Les États-Unis saisissent l'infrastructure de piratage nord-coréenne, 1.2 milliard de dollars en cryptomonnaie volés à Binance

Le Département de la Justice a annoncé jeudi des actions coordonnées contre les campagnes de groupes nord-coréens qui ont volé des milliards de dollars en cryptomonnaie, saisissant l'infrastructure cloud derrière un stratagème d'ingénierie sociale connu sous le nom de FaceStealer et la saisie autorisée par le tribunal de plus de 1,2 milliard de dollars volés à la plateforme d'échange de cryptomonnaies Binance.

La plus importante des deux opérations est liée au vol de plus de 6 milliards de dollars d'actifs virtuels de Binance, que le FBI a attribué à des pirates informatiques militaires nord-coréens qu'il appelle TraderTraitor. Les enquêteurs travaillant avec des fournisseurs de services d'actifs virtuels privés ont gelé plus de 2,7 milliards de dollars de fonds volés, et les tribunaux ont autorisé la saisie de plus de 1,2 milliard de dollars de ce montant. 

A. Tysen Duva, le procureur général adjoint en charge de la Division Criminelle du DOJ, a déclaré que sa section des crimes informatiques et ses partenaires ont gelé les actifs volés de Binance « avant qu'ils ne soient hors de portée des forces de l'ordre », stoppant « environ la moitié de cette brèche historique ».

Le FBI a également émis une alerte jeudi détaillant les mécanismes du stratagème. Des pirates connus publiquement sous les noms de Sapphire Sleet, BlueNoroff, APT38 et Stardust Chollima détournent des comptes sur Telegram, LinkedIn, Slack et Discord et invitent les cibles à des réunions vidéo. Les liens mènent à des domaines de typosquattage, hébergeant des versions imposteurs de Zoom et Microsoft Teams « conçues par les pirates pour être indiscernables des interfaces authentiques ».

L'infrastructure saisie par le FBI contenait une bibliothèque de plus de 900 vidéos de webcam enregistrées secrètement que les pirates diffusaient pour se faire passer pour des victimes lors d'attaques ultérieures. Les séquences ont été capturées auprès de victimes alors qu'elles attendaient le début des appels vidéo. L'alerte a publié des exemples caviardés et floutés de la bibliothèque. Étant donné que chaque compromission génère la vidéo et les listes de contacts de la victime suivante, le réservoir de cibles et de victimes « croît de manière exponentielle », a averti l'alerte.