Les autorités américaines ont obtenu l'approbation judiciaire pour saisir ou bloquer plus de 1,2 milliard de dollars de cryptoactifs volés lors du piratage d'octobre de la plateforme d'échange Binance. Le ministère de la Justice a annoncé cette mesure le 12 novembre, deux semaines après la divulgation du vol par la plateforme, dans un communiqué de presse officiel. Les fonds visés font partie d'un total plus large de plus de 2,7 milliards de dollars gelés grâce aux efforts combinés du secteur public et du secteur privé.

Le FBI attribue l'attaque au groupe TraderTraitor, qu'il lie à la Corée du Nord, tandis que Binance estime ses pertes à 6,34 milliards de dollars, un montant qui reste bien supérieur aux sommes gelées à ce jour. Dans le cadre d'une opération distincte, des agents fédéraux ont également saisi une infrastructure cloud liée à FaceStealer, un stratagème de fausses visioconférences qui, selon les responsables, a volé plus de 400 millions de dollars en cryptoactifs au cours des 18 derniers mois. Le ministère a présenté ces deux mesures comme faisant partie de son effort pour perturber ce qu'il décrit comme le vol massif de cryptoactifs commis par la Corée du Nord.

Des décisions de justice visant les produits du piratage de Binance

Le FBI a attribué l'attaque, survenue le 29 octobre et ayant touché plusieurs cryptoactifs détenus par la plateforme, au groupe TraderTraitor. La Corée du Nord a nié toute implication dans le vol, mais les responsables américains affirment que le vol de cryptoactifs contribue à financer le gouvernement et les programmes d'armement du pays.

Selon le ministère de la Justice, les plus de 1,2 milliard de dollars couverts par l'autorisation judiciaire sont inclus dans le total gelé plus important, et non en sus des 2,7 milliards de dollars. Le gel des actifs peut empêcher leur déplacement, tandis que la saisie ou le blocage autorisé par un tribunal constitue une autre étape de la procédure juridique. Aucun de ces chiffres ne signifie que l'ensemble des cryptoactifs volés a été récupéré ou restitué.

Selon le ministère, les enquêteurs traquent toujours les actifs tandis que les pirates déplacent les fonds via des plateformes d'échange, des mixeurs et des bridges. Les bridges transfèrent des actifs entre blockchains, tandis que les mixeurs peuvent masquer leur historique de transactions.

Après le piratage, le FBI a indiqué avoir observé les attaquants convertissant principalement les actifs volés en Ether. L'agence a exhorté les fournisseurs de services crypto à bloquer les transactions liées aux adresses identifiées.

Binance a déclaré que les attaquants avaient accédé à un service interne de signature de portefeuille et initié des transferts en dehors de son processus de retrait habituel. Son enquête a décrit une opération en plusieurs étapes impliquant de fausses entrevues d'embauche, des téléchargements de logiciels malveillants et des outils internes compromis, et la plateforme a indiqué que des sociétés de sécurité indépendantes fourniraient des examens complémentaires après l'attaque.

Le 12 novembre, Binance a annoncé avoir terminé la couverture des actifs touchés par le piratage en utilisant ses propres ressources. La plateforme a également publié un nouvel instantané des réserves, mais la preuve cryptographique associée, l'élément permettant généralement de rendre ces instantanés vérifiables de manière indépendante, était encore en attente. Le remplacement des actifs touchés ne signifie pas que la plateforme a récupéré la totalité des cryptos volées, et tant la preuve en attente que les examens indépendants annoncés par Binance restent des points en suspens.

Comment FaceStealer utilisait de fausses réunions pour voler des cryptos

Les autorités ont annoncé l'action coercitive contre FaceStealer séparément de l'affaire du piratage de Binance. Le ministère de la Justice a déclaré avoir saisi l'infrastructure cloud utilisée par les pirates nord-coréens à l'origine de la campagne, une action visant l'hébergement et les outils du stratagème plutôt que des fonds volés spécifiques. Le FBI a indiqué que FaceStealer ciblait des personnes travaillant dans les cryptoactifs et le Web3, et que les attaquants visaient de plus en plus les développeurs qui maintiennent des logiciels open source.

Le stratagème commençait par des comptes de messagerie compromis appartenant à des victimes précédentes. Les pirates utilisaient ces comptes pour inviter les contacts des victimes à des visioconférences sur des sites conçus pour ressembler à Zoom ou Microsoft Teams. Une fois à l'intérieur, les cibles voyaient des enregistrements de personnes qu'elles connaissaient, selon les enquêteurs. Dans certains cas, les attaquants utilisaient également des vidéos générées par IA de personnalités connues de l'industrie crypto.

Les pirates prétendaient ensuite qu'il y avait un problème technique, comme un souci audio, et fournissaient un lien ou des instructions pour une prétendue correction qui installait en réalité un logiciel malveillant. Ce logiciel pouvait les aider à voler des cryptoactifs ou à accéder à d'autres systèmes. Les comptes compromis donnaient également aux attaquants accès aux contacts et aux conversations passées, des informations qui les aidaient à aborder de nouvelles cibles avec des messages semblant provenir d'une personne connue.

En vertu d'un mandat fédéral, le FBI a saisi plus de 900 enregistrements de webcam de victimes de FaceStealer. Les enquêteurs ont indiqué que les attaquants pouvaient réutiliser les enregistrements d'une victime pour se faire passer pour elle lors de faux appels ultérieurs avec ses contacts de confiance.

Le FBI a également averti que l'accès à l'appareil ou aux comptes logiciels d'un développeur pouvait permettre des attaques contre les applications largement utilisées que ce développeur maintient, une violation susceptible d'exposer quiconque télécharge ces logiciels.

Source : Blockonomi