Tokyo. Des hackers liés à la Corée du Nord ont volé des cryptomonnaies d’une valeur d’environ 6,3 milliards de dollars à Binance, la plus grande plateforme d’échange de cryptomonnaies au monde. L’attaque a commencé le 29 octobre vers 16 h 20, heure de l’Est des États-Unis, et concernait des fonds détenus dans des portefeuilles actifs connectés à Internet.

Les attaquants ont réparti les actifs sur dix blockchains et dans de nombreuses transactions de moindre importance. Selon Chainalysis, ils ont échangé 325 millions de dollars en stablecoins contre 285 millions de dollars en ethers en moins de 20 minutes, en acceptant une décote de plus de 10 %. Cette conversion rapide visait à empêcher les émetteurs de geler les stablecoins.

Une intervention d’urgence impliquant Binance, des émetteurs de stablecoins comme Tether et Circle, les autorités et des sociétés d’analyse de blockchain a permis de geler entre 2,8 et 3 milliards de dollars, selon Chainalysis et Binance. Chainalysis a décrit cette réponse coordonnée comme la preuve que le secteur des cryptomonnaies devient plus rapide lorsqu’il s’agit de réagir à des vols de grande ampleur.

Une part importante des actifs volés est constituée de bitcoins et d’ethers, qui ne peuvent pas être gelés de la même manière. TRM Labs a déclaré que les attaquants contrôlaient encore plus de 420 000 ETH et 18 270 BTC, d’une valeur d’environ 2,4 milliards de dollars.

La méthode précise utilisée pour accéder à Binance reste incertaine. La plateforme a déclaré que l’attaque avait probablement commencé par la compromission de l’ordinateur portable d’un ingénieur informatique. Les attaquants auraient utilisé cet appareil pour accéder à un système de services interne et autoriser des retraits frauduleux. Rien n’indique actuellement que des clés privées de portefeuilles aient été volées.

Le codirecteur général de Binance, Richard Teng, a déclaré que les attaquants avaient également déployé un logiciel malveillant conçu pour effacer ses propres traces. Une manipulation psychologique ou une attaque par hameçonnage pourrait avoir été utilisée pour accéder à l’ordinateur portable et à d’autres systèmes, mais le mode opératoire fait toujours l’objet d’une enquête.

Binance s’est engagée à couvrir l’ensemble des pertes subies par ses clients. Dimanche, la plateforme a déclaré avoir remplacé environ 95 % des actifs volés, en utilisant son Fonds sécurisé pour les utilisateurs, créé en 2018, ainsi que des réserves d’entreprise d’une valeur de plusieurs milliards de dollars. La perte nette finale pourrait être réduite si les fonds gelés sont récupérés, même si l’on ignore encore s’ils seront restitués à Binance et à quel moment.

La plateforme a progressivement repris les retraits dimanche, en commençant par le bitcoin. Le FBI, les services secrets américains et la division des enquêtes pénales de l’IRS ont également averti les traders des efforts déployés par le groupe connu sous le nom de TraderTraitor pour déplacer les actifs volés. Les agences ont publié une liste d’adresses suspectes.

Les autorités ont déclaré que les attaquants continuaient principalement à convertir les actifs volés en ethers. Ils devraient blanchir les fonds par l’intermédiaire de plateformes de finance décentralisée et de services d’échange instantané.

Le groupe est actif depuis des années. Mandiant, la société de cybersécurité détenue par Google, l’a identifié en 2023 sous le nom d’UNC4899, un acteur nord-coréen qui avait auparavant ciblé des entreprises du secteur des cryptomonnaies. Mandiant a estimé avec un haut degré de confiance qu’UNC4899 était une unité du Bureau général de reconnaissance de la Corée du Nord spécialisée dans les cryptomonnaies et qu’elle correspondait probablement à TraderTraitor.

TraderTraitor fait partie d’un réseau plus vaste utilisé par la Corée du Nord pour obtenir des devises étrangères grâce à des cyberattaques, des opérations informatiques clandestines et des sociétés-écrans. Le réseau comprend également Lazarus, APT38 — également connu sous le nom de Blue Noroff — Andariel et Kimsuky, qui sont associés au vol financier, aux rançongiciels et à l’espionnage.

Des milliers de travailleurs informatiques nord-coréens ont également obtenu des emplois dans le secteur des logiciels à l’étranger sous de fausses identités, opérant souvent depuis des pays comme la Chine et la Russie. Leurs revenus sont pour l’essentiel transférés vers la Corée du Nord. Chainalysis a déclaré que les groupes nord-coréens plaçaient de plus en plus ces travailleurs au sein d’entreprises de cryptomonnaies afin d’obtenir des accès privilégiés pouvant ensuite faciliter des attaques.

Les hackers du pays sont sélectionnés et formés dès leur plus jeune âge, les élèves qui manifestent de fortes aptitudes en mathématiques recevant un enseignement en programmation. La formation compétitive et les études dans les meilleures universités se concentrent non seulement sur l’informatique, mais aussi sur la résolution de problèmes complexes avec des ressources limitées.

Cette préparation a aidé les groupes nord-coréens à devenir efficaces dans la manipulation psychologique et l’hameçonnage. L’intelligence artificielle est désormais également utilisée pour produire des messages et des candidatures convaincants destinés à des cibles potentielles. Après s’être d’abord concentrés sur les banques, les groupes se sont tournés vers les cryptomonnaies à mesure que le secteur se développait, et le vol commis contre Binance illustre l’ampleur persistante de cette menace.

Sources: Handelsblatt.