Chainalysis lie 14,3 millions de dollars de vols antérieurs au piège ayant touché Binance
- Chainalysis a lié plus de 14,3 millions de dollars de pertes sur 18 mois à des schémas nord-coréens de faux entretiens d’embauche.
- Chainalysis indique que ces vols plus mineurs ont peut-être aidé les pirates nord-coréens à peaufiner la méthode utilisée plus tard contre Binance.
- Les attaques assistées par blockchain, qui masquent des instructions malveillantes sur des chaînes publiques, ont été multipliées par cinq au cours de la dernière année.
Chainalysis a attribué plus de 14,3 millions de dollars de pertes en cryptomonnaies au cours des 18 derniers mois à la méthode nord-coréenne consistant à organiser de fausses entretiens d'embauche, qui a ensuite ciblé Binance.
Le cabinet d'analyse blockchain considère ces vols mineurs comme une phase d'entraînement pour le vol de 6,3 milliards de dollars.
Des dizaines de faux entretiens d'embauche ont conduit à la compromission de portefeuilles
Les pertes proviennent de fausses entretiens et de schemes malveillants liés à la RPDC, avec des cibles allant des détenteurs individuels de cryptomonnaies et des portefeuilles privés aux protocoles et DAOs.
« Nous avons identifié des dizaines d’autres compromissions lors d’entretiens d’embauche qui ont conduit à des compromissions de portefeuilles » au niveau individuel, a déclaré Tom McLouth, analyste en renseignement senior chez Chainalysis. Les pertes individuelles variaient de dizaines de milliers à plusieurs millions de dollars.
Les équipes nord-coréennes « perfectionnaient et évoluaient leur méthodologie » lors de ces attaques, a-t-il déclaré. « C'est ainsi que l'on aboutit au plus grand vol de l'histoire », a ajouté McLouth.
Selon Chainalysis, l’attaque contre Binance pourrait être le point culminant de mois, voire d’années, de pratique. Cryptopolitan a rapporté que Binance a retracé sa propre brèche jusqu’à une invitation à un entretien d’embauche envoyée à un ingénieur en septembre.
L'ingénieur a téléchargé un exercice d'entretien qui avait été semé de code malveillant après deux rounds avec une entreprise fictive. Alec Zebrick, responsable senior des services mondiaux chez Chainalysis, qualifie cela d'« entretiens contagieux » ; ils visent le personnel disposant d'un accès privilégié afin que leurs identifiants puissent être retournés contre leur employeur.
Chainalysis a également mis en évidence des cas de clés privées volées depuis le stockage cloud après une interview malveillante. Certaines victimes ont déclaré que leurs phrases de récupération n'ont jamais été sur l'appareil infecté, ce qui, selon Chainalysis, pourrait indiquer un vol d'identifiants de connexion cloud ou de sessions de navigateur.
En mars, Microsoft a documenté le fait que son équipe Defender Experts a suivi une campagne intitulée « Contagious Interview », active depuis décembre 2022 au moins.
Dans cette campagne, de faux recruteurs provenant de sociétés de trading crypto ou d'entreprises d'IA incitent les candidats à exécuter des paquets de code malveillant.
À l'intérieur, le malware recherche les phrases mnémotechniques des portefeuilles, les bases de données KeePass et 1Password, ainsi que les clés cryptographiques, a indiqué Microsoft.
Les Blockchain Dead Drops ont augmenté cinq fois en un an
Chainalysis rapporte également que les cyberattaques facilitées par la blockchain ont quintuplé au cours des 12 derniers mois. Chainalysis les qualifie de Blockchain Dead Drops et cette augmentation est attribuée aux acteurs étatiques et à l'utilisation potentielle de modèles d'IA à poids ouverts.
Des acteurs nord-coréens ont commencé à utiliser la technique, appelée « Etherhiding », début 2025. Elle relie les machines infectées via de fausses entretiens d'embauche aux serveurs de commande et de contrôle des attaquants, car un registre blockchain est plus difficile à saisir pour la police qu'un hébergement centralisé.
Une configuration DPRK a réparti les instructions entre TRON et Aptos. Les deux chaînes pointent vers le payload hébergé sur BSC, et les appareils infectés sont redirigés vers ce payload.
Aptos sert de solution de secours si TRON échoue.
La nouvelle approche du « récepteur nul » intègre l’instruction dans une adresse spécialement conçue. Cette adresse n’est pas contrôlée et n’est pas destinée à stocker des cryptomonnaies.
L’adresse est interprétée comme une commande par les machines infectées.
En septembre, le FBI, l’Agence nationale de police du Japon ainsi que les agences australiennes et allemandes ont publiquement accusé un groupe nord-coréen nommé WaterPlum d’un vol de crypto-monnaies d’environ 10,71 millions de dollars.
WaterPlum est également appelé « l’entretien contagieux ». Son opération a compromis des données sensibles sur environ 7 000 comptes crypto.
Le FBI a attribué le vol chez Binance au groupe nord-coréen TraderTraitor, mais Pyongyang a nié toute implication. Chainalysis s’attend à ce que les fonds volés continuent de circuler au cours des prochains jours.
Les esprits les plus brillants du secteur crypto lisent déjà notre newsletter. Vous aussi ? Rejoignez-les.
FAQ
Combien Chainalysis a-t-il lié au schéma d’entretien fictif avant l’attaque contre Binance ?
Plus de 14,3 millions de dollars au cours des 18 derniers mois, avec des pertes individuelles allant de quelques dizaines de milliers à plusieurs millions de dollars.
Comment l’attaque contre Binance a-t-elle commencé ?
Elle a débuté en septembre, lorsqu’un ingénieur de Binance a été invité à passer un entretien avec une entreprise fictive, puis a téléchargé une mission malveillante.
Qui était derrière le vol chez Binance ?
Le FBI a accusé TraderTraitor, un groupe nord-coréen. La Corée du Nord a nié toute implication.
Avertissement. Les informations fournies ne constituent pas des conseils en matière de trading. Cryptopolitan.com décline toute responsabilité concernant les investissements réalisés sur la base des informations fournies sur cette page. Nous recommandons vivement une recherche indépendante et/ou une consultation avec un professionnel qualifié avant de prendre toute décision d'investissement.
Randa Moses
Randa Moses est rédactrice et journaliste chez Cryptopolitan, couvrant la technologie, l'IA, la robotique, la crypto, les arnaques et les piratages. Elle évolue dans l'espace crypto depuis 2017. Elle a occupé des postes chez Forward Protocol, AmaZix et Cryptosomniac. Randa détient un diplôme en génie électrique et électronique de l'Université de Bradford.
