Le groupe Lazarus lance la meme-coin « QinShihuang » pour blanchir 26 millions de dollars supplémentaires du butin de Bybit

Le groupe Lazarus de Corée du Nord a lancé dimanche matin une meme-coin appelée QinShihuang sur la plateforme Pump Fun pour blanchir 26 millions de dollars des près de 1,5 milliard de dollars qu’ils ont volés à la bourse de cryptomonnaies Bybit.

L’enquêteur sur la chaîne ZachXBT a d’abord exposé signalé cela, comme à son habitude, confirmant que le portefeuille impliqué (5STkQy…95T7Cq) a envoyé exactement 60 tokens SOL à un autre portefeuille (9Gu8v6…aAdqWS) avant de lancer une demi-million de tokens QinShihuang.

En l’espace de trois heures environ, ces tokens ont été échangés massivement, et le volume des transactions a rapidement dépassé 26 millions de dollars.

Zach a retracé les fonds clairement. Il a déclaré que les attaquants ont déplacé 1,08 million de dollars USDC volés à Bybit vers l’adresse de portefeuille 0x363908df2b0890e7e5c1e403935133094287d7d1 le 22 février.

Les attaquants de Bybit ont ponté ces fonds d’Ethereum vers la blockchain Solana, en utilisant le portefeuille EFmqz8PTTShNsEsErMUFt9ZZx8CTZHz4orUhdz8Bdq2P.

Comment Lazarus s’y prend

Après cela, Lazarus a déplacé les USDC vers la chaîne Binance Smart (BSC), où le suivi de Zach a montré que deux portefeuilles distincts ont automatiquement réparti les USDC volés sur plus de trente adresses différentes, divisant les fonds en transferts plus petits et plus difficiles à suivre.

Une fois divisés, Lazarus a ensuite recombiné ces petits lots de fonds dans un seul portefeuille : 0x0be9ab85f399a15ed5e8cbe5859f7a882c7b55a3. Zach a confirmé que le portefeuille 0x0be9 a ensuite divisé les fonds davantage, envoyant 106 000 USDC uniformément sur dix nouveaux portefeuilles.

Ces dix portefeuilles ont à nouveau ponté tout cela vers Solana, complétant un cycle blockchain complet conçu spécifiquement pour confondre les traceurs de blockchain. N’est-ce pas un peu impressionnant ?

Zach a également remarqué quelque chose d’autre d’étrange. Beaucoup de ces adresses Solana ont reçu de minuscules transactions de « poussière » de meme-coins provenant de escamoteurs aléatoires.

Lazarus, au lieu d’ignorer cette poussière, a commencé à échanger activement ces meme-coins contre du SOL. Ils ont nettoyé le SOL sale, l’ont mélangé et ont déplacé les fonds via des trades sur Pump Fun – exactement comme avec QinShihuang.

Zach a publié les adresses impliquées publiquement – environ 920 portefeuilles – mais a retiré des portefeuilles spécifiques des interfaces de logiciels de suivi pour empêcher Lazarus de masquer rapidement ses traces à nouveau. Vous pouvez les trouver ici.

L’argent volé de Bybit s’est ensuite retrouvé sur diverses bourses de cryptomonnaies et plateformes d’échange, disparaissant discrètement derrière des trades ayant l’air légitimes.

Le PDG de Helius Labs, Mert, a commenté directement les risques, affirmant que les équipes qui construisent des applications décentralisées sans filtres ou protections commettent une énorme erreur. Il a comparé les applications cryptographiques à l’e-mail, où la technologie sous-jacente est neutre, mais le logiciel destiné aux utilisateurs – comme Gmail – bloque les acteurs malveillants connus.

Selon selon Mert, les applications cryptographiques doivent mettre en œuvre le même filtrage de base si elles savent que des adresses de portefeuille spécifiques appartiennent à des groupes criminels comme Lazarus. Mert a ajouté clairement qu’il n’avait pas personnellement vérifié si Lazarus avait émis les pièces directement, mais il a formulé ses commentaires pour avertir les développeurs en général contre des risques tels que ceux-ci.

Mert a spécifiquement questionné pourquoi Pump Fun n’avait pas mis sur liste noire les portefeuilles associés à Lazarus. Avec le volume de trading de Pump Fun étant si élevé, Lazarus a facilement acheté des pièces sur des portefeuilles propres, a fait monter les prix en utilisant du SOL volé, puis a tout vendu dans ces portefeuilles propres. Grâce à un simple trading de pompage et de distribution, Lazarus a transformé des cryptomonnaies volées clairement traçables en profits propres et intracables.

Pas la première fois pour Lazarus

Les découvertes de Zach ont montré que Lazarus a déjà fait cela. Certaines adresses du schéma de blanchiment actuel ont précédemment lancé d’autres tokens meme sur Pump Fun. Cela signifie que Lazarus a exploité à plusieurs reprises l’activité de trading de Pump Fun pour le blanchiment d’argent.

SlowMist, une firme de recherche en sécurité, a souligné que Lazarus a lourdement utilisé la plateforme de mélange de cryptomonnaies eXch. eXch a directement refusé d’aider lorsque Bybit a demandé de la coopération.

Au lieu de cela, eXch a publié la demande d’interception de Bybit publiquement et l’a rejetée avec colère. SlowMist a expliqué clairement que eXch cible ouvertement le personnel de sécurité, exposant des informations personnelles en ligne.

Ils ont fermement exhorté les plateformes cryptographiques à renforcer leurs mesures de sécurité contre les fonds provenant de eXch, que Lazarus utilise régulièrement pour convertir l’ETH volé en cryptomonnaies plus difficiles à tracer comme le Bitcoin et le Monero.

Arthur Hayes, le co-fondateur de la bourse de cryptomonnaies BitMEX, a demandé ouvertement à Vitalik Buterin sur X si Ethereum pourrait envisager de revenir en arrière la blockchain pour inverser le piratage massif de Bybit, qui a entraîné le vol d’environ 400 000 ETH.

Le post d’Arthur a déclenché un débat immédiat parmi les utilisateurs de cryptomonnaies. Il a insisté, affirmant clairement qu’il croyait qu’Ethereum avait abandonné l’immuabilité après le piratage de la DAO en 2016 – lorsque les développeurs d’Ethereum ont inversé un vol de 60 millions de dollars en utilisant une fourche dure controversée.

Arthur a déclaré qu’Ethereum « a cessé d’être de l’argent » à ce moment-là. Il a argumenté ouvertement que si Ethereum a fait un retour en arrière auparavant, il ne devrait pas y avoir de résistance à en faire un autre maintenant pour récupérer les fonds de Bybit.

Vitalik n’a toujours pas répondu publiquement à la demande d’Arthur. Mais beaucoup dans la communauté critiquent la suggestion d’Arthur, certains pensant même qu’il se moque de Vitalik.

Le tweet d’Arthur a également ravivé les débats sur l’immuabilité de la blockchain, la décentralisation et si des retours en arrière devraient se produire à nouveau sur les grandes blockchains.

Les analystes de la blockchain ont expliqué clairement pourquoi Ethereum ne considérera probablement pas un retour en arrière maintenant. Le réseau d’Ethereum utilise actuellement un modèle « basé sur les comptes » pour stocker les fonds, tout comme les banques régulières.

Lorsque les développeurs d’Ethereum ont inversé le piratage de la DAO, les nœuds ont mis à jour les versions logicielles et déplacé les fonds ETH vers de nouvelles adresses. Aujourd’hui, inverser un piratage similaire nécessiterait un consensus massif de la part des utilisateurs, des nœuds et des développeurs d’Ethereau – un consensus presque impossible aujourd’hui.

Quelque chose de similaire s’est produit avec Bitcoin en 2019. Le PDG de Binance, Changpeng Zhao, a ouvertement envisagé de revenir en arrière sur Bitcoin après que des pirates ont volé 40 millions de dollars. Il a rapidement changé son langage de « retour en arrière » à « réorganisation » en raison du tollé.

Les mineurs et les maximalistes de Bitcoin ont rejeté l’idée fermement, critiquant toute tentative d’inverser les transactions comme une violation fondamentale des principes de décentralisation.

La communauté d’Ethereum a également rejeté les idées de retour en arrière cette fois. Mais de plus petites blockchains ont effectué des retours en arrière avec succès par le passé, généralement après une attaque. C’est rare, mais pas complètement inouï.

Zach a d’abord annoncé le massif Vol chez Bybit vendredi dernier. Il a repéré des activités suspectes sur la chaîne impliquant plus de 1,47 milliard de dollars qui s'écoulaient rapidement hors de Bybit. Zach a observé les attaquants échanger rapidement des tokens enveloppés comme mETH et stETH contre des tokens Ethereum ordinaires via des échanges décentralisés, tentant agressivement d'obscurcir les fonds volés.