Le groupe Lazarus lance la cryptomonnaie « QinShihuang », inspirée d'un mème, pour blanchir 26 millions de dollars supplémentaires provenant de la réserve de Bybit

Le groupe nord-coréen Lazarus a lancé dimanche matin une cryptomonnaie humoristique appelée QinShihuang sur la plateforme Pump Fun afin de blanchir 26 millions de dollars sur les près de 1,5 milliard volés à la plateforme d'échange de cryptomonnaies Bybit.

L'enquêteur sur la chaîne ZachXBT a été le premier à révéler cela, comme d'habitude, confirmant que le portefeuille impliqué (5STkQy…95T7Cq) a envoyé exactement 60 jetons SOL à un autre portefeuille (9Gu8v6…aAdqWS) avant de lancer un demi-million de jetons QinShihuang.

En trois heures à peine, ces jetons ont été massivement échangés et le volume des transactions a rapidement dépassé les 26 millions de dollars.

Zach a clairement tracl'origine des fonds. Il a déclaré que les pirates avaient transféré 1,08 million de dollars USDC volés à Bybit vers l'adresse de portefeuille 0x363908df2b0890e7e5c1e403935133094287d7d1 le 22 février.

Les attaquants de Bybit ont transféré ces fonds d' Ethereum vers la blockchain Solana , en utilisant le portefeuille EFmqz8PTTShNsEsErMUFt9ZZx8CTZHz4orUhdz8Bdq2P.

Comment Lazare s'y prend

Après cela, Lazarus a transféré l'USDC sur Binance Smart Chain (BSC), où tracde Zach a montré que deux portefeuilles distincts ontmaticdivisé l'USDC volé sur plus de trente adresses différentes, divisant les fonds en transferts plus petits et plus difficiles àtrac.

Une fois les fonds répartis, Lazarus les a regroupés dans un seul portefeuille : 0x0be9ab85f399a15ed5e8cbe5859f7a882c7b55a3. Zach a confirmé le portefeuille 0x0be9, puis a de nouveau divisé les fonds, en envoyant 106 000 USDC équitablement entre dix nouveaux portefeuilles.

Ces dix portefeuilles ont de nouveau tout transféré vers Solana, bouclant ainsi un cycle blockchain complet conçu spécifiquement pour dérouter tracde blockchain. C'est plutôt impressionnant, non ?

Zach a également remarqué autre chose d'étrange. De nombreuses adresses Solana ont reçu de minuscules transactions de « poussière » de meme coin provenant d'escrocs inconnus.

Au lieu d'ignorer ce problème, Lazarus a commencé à réinjecter activement ces cryptomonnaies humoristiques dans du SOL. Ils ont nettoyé le SOL corrompu, l'ont redistribué et ont transféré les fonds via des opérations de type « Pump Fun », exactement comme avec QinShihuang.

Zach a publié publiquement les adresses concernées (environ 920 portefeuilles), mais a retiré certains portefeuilles des tractractrac tractractractrac tractracà nouveau. Vous pouvez les trouver ici.

L'argent volé à Bybit s'est ensuite retrouvé sur diverses plateformes d'échange de cryptomonnaies, disparaissant discrètement derrière des transactions d'apparence légitime.

Le PDG d'Helius Labs, Mert, a commenté directement les risques, affirmant que les équipes qui développent des applications décentralisées sans filtres ni protections commettent une grave erreur. Il a comparé les applications de cryptomonnaies à la messagerie électronique, où la technologie sous-jacente est neutre, mais où les logiciels destinés aux utilisateurs — comme Gmail — bloquent les acteurs malveillants connus.

Selon Mert, les applications de cryptomonnaies doivent implémenter le même filtrage de base si elles savent que certaines adresses de portefeuilles appartiennent à des groupes criminels comme Lazarus. Mert a précisé qu'il n'avait pas vérifié personnellement si Lazarus avait émis directement les cryptomonnaies, mais que ses commentaires visaient à alerter les développeurs sur ce type de risques.

Mert s'est notamment interrogé sur les raisons pour lesquelles Pump Fun n'avait pas blacklisté les portefeuilles associés à Lazarus. Compte tenu du volume d'échanges très élevé de Pump Fun, Lazarus pouvait facilement acheter des cryptomonnaies sur des portefeuilles légitimes, faire grimper les prix grâce à des SOL volés, puis revendre le tout sur ces mêmes portefeuilles. Par une simple opération de type « pump and dump », Lazarus transformait des cryptomonnaies volées, clairement trac, en profits légitimes ettrac.

Ce n'est pas le premier rodéo de Lazare

Les découvertes de Zach ont révélé que Lazarus avait déjà agi de la sorte. Certaines adresses impliquées dans le système de blanchiment actuel avaient déjà lancé d'autres jetons dérivés de mèmes sur Pump Fun. Cela signifie que Lazarus a exploité à plusieurs reprises l'activité de trading de Pump Fun à des fins de blanchiment d'argent.

SlowMist, une société de recherche en sécurité, a souligné que Lazarus utilisait intensivement la plateforme de mixage de cryptomonnaies eXch. eXch a catégoriquement refusé d'apporter son aide lorsque Bybit a sollicité sa coopération.

Au lieu de cela, eXch a rendu publique la demande d'interception de Bybit et l'a rejetée avec véhémence. SlowMist a clairement expliqué qu'eXch cible ouvertement le personnel de sécurité, exposant ainsi des informations personnelles en ligne.

Ils onttronexhorté les plateformes de cryptomonnaies à renforcer leurs mesures de sécurité contre les fonds provenant d'eXch, que Lazarus utilise régulièrement pour convertir des ETH volés en cryptomonnaies plus difficiles àtraccomme Bitcoin et le Monero.

Arthur Hayes, le cofondateur de la plateforme d'échange de cryptomonnaies BitMEX, a ouvertement demandé à Vitalik Buterin sur X si Ethereum pourrait envisager de revenir en arrière sur la blockchain pour annuler le piratage massif chez Bybit, qui a entraîné le vol d'environ 400 000 ETH.

La publication d'Arthur a immédiatement suscité un débat parmi les utilisateurs de cryptomonnaies. Il a persisté, affirmant clairement qu'il pensait Ethereum avait abandonné l'immuabilité après le piratage de la DAO en 2016, lorsque les développeurs Ethereum ont annulé un vol de 60 millions de dollars grâce à une bifurcation dure controversée.

Arthur a déclaré Ethereum avait « cessé d'être une monnaie » à ce moment-là. Il a ouvertement soutenu que si Ethereum avait déjà procédé à une annulation de décision, il ne devrait pas y avoir de résistance à ce qu'il le fasse à nouveau maintenant pour récupérer les fonds de Bybit.

Vitalik n'a toujours pas répondu publiquement à la demande d'Arthur. Cependant, nombreux sont ceux, au sein de la communauté, qui critiquent la suggestion d'Arthur, certains allant même jusqu'à penser qu'il se moque de Vitalik.

Le tweet d'Arthur a également relancé les débats sur l'immuabilité de la blockchain, la décentralisation et la question de savoir si des annulations devraient à nouveau se produire sur les principales blockchains.

Les analystes de la blockchain ont clairement expliqué pourquoi Ethereum n'envisagera probablement pas de retour en arrière pour le moment. Le réseau Ethereumutilise actuellement un modèle de « comptes » pour stocker les fonds, à l'instar des banques traditionnelles.

Lorsque les développeurs Ethereum ont corrigé le piratage de la DAO, les nœuds ont mis à jour leurs logiciels et transféré les fonds ETH vers de nouvelles adresses. Aujourd'hui, corriger un piratage similaire exigerait un consensus massif des utilisateurs, des nœuds et des développeurs Ethereum — un consensus quasiment impossible à l'heure actuelle.

Un événement similaire s'est produit avec Bitcoin en 2019. Binance, Changpeng Zhao, a ouvertement envisagé de revenir sur Bitcoin après le vol de 40 millions de dollars par des pirates informatiques. Face à la polémique, il a rapidement nuancé son propos, passant de « revenir sur Bitcoin » à « réorganisation ».

Les mineurs et les maximas de Bitcoinonttronrejeté cette idée, critiquant toute tentative d'annuler des transactions comme une violation fondamentale des principes de décentralisation.

La communauté Ethereuma également rejeté les propositions de rollback cette fois-ci. Cependant, des blockchains plus petites ont déjà effectué des rollbacks avec succès par le passé, généralement après une attaque. C'est rare, mais pas totalement inédit.

Zach a annoncé le vol massif chez Bybit vendredi dernier. Il a repéré une activité suspecte sur la blockchain, impliquant un transfert rapide de plus de 1,47 milliard de dollars hors de Bybit. Zach a observé les attaquants échanger rapidement des tokens « wrapped » comme le mETH et le stETH contre Ethereum via des plateformes d'échange décentralisées, cherchant activement à dissimuler les fonds volés.