Les États-Unis démantèlent Xinbi Guarantee et gèlent 52,8 millions de dollars liés à des réseaux d’escroquerie mondiaux

Canaux Telegram et portefeuilles de cryptomonnaies mis hors ligne

Les autorités américaines ont annoncé mercredi une action coordonnée contre Xinbi Guarantee, une place de marché en langue chinoise qui fournissait des infrastructures et des services financiers à des opérations frauduleuses reposant sur le cyberespace.

Le département de la Justice a saisi les canaux Telegram et les noms d’utilisateur hébergeant la place de marché après avoir reçu l’autorisation d’un tribunal de district le lundi précédent. Le canal principal de Xinbi n’était plus accessible mercredi.

Les enquêteurs ont également saisi deux portefeuilles de cryptomonnaies contenant environ 12 millions de dollars. Dans le cadre d’une opération financière plus large, le Secret Service américain a collaboré avec la société d’analyse de blockchain Elliptic et l’émetteur de stablecoins Tether pour geler 52,8 millions de dollars répartis sur 52 portefeuilles associés à Xinbi et à son réseau de marchands.

Le département de la Justice a indiqué qu’environ 52 millions de dollars de fonds soupçonnés d’être liés au blanchiment d’escroqueries ont été bloqués en une seule journée. Cela porte le montant total bloqué par la Scam Center Strike Force à environ 938 millions de dollars.

L’Office of Foreign Assets Control du département du Trésor a sanctionné Xinbi et deux entreprises accusées de soutenir ses opérations. The Record a identifié ces entreprises comme étant Anwen Technology et SafeW Technology Co.

Anwen Technology, basée au Cambodge, a développé l’application de paiement en cryptomonnaies XinbiPay. SafeW Technology a produit une application de messagerie chiffrée prétendument utilisée par les marchands de Xinbi et des réseaux de blanchiment d’argent.

Aucune adresse de portefeuille, aucun domaine, aucun identifiant Telegram ni aucun autre indicateur technique n’a été rendu public. Cela limite ce que les institutions financières et les équipes de sécurité peuvent rechercher de manière indépendante dans leurs enregistrements internes.

Un guichet unique au service de la fraude industrialisée

Créée en 2022, Xinbi jouait le rôle d’intermédiaire de dépôt fiduciaire entre des fournisseurs spécialisés et les groupes criminels qui dirigent des complexes d’escroquerie. Elliptic la décrit comme la deuxième plus grande place de marché en ligne illicite recensée à ce jour.

Les estimations de son volume de transactions varient. Un chiffre cité évalue l’activité à environ 30 milliards de dollars depuis la création de la place de marché, tandis qu’un autre indique qu’elle a traité au moins 24 milliards de dollars. DarkTower a recensé plus de 4 600 fournisseurs de crime-as-a-service sur Xinbi au cours de la semaine précédente.

La place de marché soutenait les escroqueries de type « pig butchering » et les arnaques sentimentales, dans lesquelles les opérateurs cultivent une relation avec leurs victimes avant de les orienter vers des investissements frauduleux. Le rôle de Xinbi ne se limitait pas aux paiements.

Les services annoncés sur la plateforme incluaient notamment :

• Des sites web d’investissement personnalisés conçus pour usurper l’identité de services de trading légitimes.
• Le blanchiment d’argent pour des produits issus de fraudes par virement bancaire.
• Des informations personnelles volées utilisées pour établir le profil des victimes ou usurper leur identité.
• Des outils deepfake destinés à l’ingénierie sociale et à la création d’identités frauduleuses.
• Le recrutement ou le trafic de travailleurs vers des complexes d’escroquerie en Asie du Sud-Est.
• Des services financiers et de communication destinés aux marchands qui desservent ces complexes.

Cette structure permettait aux opérateurs d’escroqueries d’acheter les composants d’une campagne auprès de différents fournisseurs tout en s’appuyant sur Xinbi pour conserver ou transférer les paiements. Le modèle de dépôt fiduciaire réduisait la méfiance entre criminels qui, autrement, auraient hésité à traiter avec des fournisseurs anonymes.

Le Trésor a indiqué que la plateforme aurait été utilisée par des pirates informatiques nord-coréens et par des organisations déjà sanctionnées. Parmi elles figuraient Jin Bei Group Co., Ltd. et des entités appartenant à l’organisation criminelle transnationale Prince Group.

Les gels d’USDT frappent le modèle de paiement de la place de marché

Xinbi s’appuyait historiquement sur le stablecoin USDT de Tether, principalement transféré via la blockchain TRON. Cette dépendance créait un levier d’action essentiel pour les autorités, car Tether peut geler de manière centralisée les jetons associés à des adresses désignées.

Le gel de 52,8 millions de dollars montre comment des transactions en blockchain peuvent rester techniquement transférables tandis que les actifs eux-mêmes sont rendus inutilisables par leur émetteur. L’analyse de la blockchain a permis d’identifier les portefeuilles concernés, tandis que la coopération de Tether a rendu les restrictions possibles.

Les administrateurs de Xinbi ont réagi en annonçant une transition vers l’USDD, un autre stablecoin indexé sur le dollar et fonctionnant sur TRON. La place de marché aurait échangé environ 2,8 millions de dollars d’USDT restants contre des USDD via une plateforme d’échange décentralisée.

Cette décision pourrait rendre une intervention directe plus compliquée, mais elle ne supprime pas l’exposition au gel. Le degré de décentralisation de l’USDD est contesté, et une partie de sa garantie serait constituée d’USDT restant soumis aux contrôles de Tether.

Les administrateurs de Xinbi ont publiquement critiqué ce qu’ils qualifient de gels arbitraires. Ils ont également reconnu que débloquer des quantités importantes d’USDT et démontrer leur conformité était devenu plus difficile et plus long que prévu.

L’action financière va donc au-delà des fonds bloqués. Les places de marché de garantie reposent sur la confiance que les fournisseurs seront payés et que les opérateurs pourront retirer leurs soldes. Dès lors que les marchands savent que leurs portefeuilles peuvent être tracés, sanctionnés et gelés, le service de dépôt fiduciaire perd de sa crédibilité.

Xinbi a prospéré après la chute de places de marché rivales

Xinbi s’est développée après la fermeture de HuiOne Guarantee et de son successeur, Tudou Guarantee, l’année dernière. HuiOne avait traité environ 31 milliards de dollars d’activité avant que Telegram ne la ferme sous la pression internationale.

Les marchands criminels ont ensuite migré vers Xinbi. Les chercheurs avaient exhorté Telegram à agir également contre cette place de marché, mais aucune intervention supplémentaire n’a immédiatement suivi.

Xinbi s’était également remise d’une précédente perturbation sur Telegram. Le cofondateur d’Elliptic, Tom Robinson, avait déclaré en janvier que la plateforme avait repris ses activités après l’intervention de Telegram et que la messagerie avait refusé d’agir davantage, contribuant ainsi à la croissance de nouveaux marchés.

Les dernières saisies de canaux modifient cette équation en combinant la perturbation de la plateforme avec des sanctions et des gels de cryptomonnaies. Supprimer un canal Telegram peut, à lui seul, simplement inciter les administrateurs à en créer un autre. Restreindre l’infrastructure financière de la place de marché augmente le coût d’une reconstruction.

Xinbi pourrait encore changer de nom ou se relancer, comme HuiOne a tenté de le faire avec Tudou. Les chercheurs s’attendent néanmoins à ce que les sanctions et la confiance ébranlée des marchands rendent sa survie plus difficile. Tudou n’est d’ailleurs pas restée active longtemps.

Le Royaume-Uni avait déjà sanctionné Xinbi en mars, devenant le premier pays à la désigner. L’action britannique citait notamment la vente de données personnelles volées et d’équipements d’accès à Internet par satellite utilisés pour contacter les victimes d’escroqueries. Les mesures américaines ont suivi plus de cinq mois plus tard.

L’opération à Madagascar vise les complexes physiques d’escroquerie

La campagne de répression ne s’est pas limitée à Telegram et aux cryptomonnaies. La Scam Center Strike Force a déployé du personnel à Madagascar dans le cadre de l’élargissement de son mandat à la poursuite des complexes d’escroquerie à l’échelle mondiale.

L’opération a contribué à perturber 13 centres prétendument contrôlés par des organisations criminelles chinoises. Les autorités ont saisi plus de 3 200 appareils électroniques et ouvert des enquêtes en s’appuyant sur les informations recueillies lors d’entretiens avec près de 400 personnes arrêtées.

Environ 30 dirigeants chinois présumés des complexes ont été rapatriés en Chine par le gouvernement chinois. La procureure américaine Jeanine Pirro a par ailleurs qualifié de développement intéressant le rapatriement rapide de dizaines de dirigeants présumés.

Les complexes d’escroquerie constituent la couche opérationnelle de nombreuses campagnes de « pig butchering ». Les travailleurs peuvent être recrutés sous de faux prétextes ou victimes de traite, puis contraints de contacter des victimes, de nouer des relations et de les orienter vers des plateformes financières frauduleuses.

L’écosystème de fournisseurs de Xinbi soutenait cette activité en mettant en relation les opérateurs de complexes avec des services de paiement, des vendeurs de données, des développeurs de sites web et des prestataires de blanchiment. Le déploiement à Madagascar visait les personnes et les équipements à l’origine des escroqueries, tandis que les gels de portefeuilles frappaient leurs canaux financiers.

Aucun correctif n’existe pour cette menace

Il s’agit d’une perturbation policière et financière, pas d’une vulnérabilité logicielle. Il n’existe aucune version logicielle concernée, aucun identifiant CVE, aucun correctif ni aucune solution de contournement.

Les autorités n’ont pas non plus publié de consignes de défense spécifiques aux victimes. Sans adresses de portefeuilles, domaines ou identifiants de compte, les entreprises ne peuvent pas élaborer de règles de détection précises à partir des seules informations publiques.

L’opération américaine rapportée établit néanmoins plusieurs points de pression : l’infrastructure Telegram peut être saisie sur décision de justice, les soldes de stablecoins peuvent être gelés et les fournisseurs peuvent être sanctionnés en même temps que la place de marché centrale.

L’impact immédiat est considérable, mais pas nécessairement permanent. Les opérateurs de Xinbi pourraient migrer vers de nouveaux canaux, adopter un autre nom ou expérimenter des actifs conçus pour résister au gel centralisé.

Rebâtir la confiance sera la tâche la plus difficile. Les marchands savent désormais que des soldes de dépôt fiduciaire apparemment stables peuvent devenir inaccessibles, tandis que les transactions peuvent aider les enquêteurs à cartographier un réseau criminel plus large. Pour une place de marché conçue pour résoudre les problèmes de confiance entre criminels, cette incertitude constitue une menace directe pour son modèle économique.