Le ministère américain de la Justice a indiqué jeudi avoir obtenu l'autorisation judiciaire de saisir ou de bloquer plus de 1,2 milliard de dollars de cryptoactifs volés à Binance — dans le cadre d'un gel plus large dépassant 2,7 milliards de dollars qui, selon les responsables, a stoppé environ la moitié du cambriolage d'octobre visant la plateforme d'échange, perpétré par la Corée du Nord.

Dans une annonce jeudi, le département a déclaré que le 29 octobre ou aux alentours, des membres de l'armée nord-coréenne — désignés par le FBI sous le nom de TraderTraitor — ont volé pour plus de 6 milliards de dollars d'actifs virtuels à Binance. Ce chiffre reste en deçà des 6,34 milliards de dollars que Binance a couverts depuis l'attaque.

Binance a indiqué avoir achevé la couverture des actifs touchés par la violation, en remplaçant les jetons concernés par des fonds de l'entreprise plutôt qu'en récupérant les cryptomonnaies volées, selon le communiqué de la plateforme. Les deux démarches suivent des voies distinctes : le ministère de la Justice s'efforce d'intercepter ce qui a été dérobé, tandis que Binance a déclaré avoir indemnisé les utilisateurs grâce à son Secure Asset Fund for Users (une réserve d'urgence créée par la plateforme en 2018), à une partie de son fonds d'assurance pour les contrats à terme et à sa trésorerie.

Le procureur général adjoint A. Tysen Duva, de la division criminelle du ministère de la Justice, a déclaré que le département et ses partenaires avaient pu « stopper immédiatement environ la moitié de cette violation historique » en gelant les actifs volés « avant qu'ils n'échappent à la portée des forces de l'ordre ».

Le gel de plus de 2,7 milliards de dollars est un chiffre conjoint couvrant les efforts du gouvernement américain et du secteur privé. Sur ce total, le ministère de la Justice a indiqué avoir déjà obtenu l'autorisation judiciaire de saisir ou de bloquer plus de 1,2 milliard de dollars ; aucune autorisation judiciaire n'a été annoncée pour le reste des fonds gelés. Les documents judiciaires sous-jacents n'ont pas été publiés avec l'annonce.

Les 1,2 milliard de dollars ne constituent pas de l'argent nouvellement récupéré. Ils proviennent des quelque 2,85 milliards de dollars que Binance a indiqué, le 3 novembre, avoir été gelés ou interceptés, et l'autorisation judiciaire obtenue jeudi est l'étape légale qui permet au gouvernement d'engager la prise de possession de ces fonds par confiscation. Jusqu'à présent, les actifs avaient simplement été gelés au niveau des émetteurs de jetons.

Même ce gel ne marque pas la fin de la piste. Selon le ministère de la Justice, les acteurs de TraderTraitor continuent de déplacer les actifs volés via des ponts de cryptoactifs, des mixeurs et des plateformes d'échange — des services qui compliquent la traçabilité des fonds volés — et les travaux de traçage, de saisie et de confiscation se poursuivent.

La semaine dernière, le 31 octobre, le FBI, avec le Secret Service américain et l'enquête criminelle de l'IRS, a publié une alerte informatique attribuant le vol à la Corée du Nord et exhortant les fournisseurs de services d'actifs virtuels à bloquer les transactions avec les adresses utilisées par les acteurs, ou issues de celles-ci. L'alerte indique que les enquêteurs ont vu les actifs volés principalement convertis en ether. Les agences américaines et les enquêteurs des Nations unies ont attribué des années de vols de grande envergure visant des plateformes d'échange à des unités de piratage liées à la Corée du Nord, dont les produits aideraient, selon les rapports de l'ONU, à financer les programmes d'armement du régime.

Un dispositif distinct de deepfake de 400 millions de dollars, et 900 vidéos saisies

Parallèlement à l'affaire opposant le ministère de la Justice à Binance, le bureau du procureur des États-Unis pour le district central de Californie et le FBI ont annoncé la saisie d'une infrastructure infonuagée utilisée dans une campagne d'ingénierie sociale que le bureau appelle FaceStealer. Le FBI a précisé que ce dispositif a entraîné le vol de plus de 400 millions de dollars de cryptoactifs au cours des 18 derniers mois et a également été utilisé pour tenter de compromettre des personnes qui maintiennent des logiciels open source — une étape qui, selon le bureau, semble destinée à permettre des attaques de la chaîne d'approvisionnement.

La méthode repose sur un faux appel vidéo. Selon le FBI, des pirates nord-coréens connus publiquement sous des noms incluant APT38 et BlueNoroff attirent leurs cibles avec des invitations à des réunions envoyées depuis des comptes volés à des victimes précédentes. Une fois la cible connectée, les pirates diffusent une vidéo de webcam préenregistrée d'une personne que la cible connaît, ou un deepfake d'une figure connue de l'industrie des cryptoactifs, puis introduisent une fausse erreur technique et envoient un « correctif » qui installe un logiciel malveillant. Dans plusieurs cas, le vol est intervenu plusieurs mois, voire plus d'un an, après la première compromission, les pirates attendant que les soldes des portefeuilles augmentent.

Un rapport FLASH du FBI publié jeudi précise que les réunions se déroulent sur des versions imposteur de Zoom, Microsoft Teams et Google Meet, les passant souvent par des comptes Telegram, LinkedIn, Slack ou Discord détournés. En vertu d'un mandat fédéral, le FBI a saisi plus de 900 vidéos de webcam de victimes de FaceStealer. Le bureau a publié une page consacrée à cette campagne à l'adresse fbi.gov/facestealer.

Le procureur général adjoint principal pour la sécurité nationale, M. Scott Proctor, a relié les deux actions de jeudi à la même accusation : « Le gouvernement nord-coréen finance son régime hors-la-loi et son programme d'armement illicite grâce au vol de cryptoactifs. »

L'effort de récupération lié à Binance demeure piloté par le bureau du FBI de Los Angeles, sa division cyber et son unité des actifs virtuels, en coopération avec le Secret Service et l'enquête criminelle de l'IRS. Le ministère de la Justice n'a pas précisé quelle part du gel de plus de 2,7 milliards de dollars, ou des 1,2 milliard de dollars désormais soumis à autorisation judiciaire, est en bitcoin.

Cet article est basé sur un reportage de Micah Zimmerman, publié initialement par Bitcoin Magazine.