeuille chaud Ethereum d'Upbit vers une adresse inconnue au cours d'une série de transactions anormales. La plus grande plateforme d'échange de Corée du Sud a suspendu tous les dépôts et retraits l'après-midi même et a transféré tout ce qui restait dans le stockage chaud vers des portefeuilles matériels hors ligne.

Dunamu, société mère d'Upbit, s'est publiquement engagée à couvrir intégralement les fonds volés sur les propres actifs d'Upbit. La promesse a été tenue : les clients n'ont rien perdu au-delà d'un gel d'environ deux semaines, et la plateforme d'échange, âgée de deux ans, a absorbé ce qui était alors l'un des plus importants piratages de plateforme d'échange dans le secteur des cryptomonnaies.

Le vol est resté non élucidé pendant cinq ans. En novembre 2024, l'Agence nationale de police de Corée a conclu que les unités Lazarus et Andariel de Corée du Nord avaient mené l'attaque — le premier piratage d'une plateforme d'échange de cryptomonnaies nationale officiellement attribué à la Corée du Nord — en retraçant plus de la moitié du butin, converti en bitcoin sur trois plateformes d'échange et dispersé sur 51 places dans 13 pays.

48,5 M$ en ETH volés — 58 milliards de wons à l'époque, environ 1 470 milliards de wons en 2024 ; deux semaines de dépôts et retraits gelés ; seulement 4,8 BTC jamais récupérés

Les dépôts des clients se trouvaient dans un portefeuille chaud connecté à Internet — à une clé compromise de la disparition, quelles que soient les certifications détenues par la plateforme.

La protection des utilisateurs relevait ici d'une décision de structure de capital : Dunamu pouvait payer sur des fonds d'entreprise, un choix que les plateformes d'échange à capitaux propres limités n'ont pas.

Le gel de deux semaines était le prix de la mise en commun des actifs des clients avec la trésorerie opérationnelle plutôt que d'un stockage à froid séparé.

Les cryptomonnaies volées sont pratiquement irrécupérables une fois blanchies — cinq ans de travail policier ont permis de récupérer 4,8 BTC sur 342 000 ETH.

Un bilan solide est la seule véritable assurance d'une plateforme d'échange. Upbit a pu rembourser ses utilisateurs parce que sa société mère était riche ; les plateformes d'échange faiblement capitalisées frappées de la même manière doivent geler les retraits ou faire faillite.

Les retraits ont repris au bout d'environ deux semaines, le reste de la trésorerie du portefeuille chaud ayant été transféré vers un stockage hors ligne. En septembre 2021, la cellule de renseignement financier de Corée a accepté Upbit comme première nouvelle entreprise d'actifs virtuels agréée du pays en vertu de la loi révisée sur le reporting financier, dont les nouvelles règles incluaient une certification de sécurité ISMS obligatoire. La police a clos l'affaire en novembre 2024, en attribuant la responsabilité à Lazarus et Andariel : plus de la moitié du butin a été blanchie sur 51 places dans 13 pays, et seulement 4,8 BTC (environ 600 millions de wons) ont été récupérés auprès d'une plateforme d'échange suisse et restitués.