Année record pour le piratage de crypto-monnaie nord-coréen

Blockchain et crypto-monnaie , Fraude par crypto-monnaie , Gestion de la fraude et cybercriminalité

Chainalysis: Pyongyang a volé 1,7 milliard de dollars en crypto, principalement à partir de plateformes DeFi

Rashmi Ramesh (rashmiramesh_) •
1 février 2023

La vague de vols de crypto-monnaie parrainés par l’État en Corée du Nord s’est poursuivie l’année dernière alors que les pirates de Pyongyang ont illégalement récupéré environ 1,7 milliard de dollars d’actifs numériques – près de la moitié de la crypto-monnaie mondiale volée en 2022, selon une nouvelle analyse.

Voir également: Webinaire en direct | Naviguer dans les difficultés de patcher OT

Ces 1,7 milliard de dollars représentaient probablement une part importante de l’économie nord-coréenne et ont financé son programme d’armes nucléaires, selon la société d’analyse blockchain Chainalysis. La Corée du Nord est le rare pays dont les pirates informatiques parrainés par l’État attaquent pour le gain financier de leur pays. Le régime totalitaire héréditaire qui gouverne le pays depuis 1948 a longtemps financé des activités criminelles dans une quête de devises fortes, compte tenu de son statut d’autarcie et de paria auto-imposé sur la scène mondiale.

Les cybercriminels, y compris les pirates liés à la Corée du Nord, utilisent les crypto-monnaies pour les mêmes raisons que les gens l’utilisent à des fins légitimes : c’est transfrontalier, liquide et instantané, a déclaré Erin Plante, directrice principale des enquêtes chez Chainalysis, à Information Security Media Group. « C’est particulièrement avantageux pour les pays qui sont coupés de l’économie mondiale », dit-elle.

Les pirates nord-coréens sont « systématiques et sophistiqués » dans le piratage et le blanchiment de fonds volés et sont soutenus par une nation qui soutient le crime activé par la crypto-monnaie à grande échelle, dit Plante.

La finance décentralisée présente une cible particulièrement attrayante pour les pirates de tous bords, et Pyongyang en a profité. Les protocoles DeFi sont open source, permettant aux pirates de les étudier jusqu’à la nausée pour les exploits, dit Plante. Il est possible que les incitations des protocoles à atteindre le marché et à se développer rapidement conduisent à des manquements aux meilleures pratiques de sécurité, ajoute-t-elle. Sur les 3,8 milliards de dollars enregistrés comme volés par des pirates en 2022, le vol sur les plateformes DeFi représente 3,1 milliards de dollars de ce total.

Les pirates nord-coréens utilisent des leurres de phishing, des exploits de code, des logiciels malveillants et une ingénierie sociale avancée pour siphonner des fonds dans des portefeuilles qu’ils contrôlent, explique Plante. Ils ont une méthode de blanchiment « calculée » et déploient des techniques d’obscurcissement telles que le mélange pour créer une déconnexion entre la crypto-monnaie qu’ils déposent et retirent. Ils déplacent également des fonds volés via le saut de chaîne, qui est le processus d’échange entre plusieurs types de crypto-monnaie différents en une seule transaction.

Tant que les actifs cryptographiques détenus dans les services DeFi ont de la valeur et sont vulnérables, les mauvais acteurs essaieront de les voler. La seule façon de les arrêter est que l’industrie renforce la sécurité et forme les entreprises de cryptographie à identifier les menaces, telles que l’ingénierie sociale, qui sont largement utilisées par des groupes tels que Lazarus, a-t-elle déclaré.

Fonds volés hors rampe

Les cryptomixeurs sont une « pierre angulaire » du blanchiment d’argent nord-coréen, selon Chainalysis. « Les fonds provenant de piratages effectués par des pirates liés à la Corée du Nord sont transférés vers des mélangeurs à un rythme beaucoup plus élevé que les fonds volés par d’autres individus ou groupes. »

Cryptomixer Tornado Cash était une plate-forme privilégiée pour le blanchiment d’argent en 2021 et la majeure partie de 2022, bien que les États-Unis y aient mis un terme en sanctionnant le service en août, paralysant son utilisation. Bien que toujours opérationnels, les mélangeurs sont moins efficaces lorsque moins de personnes les utilisent, car le service s’appuie sur le volume pour masquer l’origine et la destination des fonds sur sa plateforme (voir : La Corée du Nord évite le Tornado Cash après que les États-Unis aient imposé des sanctions).

Il est peu probable que les pirates liés à la Corée du Nord soient dissuadés par la menace de sanctions américaines. Mais les sanctions rendent plus difficile pour les acteurs de la menace d’encaisser leurs gains mal acquis, dit Plante.

Selon Chainalysis, les criminels ont diversifié leur utilisation du mélangeur au quatrième trimestre de 2022. Ils semblent s’être concentrés sur Sinbad, un mélangeur de bitcoins qui a commencé à faire la publicité de ses services deux mois après que le gouvernement fédéral a sanctionné Tornado Cash. Les enquêteurs de la société d’analyse ont observé les premières transactions de pirates nord-coréens sur la plateforme en décembre.

Entre décembre 2022 et janvier 2023, les pirates ont blanchi 24,2 millions de dollars sur le mélangeur, conclut Chainalysis. Cela inclut le groupe Lazarus lié à la Corée du Nord, qui a blanchi « une partie » des fonds volés lors du piratage de 600 millions de dollars d’Axie Infinity via Sinbad.

Les pirates utilisent également de plus en plus des services souterrains qui ne sont pas aussi connus que les mélangeurs standard, accessibles uniquement via des applications de messagerie privée ou le navigateur Tor, et généralement uniquement annoncés sur les forums darknet, déclare Plante à ISMG.

Elle constate également une augmentation des services avec des noms de marque et une infrastructure personnalisée, avec des complexités variables. Certains fonctionnent simplement comme des réseaux de portefeuilles privés, tandis que d’autres s’apparentent davantage à un échangeur ou à un mélangeur instantané, dit-elle. « Ce qui les relie, c’est leur capacité à déplacer la crypto-monnaie vers les échanges au nom des cybercriminels, à les échanger contre de la monnaie fiduciaire ou une crypto propre, puis à la renvoyer aux cybercriminels. »

Se défendant

Les forces de l’ordre, dit Plante, doivent continuer à développer leur capacité à saisir la crypto-monnaie volée au point que les piratages ne valent plus la peine.

L’année dernière, des agents fédéraux ont saisi des fonds que des pirates nord-coréens ont volés au piratage du pont Ronin d’Axie Infinity en s’associant à des sociétés de sécurité Web3 et en traçant les fonds sur la blockchain. Le FBI américain a également identifié Lazarus comme le coupable derrière le piratage du pont Horizon de 100 millions de dollars géré par Harmony.

Des actions similaires se produiront presque certainement en 2023, dit Plante.

« Lorsque chaque transaction est enregistrée dans un grand livre public, cela signifie que les forces de l’ordre ont toujours une piste à suivre, même des années après les faits, ce qui est inestimable car les techniques d’enquête s’améliorent avec le temps. »