6,3 milliards de dollars en cryptomonnaies envolés, en seulement 20 minutes. C’est le plus grand vol de cryptomonnaies connu à ce jour. Il a été réalisé ce jeudi 29 octobre.
Les analystes soupçonnent le groupe de hackers nord-coréen TraderTraitors d’être derrière cet événement. Ils ont déjà été responsables de vols de cryptomonnaies de la même ampleur par le passé. Le régime de Kim Jong-un veut ainsi contourner les sanctions et financer ses activités, principalement liées à son programme nucléaire et balistique.
Comment le vol a-t-il été effectué?
Selon Binance, les premières investigations ont indiqué que l’attaque aurait été menée à partir de l’ordinateur portable compromis d’un ingénieur DevOps. Ce type de spécialiste est notamment chargé de mettre en place et de gérer l’infrastructure technique de la plateforme d’échange.
Une personne ayant accès à l’infrastructure peut facilement atteindre les applications qui en dépendent, explique un utilisateur de Reddit qui se présente comme ingénieur DevOps. Selon Binance, les pirates auraient ainsi utilisé l’ordinateur de l’employé comme porte d’entrée vers une partie du système informatique de la plateforme, depuis laquelle ils auraient déclenché des retraits non autorisés.
Binance appelle toutefois à la prudence concernant les circonstances exactes de l’attaque. Dans un communiqué publié sur X, la plateforme indique n’avoir, à ce stade, trouvé aucune preuve d’une fuite des clés privées de ses portefeuilles. Elle précise qu’un rapport technique détaillé sera publié une fois l’enquête terminée et les faits vérifiés.
Qui sont les TraderTraitors et comment opèrent-ils ?
L’enquête d’une entreprise d’analyse montre que l’attaque a apparemment été soigneusement préparée. Au moins 36 heures avant les grands retraits, les analystes ont enregistré les premières activités suspectes. Les attaquants auraient préparé du code de programme et testé plusieurs transactions.
La méthode présente des similitudes avec des attaques antérieures menées par TraderTraitors. Ce groupe de hackers nord-coréen a été identifié par les services de renseignement américains comme un sous-groupe de Lazarus. Sous cette appellation, on retrouve différentes unités d’élite de hackers nord-coréens, chargées de financer l’État par des vols de cryptomonnaies.
Actifs depuis 2022, les hackers du groupe TraderTraitors ont fait de la manipulation leur spécialité. Leur méthode consiste à piéger les employés de leurs cibles, principalement des entreprises de cryptomonnaies, pour s’introduire dans leurs systèmes informatiques. Le FBI leur attribue notamment le piratage de la plateforme d’échange Bybit, fin 2024, lors duquel 1,5 milliard de dollars ont été dérobés.
Quelles est la méthode habituelle de ces pirates?
Selon la CISA (Agence américaine de cybersécurité et de sécurité des infrastructures), les pirates ciblent notamment des employés d’entreprises de cryptomonnaies. Ils peuvent se faire passer pour des recruteurs proposant des emplois très bien rémunérés afin d’inciter leurs victimes à télécharger des applications piégées. Une fois l’ordinateur compromis, les attaquants peuvent accéder à l’environnement informatique de leur cible, voler des clés privées ou exploiter d’autres failles de sécurité afin, notamment, de déclencher des transactions frauduleuses.
Comment la Corée du Nord finance-t-elle ses activités avec des cryptomonnaies volées ?
La Corée du Nord blanchirait régulièrement les cryptomonnaies volées en passant par des circuits complexes afin de les convertir en monnaie traditionnelle. Selon une analyse du Trésor américain, le régime de Kim Jong-un s’appuierait notamment sur un réseau de courtiers en cryptomonnaies dits «Over-the-Counter» (OTC). Contrairement aux plateformes d’échange classiques, ces transactions sont réalisées directement et de manière privée avec un intermédiaire, notamment par téléphone ou via des messageries chiffrées.
Ce système complique le travail des autorités, sans pour autant rendre les cryptomonnaies intraçables. Étant donné que les cryptomonnaies reposent sur la technologie blockchain, les transactions sont théoriquement traçables. En revanche, identifier les personnes qui se cachent derrière ces portefeuilles est plus compliqué. En utilisant de fausses identités, des sociétés écrans et des intermédiaires, les acteurs nord-coréens peuvent ainsi tenter de dissimuler l’origine des fonds avant de les échanger contre de l’argent traditionnel ou des biens. 20min.ch
