La Corée du Nord a nié être responsable du vol de cryptomonnaies sur Binance, d’un montant d’environ 6,3 milliards de dollars, après que le FBI a attribué l’attaque à une activité cybercriminelle nord-coréenne qu’il suit sous le nom de TraderTraitor.
Kim Yo Jong, haute responsable nord-coréenne et sœur du dirigeant Kim Jong Un, a rejeté ces accusations dans une déclaration du 3 novembre relayée par les médias d’État. Les sociétés de renseignement sur la blockchain Chainalysis et TRM Labs ont également attribué l’attaque à TraderTraitor.
Pour les plateformes d’échange de cryptomonnaies et les équipes chargées de la conformité, le défi immédiat consiste à identifier leur exposition aux fonds volés et à en limiter les mouvements pendant la poursuite des enquêtes.
« Le FBI tente de présenter la RPDC comme un “État cybercriminel”, affirmant avoir obtenu des informations selon lesquelles une organisation de piratage “soutenue” par la RPDC était impliquée dans l’incident », a déclaré Kim Yo Jong dans une déclaration relayée par KCNA.
La mise à jour de Binance reconnaît les conclusions du FBI, selon lesquelles la Corée du Nord serait responsable, tout en précisant que son enquête se poursuit.
La plateforme a déclaré avoir mis de côté des fonds largement suffisants pour couvrir la perte et acheter des actifs tokenisés de remplacement. Le remplacement de ces actifs est distinct de la récupération des cryptomonnaies volées.
Ce que révèlent les éléments de preuve
Le FBI a déclaré que lui-même et ses partenaires des services secrets américains et de la division des enquêtes criminelles de l’IRS avaient observé les acteurs de TraderTraitor convertir principalement les actifs volés en ether (ETH). Son alerte publique ne détaillait pas les éléments sur lesquels reposait cette attribution.
Chainalysis a déclaré que ses éléments de preuve rendus publics les plus solides étaient le mélange des fonds volés à Binance avec le produit du vol subi par Bitget. Son enquête sur Bitget date cette attaque de 387 millions de dollars du 24 septembre et l’attribue à des acteurs nord-coréens.
Les relevés de la blockchain montrent comment les fonds circulent, mais une transaction ne suffit pas à établir l’identité réelle de la personne qui contrôle une adresse. Les enquêteurs peuvent combiner l’analyse des transactions avec les données des plateformes d’échange et d’autres renseignements pour étayer une attribution.
TRM Labs a indiqué que elle avait pu utiliser à la fois des renseignements on-chain et off-chain pour établir son attribution. La société n’a pas précisé quels renseignements off-chain elle avait utilisés, mais elle a déclaré avoir formulé « ce jugement avec un haut degré de confiance ». Elle a également indiqué qu’elle fournirait davantage d’informations au fur et à mesure de l’avancement de l’enquête.
Ce que les équipes de sécurité spécialisées dans les cryptomonnaies doivent vérifier
L’alerte du FBI exhorte les prestataires de services sur actifs virtuels et les autres organisations du secteur privé à bloquer les transactions impliquant des adresses associées au vol ou provenant de telles adresses. Pour les plateformes d’échange et les équipes chargées de la conformité, le point de départ pratique consiste à vérifier ces adresses dans leurs systèmes de filtrage et leur historique des transactions.
Les équipes doivent examiner les correspondances pertinentes, conserver les relevés de transactions et transmettre leurs conclusions dans le cadre de leurs procédures de sécurité et de conformité. L’examen de l’activité historique est important, car une exposition a pu se produire avant l’identification d’une adresse. Les contrôles de filtrage doivent également être mis à jour à mesure que les enquêteurs publient de nouvelles conclusions.
La prévention exige également de prêter attention aux accès des développeurs. Des campagnes nord-coréennes distinctes ont utilisé de faux processus de recrutement et d’entretien pour compromettre les développeurs et des contrats intelligents blockchain pour dissimuler des logiciels malveillants destinés à voler des cryptomonnaies. Ces cas soulignent la nécessité d’examiner attentivement le code fourni par les recruteurs et de protéger les identifiants sur les postes de travail des développeurs ; ils ne permettent pas d’établir comment les attaquants de Binance ont obtenu leur accès.
Les organisations doivent distinguer le blocage d’activités au sein de leurs propres services du gel d’actifs sur une blockchain. Une plateforme d’échange peut restreindre les activités sur sa plateforme, et certains émetteurs de jetons peuvent geler leurs jetons. Ces contrôles ne donnent pas à chaque opérateur de nœud la capacité d’empêcher les transferts sur l’ensemble d’un réseau.
TRM Labs a indiqué que de petits retraits de Tornado Cash avaient alimenté le portefeuille de l’opérateur de l’attaquant avant le vol. Cette conclusion concerne la préparation de l’attaque ; elle n’établit pas que les fonds volés à Binance ont ensuite été retirés via ce service.
L’incident Binance met également en évidence l’importance de distinguer les fonds gelés, les actifs récupérés et les réserves reconstituées. Le gel peut restreindre les mouvements sans restituer les actifs à la victime. La reconstitution consiste à remplacer les actifs manquants, et non nécessairement à récupérer les fonds volés.
L’alerte du FBI appelle à la coopération du secteur, mais n’établit pas en elle-même une obligation légale générale pour chaque organisation spécialisée dans les cryptomonnaies. Les équipes chargées de la conformité doivent déterminer quelles obligations s’appliquent à leurs activités et à leurs juridictions. Elles peuvent évaluer leur exposition et renforcer leurs contrôles tandis que les enquêteurs poursuivent leurs travaux visant à établir l’attribution et à récupérer les fonds.
À lire aussi : le vol du réseau Liquid et la restitution partielle de bitcoins volés montre pourquoi les déclarations de récupération doivent distinguer les actifs restitués des pertes toujours en suspens.