Pendant sept mois, le régulateur financier sud-coréen n'a rien dit. Il exige désormais des explications de la maison mère d'Upbit. La Financial Supervisory Service (FSS) a envoyé à Dunamu une notification officielle ouvrant une procédure de sanction, près de huit mois après que des pirates ont vidé environ 44,5 milliards de wons, soit près de 30 millions de dollars, en actifs basés sur Solana depuis le portefeuille chaud d'Upbit.
Le piratage s'est produit dans la nuit du 27 novembre 2025 et n'a duré que 54 minutes. Le groupe nord-coréen Lazarus est soupçonné, sans jamais avoir été confirmé officiellement. Dunamu a couvert l'essentiel des pertes, environ 38,6 milliards de wons, avec ses propres réserves, et a réussi à geler entre 2,3 et 2,6 milliards de wons de fonds volés. Mais le coup le plus dur pour sa réputation est venu du timing : Upbit n'a révélé le piratage qu'après avoir bouclé, le même jour, l'annonce de sa fusion avec Naver Financial, une séquence que régulateurs et utilisateurs ont interprétée comme une tentative de ne pas ternir cette actualité.
Les sept mois d'enquête de la FSS ont mis au jour des failles de sécurité chez l'exchange et des retards dans la communication de l'incident. Ce qui freine une vraie sanction, c'est un vide juridique : la loi coréenne sur la protection des utilisateurs d'actifs virtuels ne prévoit aucune disposition directe pour punir un exchange en cas de piratage ou de panne système. Une deuxième phase de la loi fondamentale sur les actifs numériques doit combler ce vide, mais elle est encore en rédaction. En attendant, toute sanction doit passer par un comité d'examen, le régulateur des valeurs mobilières et la Commission des services financiers, donc pas d'amende rapide en vue.
C'est déjà le deuxième piratage majeur d'un portefeuille chaud chez Upbit en six ans, alors que la plateforme reste le premier exchange du pays en volume. En parallèle, la FSS examine son concurrent Bithumb pour des questions d'allocation de bitcoin. L'issue de cette affaire pourrait créer le premier vrai précédent sur la sévérité que la Corée est prête à appliquer aux exchanges en cas de faille de sécurité, un précédent qui n'existe pas encore.
