Le FBI attribue un vol de cryptomonnaies supérieur à 6 milliards de dollars au groupe de hackers aligné sur la Corée du Nord TraderTraitor, ainsi que l'a rapporté The Hacker News le 1er novembre. Binance a indiqué reprendre progressivement les retraits, après les avoir suspendus à la suite de l'incident, tandis que les services de dépôt sont restés ouverts et non affectés.
Le rapport chiffre le vol à 6,43 milliards de dollars sur onze blockchains, dont 82 % des fonds dérobés se trouvaient sur Ethereum et Bitcoin. Il indique que 2,85 milliards de dollars ont été gelés on-chain, c'est-à-dire restreints sur la blockchain, par Tether, Circle, Ripple, Arbitrum et Optimism. Le montant rapporté dépasse les 1,46 milliard de dollars volés à Bybit en février 2025, ce qui en fait le plus important vol de cryptomonnaies signalé à ce jour.
Pour les clients de Binance, la conséquence immédiate est un retour progressif des retraits. Pour les entreprises et les développeurs du secteur des cryptomonnaies, l'attribution met aussi en lumière un groupe dont les campagnes documentées utilisent de fausses offres de recrutement et des outils de développement compromis pour voler des informations et obtenir un accès à distance.
Les retraits reprennent pendant que les enquêteurs suivent les fonds
Le FBI, le Service secret des États-Unis et le Criminal Investigation de l'Internal Revenue Service ont indiqué avoir observé que les attaquants convertissaient les actifs volés principalement en Ethereum (ETH), selon The Hacker News. Le FBI s'attend à un blanchiment supplémentaire via des services de finance décentralisée, communément appelés DeFi, et des échanges instantanés de cryptomonnaies. Cette étape suivante attendue se distingue des conversions que les enquêteurs ont déjà observées.
L'agence a également publié les adresses de portefeuilles que, selon elle, les attaquants utilisaient pour blanchir les actifs.
Binance a indiqué que la première phase de rétablissement des retraits avait commencé le 1er novembre, entre 6 h et 9 h UTC. Dans sa déclaration reprise par The Hacker News, la plateforme affirme avoir pris des mesures de précaution, évalué la sécurité et vérifié l'état de préparation des services concernés. Les autres retraits reviendront progressivement à mesure que ces vérifications seront achevées.
Elliptic, société d'analyse de blockchain, décrit le vol comme presque doublant le total des cryptoactifs volés par la Corée du Nord. Dans la déclaration citée par The Hacker News, Elliptic estime que des acteurs liés au pays auraient dérobé plus de 6,5 milliards de dollars ces dernières années.
TraderTraitor est aussi suivi sous les noms de Jade Sleet, Pressure Chollima, PUKCHONG, Slow Pisces et UNC4899. Actif depuis 2020 au moins, il a déjà convaincu des cibles du secteur des cryptomonnaies de télécharger des applications contenant des logiciels malveillants. Parmi les vols antérieurs attribués au groupe figurent des attaques contre DMM Bitcoin, Bybit, KelpDAO et Bitget.
Les leurres de recrutement touchent le travail des développeurs
Un autre rapport évoqué par The Hacker News, s'appuyant sur SentinelOne, Zscaler ThreatLabz et Microsoft, montre que le groupe utilise des fournisseurs Terraform malveillants et des sociétés écrans pour cibler des personnes travaillant dans la cybersécurité, l'IA, la blockchain et le recrutement de talents.
Les fournisseurs Terraform sont des composants qu'un outil de gestion d'infrastructure utilise pour interagir avec des services. Dans la chaîne d'attaque décrite, un fournisseur modifié pour contenir du code malveillant livre un chargeur Bash, c'est-à-dire un script qui télécharge et lance d'autres logiciels malveillants. Le chargeur sélectionne une charge utile adaptée au système d'exploitation de la victime, ce qui permet à la campagne de toucher les systèmes macOS, Linux et Windows.
La chaîne comprend FLATROOF, un implant qui utilise un voleur d'informations basé sur Python pour collecter des données sensibles, suivi de la porte dérobée ROOFDECK, qui donne aux attaquants un contrôle à distance et un accès persistant. Ces constats décrivent les méthodes plus larges du groupe plutôt qu'un point d'entrée établi pour le vol nouvellement signalé.
Dans une analyse du 29 octobre de Microsoft Threat Intelligence, Jade Sleet a lancé des campagnes via trois sociétés écrans en une seule semaine. L'une d'elles se présentait comme une société de renseignement sur la blockchain alimentée par l'IA. Les attaquants ont utilisé des domaines sur mesure, des profils sur les réseaux sociaux et une connaissance du secteur pour approcher de futurs ingénieurs logiciels et organiser des entretiens. Deux autres sociétés écrans ont soutenu des campagnes de recrutement similaires au cours de cette même période.
Microsoft estime que l'usage de l'IA est désormais ancré dans l'ensemble des flux opérationnels de Jade Sleet. L'entreprise décrit l'IA comme accélérant des activités existantes, notamment la création de leurres, l'élaboration de fausses identités et le travail d'infrastructure, tout en estimant que les opérations nord-coréennes assistées par l'IA restent dirigées par des humains.
Ses constats plus larges incluent Onyx Sleet, qui produit des dizaines de leurres sur mesure en quelques minutes, Coral Sleet, qui a rapidement mis au point un moyen d'insérer du code malveillant dans des dépôts de sources privés, et Diamond Sleet, qui utilise l'IA pour soutenir le ciblage, les personas et les sociétés écrans. Microsoft indique aussi qu'Onyx Sleet et Pearl Sleet utilisaient ARTEX, un cadre open source d'IA pour les tests d'intrusion. Ces observations concernent des groupes distincts et ne doivent pas être considérées comme des méthodes établies dans le vol de cryptomonnaies.
Mesures pour les équipes de sécurité et les recruteurs
Les recommandations de Microsoft couvrent le paysage plus large de la menace nord-coréenne, qui englobe l'hameçonnage, les logiciels malveillants, les systèmes exposés et l'infiltration d'employés. Pour les organisations confrontées à des attaques sur le thème du recrutement, l'entreprise recommande de former les utilisateurs à reconnaître les approches non sollicitées, les pièces jointes suspectes et les demandes reçues via les réseaux sociaux ou les applications de messagerie, et à signaler les activités suspectes.
Les équipes de recrutement devraient examiner avec attention les candidats passant par des cabinets de recrutement, comparer les noms, adresses et dates figurant dans les différentes candidatures et vérifications d'antécédents, et contrôler les références par téléphone ou en visioconférence. Microsoft recommande aussi de rechercher des profils professionnels ou des numéros de téléphone en double, de repérer une même persona employée par plusieurs entreprises et d'organiser plusieurs entretiens vidéo. Selon ses recommandations, des problèmes répétés de caméra ou de micro sont un signal d'alerte, au même titre qu'une empreinte numérique absente ou incohérente.
Les administrateurs de sécurité doivent maintenir à jour les définitions antivirus et la protection en temps réel, activer la protection fournie par le cloud et utiliser des outils de détection et de réponse sur les terminaux capables de bloquer une activité malveillante après une intrusion initiale. Microsoft cite parmi les détections pertinentes l'alerte Defender for Endpoint « Jade Sleet threat actor activity detected ».
Pour les environnements Microsoft, ses recommandations incluent Safe Links et Safe Attachments, la suppression rétroactive des courriels malveillants via Zero-hour auto purge, et le blocage de l'authentification par code d'appareil dans la mesure du possible. Lorsque cette méthode d'authentification est nécessaire, les administrateurs doivent la contrôler au moyen des stratégies Microsoft Entra Conditional Access.
Microsoft recommande également de réduire l'exposition publique des systèmes, d'utiliser un accès réseau protégé lorsque c'est possible, de placer les serveurs publics nécessaires derrière une infrastructure de protection et d'automatiser l'application des correctifs. Ses recommandations de réduction de la surface d'attaque incluent le blocage du contenu exécutable dans les courriels, des exécutables non fiables et des scripts potentiellement déguisés. Les intervenants peuvent utiliser ses outils d'investigation de messagerie pour trouver et supprimer les messages d'hameçonnage livrés, y compris ceux dont l'objet ou les URL ressemblent à des exemples malveillants connus.
