Corée du Nord : Zerion piégé par IA, 100 000 $ volés

Ce qui s'est passé

Zerion, fournisseur d'un wallet DeFi agrégé utilisé par plusieurs millions d'adresses, a rendu public entre les 14 et 17 avril 2026 un incident de sécurité visant l'un de ses employés. Selon les éléments communiqués par l'équipe et relayés par Cointelegraph et CryptoTimes, le collaborateur a été approché via une fausse offre professionnelle, puis incité à rejoindre un faux entretien vidéo généré par intelligence artificielle, un scénario d'ingénierie sociale caractéristique du groupe nord-coréen suivi sous le nom UNC1069, alias Masan. L'exécution du prétendu correctif audio a déployé un infostealer, permettant la compromission des sessions, identifiants et clés privées associés aux wallets internes de l'entreprise. Le Zerion hack UNC1069 s'est soldé par le vol d'environ 100 000 dollars en actifs numériques appartenant à la société. Zerion affirme qu'aucun fonds ni aucune donnée utilisateur n'a été affecté, les portefeuilles clients restant non custodial.

L'équipe SEAL, spécialisée dans le tracking des acteurs nord-coréens, a relié l'opération au groupe UNC1069. Entre février et avril 2026, SEAL a suivi et bloqué 164 domaines associés à ce cluster de la République populaire démocratique de Corée, lequel conduit des campagnes d'ingénierie sociale « longues et à faible pression » sur plusieurs semaines via Telegram, LinkedIn et Slack. La spécificité de la campagne Zerion : l'usage documenté de modèles IA pour industrialiser les personas fictifs, générer des dialogues convaincants et adapter le discours en temps réel aux réponses de la cible.

Zerion insiste sur le fait que son infrastructure core et ses applications sont restées intactes, et qu'aucun fonds utilisateur n'a été affecté. Les wallets touchés étaient des hot wallets internes utilisés pour les opérations de l'entreprise. L'incident s'inscrit dans une série noire pour les acteurs crypto : la fausse application Ledger Live sur l'App Store, qui a drainé 9,5 M$ début avril, en est un autre exemple récent.

Pourquoi c'est important

L'attaque Zerion est un marqueur : pour la première fois documentée publiquement à cette échelle, un État utilise l'IA générative non pas pour créer un malware plus rapide, mais pour industrialiser la partie humaine de la kill chain. Les campagnes d'ingénierie sociale multi-semaines sur LinkedIn et Telegram, historiquement l'apanage de quelques opérateurs très qualifiés, deviennent scalables. Le rapport coût/rendement pour l'attaquant s'effondre, et la détection devient plus difficile : les indicateurs linguistiques sur lesquels reposent les programmes de sensibilisation (fautes d'orthographe, tournures maladroites) disparaissent.

Pour les entreprises crypto et fintech, l'incident rappelle que la séparation entre comptes de production et wallets opérationnels reste la barrière de dernier recours. Pour toutes les autres organisations, le signal est qu'il faut revoir les procédures de validation des transferts sensibles : une conversation crédible sur Slack ou Telegram, fût-elle continue sur plusieurs semaines, ne suffit plus à attester de l'identité de l'interlocuteur. Le passage à une validation out-of-band systématique pour tout mouvement de fonds ou de droits d'accès devient non négociable.

Ce qu'il faut retenir

• UNC1069, lié à la Corée du Nord, combine désormais IA générative et campagnes longues de social engineering pour frapper les employés.
• Zerion confirme que seuls les wallets internes ont été vidés (100 000 $), mais l'incident démontre la faisabilité à grande échelle.
• Valider toute transaction sensible via un canal out-of-band distinct : la crédibilité textuelle d'un interlocuteur n'est plus un gage d'authenticité.