Mise à jour du piratage de Bybit : la Corée du Nord passe à l'étape suivante du blanchiment d'argent

Le 21 février 2025, Bybit, l'une des plus grandes bourses de crypto-monnaies au monde, a subi une cyberattaque sans précédent de la part de la Corée du Nord, qui a entraîné le vol d'environ 1,5 milliard de dollars en jetons Ethereum. Cet événement est désormais le plus grand exploit jamais enregistré, dépassant les précédentes brèches de bourse très médiatisées et soulevant de sérieuses inquiétudes quant à la sophistication croissante des cybercriminels.

Au-delà de l'ampleur du piratage de Bybit, la vitesse à laquelle les fonds volés sont blanchis est particulièrement alarmante. En l'espace de 48 heures, au moins 160 millions d'USD ont été acheminés par des canaux illicites, et TRM estime que le total dépassait les 200 millions d'USD le 23 février. Le 26 février, plus de 400 millions de dollars avaient été déplacés, ce qui témoigne d'un niveau d'efficacité opérationnelle sans précédent.

Le 3 mars 2025, en fin de journée, les Nord-Coréens ont achevé la phase initiale de blanchiment des produits du piratage de Bybit. Tous les ETH volés ont été transférés vers de nouvelles adresses, et la grande majorité d'entre eux ont été convertis en bitcoins, principalement par l'intermédiaire de services utilisant THORchain. TRM suit les adresses contrôlées par les blanchisseurs de Bybit. Cette opération rapide et méthodique indique un niveau d'efficacité opérationnelle sans précédent, ce qui pose de sérieux problèmes aux enquêteurs.

Le processus de blanchiment s'est fortement appuyé sur les outils deDeFi finance décentralisée, en particulier les échanges décentralisés (DEX) et les ponts entre chaînes, pour masquer l'origine des actifs volés. Les attaquants ont déplacé la grande majorité de l'Ethereum volé via THORswap, un protocole de liquidité décentralisé inter-chaînes qui permet des échanges directs d'actifs sans nécessiter d'intermédiaire. Entre le 24 février et le 2 mars, la THORChain a connu un regain d'activité sans précédent.

Ce blanchiment rapide suggère que la Corée du Nord a développé son infrastructure de blanchiment d'argent ou que les réseaux financiers clandestins, en particulier en Chine, ont renforcé leur capacité à absorber et à traiter les fonds illicites. L'ampleur et la rapidité de cette opération posent de nouveaux défis aux enquêteurs, car les mécanismes traditionnels de lutte contre le blanchiment d'argent peinent à suivre le rythme du volume élevé des transactions illicites.

Historiquement, les cybercriminels nord-coréens se sont appuyés sur les mélangeurs de crypto-monnaies comme deuxième phase de leur processus de blanchiment. Nous sommes maintenant entrés dans cette deuxième phase et nous avons vu une première tranche de BTC de Bybit être déposée sur des mélangeurs, notamment Wasabi et CryptoMixer. La question de savoir si ces mélangeurs peuvent continuer à absorber la quantité d'argent en jeu reste ouverte. Les volumes typiques de ces services vont de quelques millions à peut-être 10 millions d'USD par jour. Les blanchisseurs de Bybit pourraient facilement déposer cette somme en quelques heures. 

Mais même à grande échelle, ces mélangeurs peuvent créer des doutes dans le processus de traçage. Jusqu'à présent, toute personne ayant la patience et la volonté nécessaires pouvait suivre le flux des fonds Bybit. Cependant, les mélangeurs constituent des obstacles majeurs pour la plupart des enquêteurs. Si les enquêteurs ayant accès à des outils tels que TRM sont en mesure de retracer de nombreux mixers avec un degré de confiance élevé, il n'en va pas de même pour les enquêteurs utilisant les outils en ligne disponibles. TRM s'attend à ce que le nombre de fausses pistes positives augmente au fur et à mesure que les enquêteurs tracent par erreur des retraits sans rapport avec les mixeurs. 

Malgré la rapidité des mouvements d'actifs, une grande partie des bitcoins convertis reste immobile, ce qui laisse penser que les pirates se préparent à une liquidation à grande échelle ou à un obscurcissement supplémentaire par l'intermédiaire de réseaux de gré à gré (OTC). 

Ce changement dans les tactiques de blanchiment reflète la dépendance de la Corée du Nord à l'égard des ponts entre les chaînes et des stratégies de transaction à haut volume, comme l'explique un rapport du TRM sur les activités cybernétiques de la RPDC. Lors des casses précédents, les pirates nord-coréens utilisaient des plateformes telles que Ren Bridge et Avalanche Bridge, convertissant souvent les fonds en bitcoins avant d'utiliser des mélangeurs tels que Sinbad, YoMix, Wasabi Wallet et CryptoMixer. Si les services utilisés changent avec le temps et les mesures d'application de la loi, la stratégie de base reste largement la même : faire le pont, mélanger et refaire le pont... encore et encore. 

Selon Nick Carlsen, spécialiste de la Corée du Nord au TRM et ancien expert du FBI , "l'exploit de Bybit indique que le régime intensifie sa technique d'"inondation de la zone" en submergeant les équipes de conformité, les analystes de la blockchain et les organismes d'application de la loi avec des transactions rapides et à haute fréquence sur plusieurs plateformes, compliquant ainsi les efforts de suivi."