Qui a piraté FTX ? Les dernières analyses on-chain créent une nouvelle péripétie

L'échange de cryptomonnaies en difficulté a été piraté le 12 novembre, quelques heures seulement après avoir déclaré la faillite volontaire du chapitre 11. Le PDG de FTX, John J. Ray III, a affirmé dans un document de tribunal daté du 17 novembre qu'une partie non identifiée avait transféré au moins 372 millions de dollars de FTX vers un portefeuille externe.

Sur le canal Telegram officiel de FTX, un administrateur nommé Rey a posté : « Tous les fonds semblent avoir disparu. »

En réaction au piratage, les fonds ont commencé à quitter FTX par un deuxième portefeuille lié à un compte vérifié Know Your Customer (KYC) sur l'échange de cryptomonnaies Kraken. 

Sam Bankman-Fried, l'ancien PDG de FTX, faisait fonctionner ce portefeuille et transférait des fonds à la demande du régulateur pour « protéger les intérêts des clients et des créanciers », selon un dépôt ultérieur de la Securities Commission des Bahamas. Cela a empêché le premier pirate de voler environ 200 millions de dollars de fonds.

Technique de l'exploiteur de FTX

Le premier portefeuille, considéré comme celui d'un pirate informatique « chapeau noir » agissant de manière malveillante, a commencé à convertir les actifs volés en Ethereum, en stablecoin DAI de MakerDAO et en jeton natif de la chaîne BNB, tout en transférant simultanément des fonds à travers un certain nombre de ponts de jetons inter-chaînes pendant ce temps. L'attaquant a probablement fait cela pour éviter que ses gains illégaux ne soient gelés.

Peu de gens le savent, les stablecoins comme USDC et USDT incluent des mécanismes intégrés de gel et de liste noire qui permettent à leurs émetteurs respectifs d'arrêter les transactions et de saisir les fonds.

Le pirate a perdu des milliers de dollars en raison d'une slippage importante due à l'échange rapide de grands nombres de jetons, car la vitesse était essentielle. Cet aspect seul suggère que ce portefeuille n'est probablement pas sous la juridiction des autorités bahaméennes, qui chercheraient à protéger les actifs au nom des créanciers de FTX. Seul un mauvais opérateur permettrait intentionnellement que les transactions expirent pour éviter que les actifs ne soient saisis.

Avant d'envoyer l'argent à l'échange Huobi, le pirate a également envoyé 3 168 BNB à un compte lié à un petit échange de cryptomonnaies russe appelé Laslobit. Concernant le reste du trésor, le 20 novembre, le pirate a commencé à échanger de l'ETH contre du renBTC enveloppé et à le transmettre via le pont Ren vers le réseau Bitcoin après être resté inactif pendant quelques jours.

 Ensuite, le pirate utilisera probablement un service de mélange Bitcoin pour rompre la chaîne de traçabilité des fonds. De plus, le pirate a commencé à vendre de l'ETH, ce qui a entraîné une baisse de la valeur de la deuxième cryptomonnaie par capitalisation boursière. Le 21 novembre, ils ont commencé à déplacer de l'ETH supplémentaire par lots de 15 000 jetons, ce qui a soulevé des craintes qu'ils ne se préparent à vendre une autre partie de leur stock.

Nouvelle twist sur le pirate de FTX

Selon un dépôt de tribunal du 17 novembre, il avait initialement été affirmé que Bankman-Fried, agissant au nom du gouvernement bahaméen, était le pirate original de FTX. Cependant, des données on-chain plus approfondies et des indices fournis dans les documents de tribunal de John J. Ray III et des responsables bahaméens ont remis en question cette théorie.

Il apparaît maintenant que la deuxième adresse envoyait en fait des fonds hors de FTX afin de sauvegarder les actifs restants de l'échange. Il est important de noter que ces deux portefeuilles se comportent de manière remarquablement distincte. Le deuxième portefeuille a simplement déplacé des jetons vers un portefeuille multi-signatures, tandis que le premier portefeuille a commencé à échanger, à utiliser des ponts et à blanchir des actifs.

Il reste encore incertain exactement comment FTX a été piraté. Certains ont émis l'hypothèse que le pirate pouvait être un ancien employé mécontent qui avait accès aux comptes de FTX, basé sur le timing de l'attaque immédiatement après la faillite de l'entreprise.

Cependant, il est également possible que quelqu'un sans lien avec FTX ait utilisé l'instabilité de l'entreprise pour lancer une attaque. Ils auraient pu le faire en attirant le personnel à lire des e-mails contenant des logiciels malveillants pendant qu'ils étaient confus au sujet de la faillite de l'entreprise. Cette méthode a été employée dans des piratages précédents attribués au groupe de pirates parrainé par l'État nord-coréen Lazarus Group.

Plus de détails sur la façon dont l'échange a été piraté et sur la personne à blâmer apparaîtront probablement à mesure que le cas de faillite de FTX se développe.