Le groupe Lazarus encore – Nouvelle victime suspectée dans le hack Tron de 3,1 M $

ZachXBT, l'enquêteur crypto populaire, a signalé qu'une victime avait été piratée sur Tron, entraînant une perte d'environ 3,19 millions de dollars en USDT. Les USDT volés ont été transférés vers Ethereum avant que l'ETH ne soit réparti entre 10 adresses et déposé dans Tornado Cash. ZachXBT attribue ce piratage au notoire groupe Lazarus nord-coréen.

Onchain Lens a révélé que ZachXBT avait mis au jour une autre attaque malveillante par un pirate, entraînant la perte d'environ 3,19 millions d'USDT pour une victime inconnue. Selon TronScan, les USDT ont été transférés sur la blockchain Ethereum, où ils ont été échangés contre de l'ETH, puis répartis entre 10 adresses avant d'être déposés dans Tornado Cash (96 x 10 ETH, 4 x 100 ETH, 78 x 1 ETH, 5 x 0,1 ETH). 

ZachXBT a souligné que le pirate a réutilisé une adresse de vol issue du piratage de Michael Kong (PDG de Fantom/Sonic) en octobre 2023, qui avait été précédemment attribuée au groupe Lazarus dans le cadre d'une « campagne de hameçonnage ciblé » selon un rapport publié par l'ONU en mars 2024.

Le 22 février, ZachXBT a également révélé que le groupe Lazarus avait connecté le piratage de Bybit au piratage de Phemex directement sur la chaîne en « mélangeant » les fonds de l'adresse de vol initiale pour les deux incidents. 

Le groupe Lazarus ajoute une victime inconnue à la longue liste des vols de crypto

Zach (@zachxbt) a rapporté qu'un utilisateur a été arnaqué par le groupe Lazarus sur Tron pour environ 3,2 M $ $USDT

Les fonds volés ont été transférés de #Tron à #Ethereum. Les $ETH ont ensuite été répartis entre 10 adresses et déposés dans Tornado Cash comme suit : 96 x 10 ETH, 4 x 100 ETH,… pic.twitter.com/JRQ03rtflA

— Onchain Lens (@OnchainLens) le 1 mars 2025

Selon ZachXBT, le groupe Lazarus est soupçonné d'avoir frappé une fois de plus, ciblant cette fois une victime inconnue sur Tron et volant plus de 3,19 millions d'USDT. Le butin a ensuite été rapidement transféré sur la chaîne Ethereum, échangé contre de l'ETH, et réparti entre dix adresses avant d'être déposé dans Tornado Cash. Les données de TronScan ont montré que le(s) pirate(s) a(ont) utilisé deux adresses, TYQ3455gFNeqyw et 0xcced1276382f4d, pour soutirer 3 199 779 USDT à une victime dont l'adresse est TDNaLds1A1g6vYRU.

Cette attaque malveillante attribuée au groupe de hackers nord-coréen soupçonné d'avoir des liens étatiques intervient après un récent braquage où le groupe aurait volé plus d'un milliard de dollars à l'échange Bybit. Bybit a été victime d'un piratage d'Ethereum record d'environ 1,5 milliard de dollars. Le groupe Lazarus de Corée du Nord était le principal suspect dans une attaque sophistiquée où les pirates ont infiltré le portefeuille froid de Bybit et volé plus de 400 000 ETH. 

Les recherches d'Elliptic affirment que Le braquage de Bybit est sans conteste le plus grand vol de crypto de l'histoire. Le groupe Lazarus est soupçonné d'avoir volé plus de 6 milliards de dollars d'actifs crypto depuis 2017. Les produits auraient été dépensés pour le programme de missiles balistiques de la Corée du Nord.

Elliptic suit les schémas du groupe Lazarus 

Selon les recherches d'Elliptic, le groupe Lazarus a suivi un schéma caractéristique pour blanchir les jetons crypto volés. La première étape consistait à échanger tous les jetons volés contre un actif « natif » de la blockchain, tel que l'Ether. Le groupe aurait opté pour cette méthode car les jetons ont des émetteurs qui, dans certains cas, peuvent « geler » les portefeuilles contenant des actifs volés, mais aucune partie centrale ne peut geler l'Ether ou le Bitcoin. 

C'est exactement ce qui s'est produit dans les minutes suivant le vol de Bybit et le dernier piratage sur Tron impliquant une victime inconnue. Des centaines de millions de dollars en jetons volés ont été échangés contre de l'ETH. Ils ont utilisé des échanges décentralisés (DEX) pour éviter tout gel d'actifs qui pourrait survenir s'ils utilisaient des échanges centralisés (CEX) pour blanchir les fonds volés. 

Selon le rapport d'Elliptic, la deuxième étape du processus de blanchiment consistait à dissimuler la trace des transactions en « superposant » les fonds volés. Ces tactiques de superposition peuvent compliquer le processus de traçage, offrant aux blanchisseurs un temps précieux pour retirer les actifs. Le processus de superposition comprend l'envoi de fonds à travers un grand nombre de portefeuilles de crypto-monnaies et le transfert de fonds vers d'autres blockchains en utilisant des ponts inter-chaînes ou des échanges. Il comprend également d'autres tactiques comme le changement entre différents actifs crypto en utilisant des DEX, des services d'échange de pièces ou des échanges, et l'utilisation de « mélangeurs » tels que Tornado Cash ou Cryptomixer. eXch est également apparu comme un facilitateur majeur et disposé de ce blanchiment.