Piratage de 130 millions de dollars : le Lazarus Group nord-coréen est-il derrière l’attaque ?
130 millions de dollars ont été volés lors d’une cyberattaque contre la plateforme d’échange de cryptomonnaies Poloniex.
130 millions de dollars ont été volés lors d’une cyberattaque contre la plateforme d’échange de cryptomonnaies Poloniex. La piste mène à la Corée du Nord, vers le célèbre groupe de hackers Lazarus.
Vendredi dernier, des sociétés de sécurité ont tiré la sonnette d’alarme : une cyberattaque avait été menée contre la plateforme d’échange de cryptomonnaies Poloniex. Selon les estimations actuelles, 130 millions de dollars en cryptomonnaies ont été volés. Les analyses pointent désormais, une fois de plus, vers le groupe de hackers nord-coréen Lazarus. Ce collectif notoire a désormais dérobé pour plusieurs milliards de dollars américains d’actifs numériques. Des fonds qui, selon les Nations unies, alimentent les programmes d’armes nucléaires de la Corée du Nord.
Le secteur crypto, principalement les plateformes de trading qui gèrent d’importants volumes d’argent, est désormais considéré comme la cible la plus lucrative. Albert Quehenberger, expert en cryptoforensique chez A|Q Forensics, a reconstitué cette attaque symptomatique pour le média allemand BTC Echo. Une fois de plus, il apparaît clairement que Lazarus est l’une des plus grandes menaces pour le secteur crypto.
Des millions d’actifs crypto se sont soudainement envolés, et les premiers commentaires sur X ont tenté d’éclaircir la situation. Quelques jours plus tard, le puzzle de l’attaque contre Poloniex commence peu à peu à s’assembler. Le piratage a eu lieu via un hot wallet de la plateforme d’échange et serait, selon Albert Quehenberger d’A|Q Forensics, probablement « dû à une fuite de la clé privée ». L’expert en cryptoforensique voit des similitudes avec « une attaque précédente contre Stake.com ». La plateforme de crypto-casino a été touchée par une cyberattaque en septembre. Les dommages se sont élevés à environ 40 millions de dollars. Le FBI a imputé l’attaque à Lazarus.
Fuite au sein des rangs ?
La question qui se pose désormais est la suivante : comment les hackers ont-ils obtenu la clé privée ? Le soupçon est évident : il pourrait y avoir eu une fuite, un employé ayant involontairement donné accès à Lazarus. Le collectif de hackers utilise de plus en plus des tactiques visant spécifiquement à manipuler les employés d’une entreprise afin d’accéder à des informations sensibles. Cette méthode, connue sous le nom de social engineering, est aussi difficile à détecter que perfide.
« Le Lazarus Group pourrait identifier de manière ciblée les personnes au sein de la plateforme d’échange de cryptomonnaies qui ont accès à des systèmes ou à des informations importantes », explique Quehenberger. L’attention se porterait sur des « employés de haut rang disposant de droits d’administrateur ». Les hackers mèneraient un « travail de recherche approfondi » afin de « recueillir des informations sur les antécédents personnels et professionnels des employés ».
Personne n’est à l’abri
Les réseaux sociaux jouent ici un rôle de plus en plus important en tant que source d’informations librement accessible. S’y ajoutent des attaques de phishing, au cours desquelles les hackers infiltrent des logiciels malveillants, exploitent des données et se frayent progressivement un chemin vers les points faibles. Les hackers deviennent de plus en plus rusés dans leur approche et adaptent leurs e-mails frauduleux à des « intérêts ou activités spécifiques de la cible », explique Quehenberger.
Une fois les attaquants dans le système, il s’agit de « renforcer les droits d’accès et d’obtenir des autorisations plus élevées afin d’accéder aux systèmes et aux informations critiques », indique l’expert blockchain. Ensuite, tout s’accélère. « Après une infiltration réussie, le groupe pourrait tenter d’intercepter, de voler des cryptomonnaies ou de manipuler des transactions. » À ce stade, toutefois, nous ne pouvons que spéculer. Poloniex n’a pas encore commenté sa manière de procéder.
Que deviennent les fonds ?
Entre-temps, Justin Sun, qui a racheté Poloniex en 2019, tente de limiter les dommages en termes d’image. Une partie des « fonds associés aux adresses des hackers » a déjà été « identifiée et gelée avec succès ». Selon le fondateur de Tron, les pertes étaient « maîtrisables ». Les systèmes ont été « restaurés » et les « éléments de preuve pertinents » sont désormais sécurisés. Après la révélation de l’affaire, l’entrepreneur crypto a offert aux hackers une partie de l’argent volé en guise de rançon.
Il reste à voir à quel niveau le montant des dommages s’établira finalement. Et aussi qui se cache derrière l’attaque. Mais de nombreux éléments plaident en faveur de Lazarus. Comme lors de l’attaque contre Stake.com, « plusieurs tokens ont été stockés à différentes adresses, puis transférés vers des adresses intermédiaires et finalement échangés contre des monnaies natives (ETH, TRX) », selon Quehenberger.
