Binance, la plus grande plateforme d’échange de cryptomonnaies au monde, a signalé le vol d’actifs numériques évalués à 6,3 milliards de dollars. L’incident serait l’œuvre de Lazarus, un réseau regroupant des équipes de pirates informatiques d’élite officieusement associé à la Corée du Nord et régulièrement lié à des vols majeurs de cryptomonnaies.
Les premières conclusions indiquent que les attaquants ont compromis l’ordinateur portable d’un ingénieur de Binance et utilisé les identifiants de l’employé pour accéder aux systèmes de la plateforme et retirer des fonds sans être immédiatement détectés. Les détails complets restent flous, car les enquêtes criminalistiques sur des cyberattaques sophistiquées peuvent prendre des semaines, des mois, voire des années.
Nick Carlsen, analyste chez TRM Labs, a déclaré au Wall Street Journal que l’attaque était « sans aucun doute » l’œuvre de la Corée du Nord. Pyongyang a par le passé nié toute implication dans des piratages de plateformes d’échange de cryptomonnaies, tandis que la nature des opérations cybernétiques rend difficile l’établissement concluant des responsabilités. Les équipes liées à Lazarus opèrent également de manière officieuse et ne se trouvent peut-être pas physiquement en Corée du Nord.
Les précédents vols majeurs de cryptomonnaies attribués au groupe présentent un schéma similaire. En avril de l’année précédente, des attaquants ont volé 1,5 milliard de dollars à la plateforme Bybit après avoir compromis un ordinateur appartenant à un développeur de logiciels travaillant pour un fournisseur de portefeuilles numériques. Du code malveillant est resté dissimulé jusqu’à ce qu’une transaction soit effectuée, permettant de rediriger les fonds vers des portefeuilles contrôlés par Lazarus et d’effacer les traces en moins de deux minutes.
Les cryptomonnaies constituent des cibles attrayantes, car leur conversion en dollars ou en euros peut être difficile à tracer. Leur combinaison d’anonymat et de liquidité rapide les rend utiles pour des opérations illicites. Selon Chainalysis, les activités liées à Lazarus ont entraîné le vol de 1,34 milliard de dollars en cryptomonnaies lors de 47 incidents en 2024, contre 660 millions de dollars lors de 20 opérations en 2023.
Le vol signalé chez Binance dépasserait les précédents records du groupe, notamment l’incident de Bybit et les 625 millions de dollars en ether volés en 2022 sur un site lié au jeu vidéo Axie Infinity. Axios a rapporté que les attaquants auraient pu être empêchés de convertir 3 milliards de dollars du butin de Binance en monnaie conventionnelle. Le total annoncé de 6,3 milliards de dollars équivaut à une part substantielle du produit intérieur brut estimé de la Corée du Nord, qui s’élève à 17 milliards de dollars, selon les statistiques des Nations unies.
Lazarus est également associé à des opérations d’espionnage et de sabotage. Les États-Unis, le Royaume-Uni et Microsoft ont attribué aux groupes de pirates nord-coréens l’attaque par rançongiciel WannaCry 2.0 de 2017. Le logiciel malveillant a touché environ 300 000 ordinateurs dans 150 pays, notamment des systèmes utilisés par le service de santé du Royaume-Uni.
Les groupes nord-coréens ont également été actifs en 2020, lorsqu’ils ont tenté d’accéder aux ordinateurs de collaborateurs d’AstraZeneca et recherché des informations auprès de Pfizer, alors que les entreprises pharmaceutiques travaillaient sur des vaccins contre la COVID-19. Les activités signalées ont illustré l’éventail plus large des opérations attribuées aux équipes de pirates du pays, qui ne se limitent pas au vol de cryptomonnaies et comprennent aussi l’espionnage et la perturbation.
Le réseau Lazarus est décrit comme une menace persistante avancée regroupant des équipes spécialisées, des rôles définis et des ressources importantes. Les outils qui lui sont attribués comprennent l’intelligence artificielle, les hypertrucages et, plus récemment, le chiffrement post-quantique destiné à résister à d’éventuelles attaques menées au moyen d’ordinateurs quantiques. Ces capacités ont contribué à faire du groupe l’un des noms les plus connus de la cybercriminalité et du cyberespionnage internationaux.
Sources: El País Tecnología.