Les enquêteurs d’une équipe d’analyse de blockchain ont lié le vol de 100 millions de dollars d’actifs cryptographiques la semaine dernière au célèbre groupe de cybercriminalité nord-coréen Lazarus. La société a déclaré qu’elle avait suivi le mouvement d’une partie de la crypto-monnaie volée vers un soi-disant mélangeur utilisé pour blanchir ces fonds mal acquis.

La startup de blockchain Harmony a annoncé le 23 juin que son Horizon Bridge – un service de pont inter-chaînes utilisé pour transférer des actifs entre la blockchain d’Harmony et d’autres blockchains – avait été attaqué et des actifs cryptographiques comme Ethereum, Wrapped Bitcoin, Binance Coin et Tether volés.

Selon la société d’analyse de blockchain Elliptic, l’attaquant s’est immédiatement tourné vers Uniswap, un échange décentralisé, pour convertir la plupart des actifs en 85 837 Ethereum, ce qui, selon les chercheurs, est une méthode couramment utilisée par les pirates pour éviter que les actifs volés ne soient saisis.

Quelques jours plus tard, le voleur a commencé à déplacer l’Ethereum dans Tornado Cash, un mélangeur utilisé pour blanchir les actifs volés. Au 29 juin, l’attaquant avait déplacé environ 35 000 Ethereum – environ 39 millions de dollars – vers Tornado Cash et le processus se poursuit, ont écrit les chercheurs d’Elliptic dans un article de blog.

« En envoyant ces fonds via Tornado, le voleur tente de briser la piste de transaction jusqu’au vol d’origine. Cela facilite l’encaissement des fonds lors d’un échange », ont-ils écrit.

En utilisant les propres méthodes de démixage Tornado de la société, les chercheurs d’Elliptic ont pu retracer les fonds volés via Tornado Cash vers plusieurs nouveaux portefeuilles Ethereum. Ils ont également suggéré que d’autres bourses et entreprises de cryptographie pourraient utiliser le logiciel de filtrage des transactions d’Elliptic pour détecter si des fonds entrants provenaient du piratage d’Horizon Bridge.

Leur analyse de l’attaque a révélé qu’une combinaison de facteurs, selon la société, indiquait que le groupe Lazarus était impliqué. Le gang a volé plus de 2 milliards de dollars grâce à de multiples vols de crypto-monnaie et a récemment commencé à se concentrer sur les services de finance distribuée (DeFi) comme les ponts inter-chaînes. Lazarus est soupçonné d’être à l’origine du braquage d’au moins 540 millions de dollars lors d’un piratage le mois dernier de Ronin Bridge, un réseau basé sur Ethereum qui prend en charge Axie Infinity, un jeu vidéo blockchain.

Il y avait des similitudes entre les attaques des ponts Horizon et Ronin, y compris un processus automatisé de dépôts dans Tornado.

Le département du Trésor américain a également identifié Lazarus – également connu sous le nom d’AppleWorm, APT-C-26 et Hidden Cobra, entre autres pseudonymes – comme l’auteur probable de la violation du pont Ronin et a annoncé de nouvelles sanctions contre un portefeuille Lazarus Ethereum.

Les chercheurs ont également noté que l’attaque d’Horizon Bridge avait été effectuée à l’aide de clés de cryptage compromises d’un portefeuille multi-signatures qui provenait probablement d’une attaque d’ingénierie sociale contre des employés d’Harmony, que de nombreux membres de l’équipe centrale d’Harmony, basée aux États-Unis, avaient des liens avec l’Asie. – Région du Pacifique, et que les heures où les fonds volés n’étaient pas sortis de Tornado Cash correspondent aux heures de nuit dans cette région.

Tous ces indicateurs pointent du doigt Lazare, ont-ils écrit.

Dans leur dernière mise à jour cette semaine, les responsables d’Harmony ont écrit qu’une « chasse à l’homme mondiale pour le(s) criminel(s) » est en cours, que tous les échanges ont été notifiés et que les forces de l’ordre et les partenaires d’Harmony Chainalysis et AnChainAI enquêtent.

Ils ont également réaffirmé la date limite du 4 juillet pour que les pirates restituent les actifs cryptographiques de manière anonyme et en conservent 10 millions de dollars. Dans le même temps, la société a mis une prime de 10 millions de dollars pour les informations qui conduisent à la restitution des fonds et à l’arrestation des pirates.

En avril, trois agences américaines ont émis une alerte concernant l’intérêt croissant de Lazarus pour le marché de la crypto-monnaie, que le gang cible depuis au moins 2020, et ont envoyé l’année dernière un avertissement concernant le logiciel malveillant AppleJeus de Lazarus qui a été utilisé pour voler la crypto-monnaie.

Des groupes de piratage nord-coréens ciblant la crypto

Roger Grimes, évangéliste de la défense axée sur les données à la société de formation à la sensibilisation à la sécurité KnowBe4, a déclaré Le registre que les groupes de piratage nord-coréens ciblent depuis longtemps les fonds financiers traditionnels et lorgnent maintenant sur les crypto-monnaies. L’une des principales raisons est qu’il est difficile d’inverser la situation lorsqu’une attaque s’est produite.

« Avec la finance traditionnelle, si quelqu’un vole quelque chose de valeur, il est assez facile d’identifier le vol, d’annuler la transaction et de rétablir la victime », a déclaré Grimes.

« Les crypto-monnaies ressemblent davantage à des obligations au porteur. Le détenteur d’obligations au porteur est le propriétaire « légitime » des obligations et de leur valeur associée, même si elles ont été volées. La plupart des crypto-monnaies et leurs chaînes de blocs associées n’ont pas de mécanisme pour annuler un transfert de valeur. même si ce transfert était illégal ou contraire à l’éthique de toutes les manières imaginables. Le voleur peut simplement rire au nez de tout le monde et dire : « Désolé pour votre malchance.

Compte tenu du grand nombre d’escroqueries et de vols impliquant la crypto-monnaie et d’autres projets DeFi, nombre de ces groupes travaillent sur des moyens d’inverser ou de limiter les dommages causés par le vol et les escroqueries. Cependant, ce n’est pas facile, dit-il.

« Beaucoup au sein des industries de la crypto-monnaie et de la DeFi luttent contre ces nouvelles méthodes d’inversion, car elles commencent à rendre les transactions plus réglementées et plus proches de la monnaie et des banques ordinaires, ce qu’une grande partie de l’industrie en ligne déteste par nature », a déclaré Grimes. « Aussi longtemps que l’industrie de la crypto-monnaie et de la DeFi combattra la réglementation croissante, des voleurs comme ce groupe de piratage nord-coréen continueront d’en profiter. »

Cela dit, une réglementation et une surveillance accrues seront probablement nécessaires car le nombre de personnes participantes n’augmentera pas de manière significative tant qu’elles pourront se faire voler sans recours. ®