Le groupe TraderTraitor de la Corée du Nord lié au record de 6,43 milliards de dollars volés sur Binance

Le Federal Bureau of Investigation (FBI) américain a officiellement identifié TraderTraitor, un cluster de hackers aligné sur la Corée du Nord, comme étant l'auteur du vol de plus de 6 milliards de dollars d'actifs virtuels sur Binance. Cette attribution, publiée conjointement avec le Secret Service américain et la division des enquêtes criminelles de l'IRS, marque le plus grand braquage de cryptomonnaies de l'histoire, dépassant largement les records précédents.

Ce qui s'est passé

La faille a entraîné la perte de 6,43 milliards de dollars répartis sur 11 blockchains différentes, 82 % des fonds volés se trouvant sur les réseaux Ethereum et Bitcoin. La société d'analyse blockchain Elliptic a noté que cet incident unique double presque la valeur totale des cryptoactifs previously volés par le régime. En réponse au vol, les principaux fournisseurs de stablecoins et d'infrastructure, notamment Tether, Circle, Ripple, Arbitrum et Optimism, ont réussi à geler 2,85 milliards de dollars d'actifs illicites on-chain.

Suite à l'incident, Binance a suspendu les retraits pour effectuer des évaluations de sécurité et protéger la plateforme. L'échange a annoncé avoir repris la phase un des retraits entre 6 h et 9 h UTC, précisant que les services de dépôt n'avaient pas été affectés durant l'événement. Le FBI a observé que les attaquants convertissent principalement les fonds volés en Ethereum, probablement pour préparer leur blanchiment via des protocoles de finance décentralisée et des services d'échange instantané.

TraderTraitor, également suivi sous les alias Jade Sleet, Pressure Chollima et UNC4899, est actif depuis au moins 2020. Le groupe est responsable d'une série d'attaques de haut profil contre des entités Web3, dont DMM Bitcoin, Bybit, KelpDAO et Bitget. Cette dernière opération représente une escalade significative en termes d'échelle et de sophistication pour cet acteur soutenu par l'État.

Comment cela fonctionne

Le vecteur d'attaque reposait sur la compromission de workflows développeurs fiables plutôt que sur l'exploitation de vulnérabilités directes de l'infrastructure. Les rapports de SentinelOne, Zscaler ThreatLabz et Microsoft révèlent que TraderTraitor a distribué des malwares via des fournisseurs Terraform trojanisés. Terraform est un outil infrastructure-as-code largement utilisé, ce qui fait de ses fournisseurs une cible de grande valeur pour les attaques de chaîne d'approvisionnement. Lorsque les développeurs installaient le fournisseur empoisonné, celui-ci exécutait un chargeur Bash qui détectait le système d'exploitation de la victime et téléchargeait un malware adapté.

La charge utile incluait un implant multiplateforme nommé FLATROOF, qui utilisait un voleur d'informations basé sur Python pour aspirer des données sensibles des machines compromises. Cet accès initial a permis aux attaquants de déposer une backdoor de second stade appelée ROOFDECK, leur accordant un contrôle complet à distance sur l'environnement de la victime. Cette méthode a permis au groupe de se déplacer latéralement au sein des organisations et d'accéder à des identifiants administratifs critiques.

Pour délivrer ces charges utiles, le groupe a employé des campagnes sophistiquées d'ingénierie sociale augmentées par l'intelligence artificielle. Ils ont créé de fausses personnalités et des sociétés écrans se faisant passer pour des recruteurs d'une firme d'intelligence blockchain alimentée par l'IA. En exploitant des connaissances spécifiques au secteur et des domaines personnalisés, ils ont convaincu des ingénieurs logiciels et des professionnels de la cybersécurité de participer à de faux entretiens, finissant par les piéger pour qu'ils exécutent du code malveillant lors de ce qui semblait être des évaluations techniques de routine.

Détails clés

• Le montant total volé s'élève à 6,43 milliards de dollars, ce qui en fait le plus grand vol de cryptomonnaies de l'histoire.
• 2,85 milliards de dollars d'actifs ont été gelés par Tether, Circle, Ripple, Arbitrum et Optimism.
• La principale méthode de distribution du malware était des fournisseurs Terraform trojanisés ciblant les workflows DevOps.
• La chaîne d'attaque impliquait un chargeur Bash, un implant FLATROOF et une backdoor ROOFDECK.
• L'IA a été utilisée pour générer des appâts convaincants, de fausses personnalités et du contenu de recrutement spécifique au secteur.
• Les fonds volés sont principalement convertis en Ethereum pour être blanchis via des services DeFi.

Pourquoi c'est important

Pour les ingénieurs logiciels et les équipes DevOps, cet incident met en lumière les risques graves inhérents à la chaîne d'approvisionnement open source. Faire confiance à des fournisseurs tiers sans vérification rigoureuse peut entraîner des brèches catastrophiques. L'utilisation des fournisseurs Terraform comme mécanisme de livraison démontre que les attaquants ciblent les outils sur lesquels les constructeurs comptent quotidiennement, et non seulement les applications qu'ils développent. Cela déplace le périmètre de sécurité des seuls environnements de production vers les machines de développement locales et les pipelines CI/CD.

L'intégration de l'IA dans l'ingénierie sociale rend la vigilance traditionnelle insuffisante. Les attaquants peuvent désormais générer des offres d'emploi et des discussions techniques très crédibles qui imitent des interactions légitimes du secteur. Pour les fondateurs techniques et les responsables de recrutement, cela signifie que les processus de recrutement standards sont désormais des vecteurs d'attaque potentiels. Vérifier l'identité des candidats et l'intégrité du code ou des outils partagés est devenu une exigence de sécurité critique, et non plus une simple formalité RH.

Ce que vous pouvez faire

• Vérifiez les checksums et les signatures de tous les fournisseurs Terraform avant installation dans votre environnement.
• Mettez en œuvre une isolation stricte des environnements de développement pour limiter les mouvements latéraux si une machine est compromise.
• Exigez une authentification multifacteur et des clés matérielles pour tout accès administratif à l'infrastructure cloud.
• Établissez des processus de vérification hors bande pour les nouveaux employés et les collaborateurs externes partageant du code.
• Surveillez les arbres de dépendances pour détecter les changements inattendus ou les mises à jour non vérifiées dans les modules infrastructure-as-code.
• Formez les membres de l'équipe aux tactiques d'ingénierie sociale améliorées par l'IA et aux appâts thématiques liés au recrutement.