La Chine dit que 127 000 Bitcoins volés (valant ~13 milliards de dollars) ont été pris par les États-Unis dans un piratage au niveau de l'État

La Chine vient d'accuser les États-Unis d'avoir mené une cyberattaque d'une valeur de près de 13 milliards de dollars.

Dimanche, le Centre national de réponse aux virus informatiques de Chine (CVERC) a affirmé que 127 272 Bitcoins volés au pool minier LuBian en 2020 se sont retrouvés sous le contrôle du gouvernement américain après une opération silencieuse de quatre ans.

Les pièces étaient détenues par Chen Zhi, dirigeant du Prince Group au Cambodge, qui a tout essayé, des messages blockchain aux offres de rançon, pour les récupérer, mais n'a obtenu que du silence.

L'agence chinoise a déclaré que les pièces ont été déplacées en vrac, sont restées intactes pendant des années, puis ont été discrètement reprises par le Département de la Justice des États-Unis l'année dernière, avant que le DOJ n'accuse Chen le 14 octobre de cette année et ne saisisse l'intégralité du stock.

Le rapport du CVERC affirme que toute cette chaîne d'événements pointe vers un piratage au niveau de l'État conçu pour ressembler à une action des forces de l'ordre.

Mais en réalité, le vrai problème a commencé avec le système de génération de clés de LuBian, car au lieu d'utiliser de vrais nombres aléatoires à 256 bits, ils ont pris des raccourcis.

Selon le CVERC, les portefeuilles ont été créés en utilisant une graine pseudo-aléatoire à 32 bits, en s'appuyant sur l'algorithme Mersenne Twister MT19937-32, qui aurait donné aux pirates seulement 4,29 milliards de combinaisons à force brute au lieu des billions requis pour une clé correcte.

C'est presque identique à la faille MilkSad divulguée en août 2023, qui a ensuite été attribuée à la CVE-2023-39910. L'équipe MilkSad a même répertorié les portefeuilles compromis de LuBian, correspondant aux 25 portefeuilles de l'affaire du DOJ. Une fois que l'attaquant a compris la vulnérabilité, le rapport du CVERC a indiqué qu'il a fallu moins de deux heures pour s'introduire.

Plus de 5 000 adresses ont été générées avec le même système faible, et elles n'avaient toutes ni multisignature, ni portefeuilles matériels, ni portefeuilles HD, rien.

Les pièces volées sont restées dormantes avant que les États-Unis ne les déplacent

Le pool minier LuBian, basé principalement en Chine et en Iran, montait rapidement en 2020. Il n'utilisait pas d'échanges mais stockait des Bitcoins dans des portefeuilles non gardiens, le type que vous seul pouvez déverrouiller avec votre clé privée.

Le 29 décembre 2020, les portefeuilles de LuBian ont été touchés dans une attaque en vrac qui a drainé 127 272,06953176 BTC, valant environ 3,5 milliards de dollars à l'époque. Moins de 200 BTC ont été laissés derrière.

Tous les signes pointent vers un script de force brute attaquant plus de 5 000 portefeuilles, tous générés avec un algorithme de clé privée défectueux. Les pièces ont été balayées rapidement, puis sont restées intactes dans des portefeuilles contrôlés par les attaquants pendant quatre ans. Au moins, c'est ce qu'Arkham a confirmé lorsqu'il a marqué les derniers portefeuilles comme contrôlés par le gouvernement.

Pendant la période de dormance, Chen et son équipe ont tenté de joindre l’auteur du vol de fonds. Début 2021, puis à nouveau en juillet 2022, ils ont intégré plus de 1 500 messages dans la blockchain Bitcoin en utilisant la fonction OP_RETURN. L’un d’eux disait : « Veuillez nous rendre nos fonds, nous verserons une récompense. »

Un autre plaidait : « À l’whitehat qui sauve nos actifs, contactez-nous via [email protected] pour discuter du retour des actifs et de votre récompense. »

Aucune de ces tentatives n’a obtenu de réponse.

Ensuite, entre le 22 juin et le 23 juillet 2024, le CVERC a indiqué que tous les bitcoins volés ont soudainement été transférés vers une nouvelle adresse, qui, selon le suivi on-chain d’Arkham, appartient à Uncle.

La Chine accuse les États-Unis de saisie et qualifie cela de double jeu

Lorsque le DOJ a agi plus tôt cette année, les pièces volées étaient restées inactives depuis près de quatre ans, avec moins d’un dix-millième transféré.

La Chine affirme que cela ne correspond pas au comportement typique des pirates, car nous savons tous que les pirates vendent ou mélangent les pièces, ils ne les « babysittent » pas pendant des années.

L'accusation répertoriait 127 271 BTC sur 25 adresses de portefeuille, toutes tracées jusqu'au piratage de LuBian en décembre 2020, les fonds provenant des trois sources ci-dessous :-

• ~17,800 BTC provenant du minage indépendant
• ~2,300 BTC provenant des salaires de pool de minage
• ~107,100 BTC provenant des échanges et autres entrées

Mais le DOJ a affirmé que les pièces avaient été obtenues illicitement. Les chiffres ne correspondent pas. L’impact, cependant, est que LuBian ne s’est jamais remis de cet incident. Plus de 90 % de ses actifs ont été anéantis.

Le pool a fait faillite. Le rapport chinois se termine par un avertissement au reste de la communauté crypto : corrigez le code de votre portefeuille, utilisez de véritables générateurs de nombres aléatoires, adoptez le multisig, le stockage à froid et la surveillance on-chain en temps réel. Ou la prochaine fois, ce sera vous.