727 FinanceDu vol de 6,3 milliards de dollars chez Binance aux grands cambriolages de l'industrie des cryptomonnaies tels que Bybit et Ronin, le groupe de hackers nord-coréen TraderTraitor a progressivement été mis au jour. Comment ce réseau de hackers, désigné par le gouvernement américain, a-t-il utilisé le faux recrutement, les attaques de la chaîne d'approvisionnement et le détournement de signatures pour s'emparer de près de 10 milliards de dollars d'actifs cryptographiques ?
Auteur : BlockBeats
Le 1er novembre, le Federal Bureau of Investigation des États-Unis a publié un avis attribuant à la Corée du Nord les 6,3 milliards de dollars volés à Binance le 29 octobre. L'avis utilisait un terme : TraderTraitor.
Si vous recherchez ce nom, vous constaterez que les 1,5 milliard de dollars de Bybit, les 300 millions de dollars de Bitget et plusieurs affaires majeures de cryptomonnaies des années précédentes sont tous liés à ce nom.
TraderTraitor n'est pas une entreprise, ni une case sur un organigramme. C'est un nom de code que le gouvernement américain a donné à une catégorie de comportements.
En avril 2022, le FBI, la Cybersecurity and Infrastructure Security Agency (CISA) des États-Unis et le Department of the Treasury des États-Unis ont publié conjointement un avis numéroté AA22-108A. C'était la première apparition formelle du terme. À l'époque, il désignait plusieurs chevaux de Troie déguisés en logiciels de trading de cryptomonnaies, tels que DAFOM, TokenAIS et CryptAIS, dont les interfaces semblaient convaincantes et qui commençaient à voler des clés privées une fois installés.
Les personnes derrière cela sont depuis longtemps appelées dans le secteur Lazarus Group, APT38, BlueNoroff et Stardust Chollima. Ce ne sont pas quatre équipes distinctes. Lazarus est le nom générique ; APT38 (Mandiant), BlueNoroff (Kaspersky) et Stardust Chollima (CrowdStrike) sont trois noms donnés par différentes sociétés de sécurité à la même branche de collecte de fonds.
Deux ans plus tard, l'étiquette a été attachée à des comportements spécifiques. Le 23 décembre 2024, le FBI, le Department of Defense Cyber Crime Center des États-Unis et la National Police Agency du Japon ont publié conjointement une attribution pour l'affaire de vol de 300 millions de dollars de DMM, utilisant pour la première fois la formulation « acteurs cybernétiques nord-coréens suivis sous le nom de TraderTraitor » et énumérant ses trois alias : Jade Sleet (nom de Microsoft), UNC4899 (nom de Google) et Slow Pisces (nom de Palo Alto).
Les informations sont désormais relativement claires : TraderTraitor est l'unité au sein du groupe Lazarus au sens large qui se spécialise dans les crypto-actifs et qui est actuellement la plus lucrative. Au moins depuis 2020, elle se concentre exclusivement sur la blockchain — plateformes de trading, DeFi, fournisseurs de services de portefeuille, fonds crypto et particuliers détenant de grandes quantités de jetons.
De braquer des banques à braquer des plateformes de trading
Lazarus est un nom générique qui couvre tout, de l'effacement des disques durs de Sony Pictures en 2014 au transfert de fonds de la Bangladesh Bank en 2016.
Prenons l'affaire de la Bangladesh Bank. L'unité qui l'a menée s'appelait alors APT38, également connue sous le nom de BlueNoroff. En février 2016, ils ont falsifié des instructions SWIFT (le système de messagerie international utilisé pour les transferts interbancaires) et ont tenté de transférer 1 milliard de dollars du compte de la Bangladesh Bank à la Fed de New York. Ils ont finalement obtenu 81 millions de dollars, parce qu'une erreur d'orthographe dans un transfert a amené une banque intermédiaire à l'arrêter.
L'art d'étudier les procédures opérationnelles des banques, de trouver des failles dans la vérification manuelle et de falsifier des instructions a ensuite été transposé tel quel aux plateformes de trading de cryptomonnaies.Vers 2020. Ils ont commencé à perfectionner leurs méthodes, en ciblant l'univers crypto. La raison est facile à deviner : il y a de l'argent et pas de régulation, et la liquidité est correcte.
Il existe plusieurs méthodes d'attaque.
La première est le faux recrutement. Un chasseur de têtes vous contacte sur LinkedIn, a une conversation agréable, et finit par envoyer un « test de programmation pré-embauche » ou un installateur pour un « outil interne ». Une fois installé, la machine leur appartient. Les 620 millions de dollars de Ronin ont été perdus de cette façon.
La deuxième est la chaîne d'approvisionnement. Au lieu de tromper les gens, ils s'en prennent à la contamination des chaînes d'outils des développeurs : dépôts malveillants sur GitHub, paquets empoisonnés sur npm, fournisseurs de services d'identité tels que JumpCloud. Une personne est compromise, et une série d'entreprises en aval le sont également.
La troisième est l'altération directe des transactions. Dans le cas japonais DMM, ils ont volé les identifiants de connexion de l'autre partie, infiltré les communications internes de la société de portefeuille Ginco, puis altéré un transfert qui aurait dû être normal. Dans le cas Bybit, ils ont piraté l'ordinateur d'un développeur chez Safe{Wallet} et inséré un script dans le front-end web ; les signataires voyaient toujours une page normale, mais ce qu'ils signaient était une autre transaction.
Cela inclut également le cas Binance cette fois-ci.
Les attaquants se sont préparés 36 heures à l'avance, ont signé 50 autorisations EIP-7702 — une nouvelle fonctionnalité d'Ethereum qui permet à un portefeuille de « louer » temporairement un programme à utiliser — puis ont fait en sorte que le portefeuille chaud de Binance transfère lui-même l'argent ; 40 minutes, sur 10 réseaux. La conclusion d'une société de sécurité est qu'ils avaient très probablement déjà atteint le système de signature de Binance.
Le montant impliqué dans les affaires de cette organisation
Les douze affaires les plus célèbres : 9,7 milliards de dollars.
Binance à lui seul représente 6,3 milliards de dollars. Les onze autres affaires, de 2022 à 2026, totalisent 3,44 milliards de dollars.
Les 1,5 milliard de dollars de Bybit concernaient l'altération du front-end ; les 620 millions de dollars de Ronin concernaient l'arnaque au recrutement ; les 388 millions de dollars de Bitget concernaient des instructions de retrait falsifiées écrites dans le système du portefeuille.
DMM 308 millions de dollars, WazirX 235 millions de dollars, Harmony et Atomic 100 millions de dollars chacun, Alphapo 60 millions de dollars, CoinEx 55 millions de dollars, Stake 41 millions de dollars, CoinsPaid 37 millions de dollars.
Dans le graphique, seuls les cas Binance, Bybit et DMM ont été directement nommés par le gouvernement américain comme TraderTraitor. Ronin, Harmony, Stake, Alphapo, CoinsPaid et Atomic ont été attribués par le FBI à Lazarus/APT38 ; WazirX a été nommé dans une déclaration conjointe des États-Unis, du Japon et de la Corée du Sud en janvier 2025 ; CoinEx n'a été déduit que par des sociétés d'analyse on-chain. Le cas Bitget est soupçonné par plusieurs sociétés d'être lié à TraderTraitor, mais aucune ne l'a formellement attribué.
Selon les statistiques de TRM, la Corée du Nord a mené 100 affaires depuis 2017, pour un total d'environ 12,8 milliards de dollars ; 7,4 milliards de dollars jusqu'à présent cette année ; 85 % du total mondial des vols d'actifs crypto en 2026 est attribué à la Corée du Nord. Ce tableau n'en couvre que douze.Les personnes dont les visages peuvent être identifiés
Il y a plus d'un hacker nord-coréen nommé par les responsables américains pour lequel des photos ont également été publiées. Park Jin Hyok, Jon Chang Hyok et Kim Il figuraient tous dans l'acte d'accusation de février 2021 ; en 2024, Rim Jong Hyok a été ajouté, avec une récompense de 10 millions de dollars.
Park Jin Hyok (Park Jin Hyok), recherché par le FBI
Park Jin Hyok a été l'un des premiers à être inculpé : en juin 2018, le département de la Justice des États-Unis a déposé des accusations pénales contre lui, et l'acte d'accusation a été rendu public en septembre de la même année. L'acte d'accusation indiquait que le complot auquel il a participé comprenait l'attaque contre Sony Pictures en 2014, l'attaque WannaCry en 2017 et le transfert de 81 millions de dollars depuis la Bangladesh Bank en 2016. Il reste en fuite et n'a jamais comparu devant le tribunal.
Suivi du vol de Binance
Binance a couvert environ 90 % avec les fonds de l'entreprise, le fonds SAFU et le fonds d'assurance des contrats à terme ; les 10 % restants sont des jetons illiquides ; la totalité de la perte est supportée par l'entreprise, et non par les utilisateurs.
Au 1er novembre, environ 2,7 milliards de dollars, soit environ 42 %, avaient été gelés par les émetteurs de stablecoins et le Conseil de sécurité d'Arbitrum. Les attaquants détiennent encore 420 000 ETH et 18 270 BTC, soit environ 2,4 milliards de dollars.
La route du blanchiment d'argent reste une pratique standard : les ponts inter-chaînes pour changer de chaîne, des services tels que THORChain pour échanger des pièces, des mixeurs pour mélanger et disperser les pièces de nombreuses personnes ensemble, et enfin le trading de gré à gré.
Il y a eu quelques accrocs cette fois-ci. THORChain a récemment accidentellement retardé le blanchiment des fonds volés lors de l'attaque de Binance en raison d'une réorganisation de la chaîne Ethereum. Cette réorganisation de chaîne a amené THORChain à émettre par erreur des remboursements en double à un utilisateur qui avait déposé 10 ETH, ce qui a ensuite déclenché une pause d'urgence du protocole, empêchant temporairement tous les utilisateurs d'effectuer des swaps inter-chaînes, y compris les blanchisseurs du groupe de hackers nord-coréen.
La dernière fois, les fonds volés de Bitget sont passés par THORChain, et THORChain ne les a pas du tout gelés, affirmant que la décentralisation signifie qu'ils ne peuvent pas être gelés — mais ce n'est pas ce qu'ils ont dit la dernière fois lorsqu'ils ont eux-mêmes été piratés. Lorsque THORChain reprendra son service, si les fonds volés lors du vol de Binance cette fois-ci passent encore par THORChain, on ne sait pas quelle excuse ils auront pour se dérober.