Le groupe Lazarus de Corée du Nord mène une cyberguerre contre les cryptomonnaies – et les développeurs sont la nouvelle cible

Le groupe Lazarus, l'unité de piratage infâme de la Corée du Nord, a mené de nouvelles cyberattaques dans le domaine des cryptomonnaies, avec un accent croissant mis sur les développeurs. 

Les chercheurs en sécurité ont découvert au cours des derniers mois que le groupe sabotait des paquets npm malveillants qui volent les identifiants, exfiltrent les données des portefeuilles de cryptomonnaies et créent une porte dérobée persistante dans les environnements de développement. Cela marque une escalade majeure dans leur cyberguerre de plusieurs années, qui a déjà été témoin de certains des plus grands vols de cryptomonnaies de l'histoire.

Selon une nouvelle enquête de la Socket Research Team, une branche du groupe Lazarus a pénétré le dépôt npm, l'un des gestionnaires de paquets les plus populaires pour les développeurs JavaScript. 

Les pirates ont ensuite utilisé des techniques de typosquatting pour publier des versions malveillantes de paquets npm populaires, trompant les développeurs peu méfiants qui ont téléchargé les programmes. Les paquets incluent is-buffer-validator, yoojae-validator, event-handle-package, array-empty-validator, react-event-dependency et auth-validator. 

Lorsqu'ils sont exécutés, les paquets compromis installent le malware BeaverTail. Cet outil « avancé » peut voler les identifiants de connexion, rechercher dans les fichiers du navigateur les mots de passe enregistrés et extraire les fichiers des portefeuilles de cryptomonnaies, tels que Solana et Exodus.

Les chercheurs en sécurité ont noté que les données volées étaient envoyées au serveur de commande et de contrôle (C2) codé en dur, une méthode opératoire courante employée par le groupe Lazarus pour relayer les données confidentielles vers leurs acteurs. 

Son objectif est de voler et de transmettre des données compromises sans être détecté, et il était particulièrement menaçant dans le monde des développeurs construisant des applications financières et blockchain, selon Kirill Boychenko, analyste en renseignement sur les menaces chez Socket Security.

Lazarus a lancé une offensive contre Bybit, volant près de 1,46 milliard de dollars

En plus de ces attaques de la chaîne d'approvisionnement, le groupe Lazarus a également été lié à l'un des plus grands vols de cryptomonnaies de l'histoire. Sa première action est soupçonnée d'avoir eu lieu le 21 février 2025, lorsque des pirates liés au groupe ont piraté Bybit, l'une des plus grandes bourses de cryptomonnaies au monde, s'emparant d'environ 1,46 milliard de dollars d'actifs cryptographiques.

L'attaque était extrêmement sophistiquée et aurait été lancée depuis un appareil compromis d'un employé de Safe{Wallet}, un partenaire technologique de Bybit. Les pirates ont exploité une vulnérabilité dans l'infrastructure du portefeuille Ethereum de Bybit et ont modifié la logique des contrats intelligents pour rediriger les fonds vers leurs portefeuilles.

Bien que Bybit ait résolu le problème immédiatement, une déclaration du PDG Ben Zhou a révélé que 20 % de l'argent volé avait déjà été blanchi via des services de mélange et était introuvable.

Cette dernière série d'attaques fait partie de l'effort plus large de la Corée du Nord pour contourner les sanctions internationales en volant et en blanchissant des cryptomonnaies.

Selon un rapport des Nations Unies de 2024, les cybercriminels nord-coréens étaient responsables de plus de 35 % des vols de cryptomonnaies dans le monde au cours de l'année écoulée, accumulant plus de 1 milliard de dollars d'actifs volés. Le groupe Lazarus n'est pas seulement un syndicat de cybercriminalité, mais aussi une menace géopolitique, car l'argent volé serait directement acheminé vers les programmes d'armes nucléaires et de missiles balistiques de la nation.

Ces attaques du groupe Lazarus ont également évolué au fil des ans, passant des piratages directs des bourses aux attaques de la chaîne d'approvisionnement et même aux attaques contre les développeurs et les dépôts de logiciels.

En ajoutant des portes dérobées à des plateformes open source comme npm, PyPI et GitHub, le groupe élargit sa portée d'attaque potentielle à de nombreux systèmes, éliminant le besoin de pirater directement les bourses de cryptomonnaies.

Les experts en sécurité appellent à des protections plus strictes pour les développeurs de cryptomonnaies 

Notant ces risques croissants, les spécialistes de la cybersécurité poussent à une sécurité plus stricte pour les développeurs et les utilisateurs de cryptomonnaies et à une protection contre les pirates. L'une des meilleures pratiques consiste à vérifier l'authenticité des paquets npm avant l'installation, car le typosquatting reste l'une des méthodes les plus courantes utilisées par les cybercriminels. 

Le Scanner AI de Socket suit également les anomalies dans vos dépendances logicielles ou votre audit npm, ce qui vous informe si des paquets compromis sont utilisés et vous permet de les supprimer de votre application avant qu'ils ne causent des dommages réels.

Le guide recommande aux utilisateurs et aux développeurs de prendre l'initiative de se protéger en activant l'authentification multi-facteurs (MFA) pour les portefeuilles des bourses, les plateformes de développeurs comme GitHub et d'autres comptes. 

La surveillance du réseau est désormais considérée comme la première ligne de défense, car le système compromis enverra généralement des messages à un serveur de commande et de contrôle (C2) externe, qui télécharge ensuite les mises à jour malveillantes sur l'ordinateur infecté. Bloquer le trafic sortant illégitime peut couper l'accès des pirates à ces données volées.

Bybit lance une prime de récupération alors que la bataille de la sécurité des cryptomonnaies s'intensifie

Après le piratage de Bybit, la bourse a également lancé un programme de prime de récupération, récompensant quiconque aide à retrouver les actifs volés. Le programme permet des récompenses allant jusqu'à 10 % de l'argent récupéré.

Dans le même temps, l'écosystème plus large des cryptomonnaies s'active pour renforcer les pratiques de sécurité et alerter les développeurs afin de se protéger contre les mêmes pratiques qui peuvent mener à cette voie menaçante.

Mais alors que les tactiques du groupe Lazarus s'avancent de plus en plus rapidement, les défenseurs du réseau disent que la guerre contre les cryptomonnaies ne fait que commencer.