Les enquêteurs et les entreprises spécialisés dans les cryptomonnaies se livrent une course pour retracer des milliards de dollars d'argent numérique volé à la suite de ce qui semble être le plus grand braquage de l'histoire des cryptomonnaies. Jeudi 29 octobre, vers 16 heures HE, des pirates ont commencé à soutirer environ 6,3 milliards de dollars en cryptomonnaies depuis les portefeuilles appartenant à l'échange Binance. Le vol s'est étendu sur plusieurs blockchains et a été exécuté avec une vitesse remarquable, vidant les fonds en une période d'environ 20 minutes selon l'analyse de TRM Labs.

En réponse à cette violation, Binance a immédiatement suspendu tous les dépôts et retraits pour faciliter son enquête. L'entreprise a déclaré qu'elle travaillait à l'identification des responsables et avait coordonné avec d'autres entreprises de cryptomonnaies pour geler environ la moitié des fonds volés. Cette action a effectivement stoppé tout mouvement ou tentative de retrait ultérieur pour une part importante des actifs, bien qu'une grande partie de la cryptomonnaie restante puisse être impossible à récupérer.

Trois grandes sociétés de traçage de cryptomonnaies ont lié l'attaque à des pirates nord-coréens, pointant spécifiquement du doigt le groupe notoire connu sous le nom de TraderTraitor. Tom Robinson, scientifique en chef et co-fondateur d'Elliptic, a noté que si la Corée du Nord est effectivement responsable, ce seul vol doublerait presque le montant total que le régime a volé en cryptomonnaies à ce jour. Bien que ni Binance ni les responsables de l'application de la loi n'aient officiellement nommé un suspect, les chercheurs soulignent des chevauchements significatifs avec des attaques précédentes attribuées à TraderTraitor.

TRM Labs a détaillé la méthodologie de l'attaquant, révélant que la préparation avait commencé au moins 36 heures avant le vol. Le groupe a testé son code sur deux portefeuilles tôt dans la journée du 29 octobre et a répété la version finale sur un troisième portefeuille plus tard dans la journée avant de renvoyer des fonds de test vers eux-mêmes. Quatre heures après cette répétition, le même code a été installé sur un portefeuille chaud (hot wallet) de Binance, qui sont des comptes connectés à Internet utilisés par les échanges pour gérer les retraits des clients. L'attaque a vidé ces portefeuilles chauds sur au moins dix blockchains, y compris Ethereum, Bitcoin, Tron et Solana.

TraderTraitor est devenu connu pour cibler les entreprises de cryptomonnaies et de finance décentralisée avec des attaques sophistiquées et à haute visibilité. L'année dernière, le FBI a attribué un piratage de 1,5 milliard de dollars contre l'échange Bybit à ce groupe. Rafe Pilling, directeur senior de l'intelligence sur les menaces chez Sophos, a décrit le groupe comme des artistes dans l'infiltration d'organisations de finance distribuée, notant leur historique de développement d'applications factices pour obtenir un accès.

Chainalysis et TRM Labs ont basé leur attribution à la fois sur l'analyse des activités on-chain et off-chain. Les enquêteurs de Chainalysis ont observé en temps réel que les fonds volés à Binance se mélangeaient avec des fonds provenant d'une exploitation de Bitget le mois dernier, qui avait déjà été attribuée à des acteurs nord-coréens. Robinson d'Elliptic a ajouté que l'attaquant avait financé son portefeuille via Tornado Cash et avait répété l'attaque à l'avance, reflétant les tactiques utilisées dans l'incident Bybit.

Binance a initialement suggéré que l'incident de sécurité impliquait un ordinateur portable d'ingénieur compromis, mais a ensuite découvert des points de violation supplémentaires dans une attaque complexe. L'entreprise s'est engagée à couvrir toutes les pertes résultant du piratage tout en coopérant avec les forces de l'ordre. Cependant, les efforts de récupération font face à des obstacles importants ; bien qu'environ 2,8 milliards de dollars, soit 44 % du montant total volé, aient été gelés – consistant principalement en stablecoins – les 3,3 milliards de dollars restants sont principalement composés de Bitcoin, d'Ether et de XRP.

Robinson a expliqué que ces actifs spécifiques ne peuvent pas être gelés directement et ne peuvent être arrêtés que lorsqu'ils atteignent un échange ou un autre service. Bien que certains fonds puissent être interceptés dans les mois à venir, les experts ne s'attendent pas à ce que la part gelée augmente de manière significative. Les chercheurs de Chainalysis ont noté avoir observé des modèles de blanchiment d'argent sans précédent, avec des milliers de transactions traitées rapidement en utilisant l'automatisation pour obscurcir la traînée des fonds volés.

Sources: WIRED.