Un représentant de la banque nord-coréenne du commerce extérieur inculpé pour son rôle dans deux complots de blanchiment de crypto-monnaies

Le 24 avril, le Department of Justice a publié deux actes d'accusation fédéraux dans le district de Columbia, inculpant un représentant de la Banque nord-coréenne du commerce extérieur ("FTB") pour son rôle dans des conspirations de blanchiment d'argent visant à générer des revenus pour la Corée du Nord grâce à l'utilisation de crypto-monnaies.

Le premier acte d'accusation reproche à Sim Hyon Sop ("Sim"), un ressortissant nord-coréen, d'avoir conspiré avec trois traders de gré à gré ("OTC"), Wu HuiHui ("Wu"), un ressortissant chinois, Cheng Hung Man ("Cheng"), un ressortissant britannique vivant à Hong Kong, et un utilisateur inconnu du moniker en ligne "live :jammychen0150" ("Chen"), pour blanchir de la crypto-monnaie volée et utiliser les fonds pour acheter des biens par l'intermédiaire de sociétés écrans basées à Hong Kong au profit de la Corée du Nord. Le Bureau du contrôle des avoirs étrangers (OFAC) du Département du Trésor des États-Unis a pris des mesures de sanctions concomitantes à l'encontre de Sim, Wu et Cheng.

Avec ces actions, l'OFAC et le DOJ lèvent le voile sur la manière dont la Corée du Nord nettoie l'argent qu'elle vole. C'est également la première fois que des informations sont rendues publiques, montrant comment les crypto-monnaies volées par la Corée du Nord sont utilisées pour acheter des biens qui soutiennent le régime.

L'un des défis persistants pour les acteurs qui volent des crypto-monnaies est la conversion réussie des recettes des crypto-monnaies en monnaies fiduciaires. Ce processus est devenu progressivement plus difficile à mesure que l'utilisation d'outils avancés de blockchain intelligence prolifère et que l'adoption plus large des contrôles anti-blanchiment par les entreprises de crypto-monnaies se développe à l'échelle mondiale, ce qui rend plus difficile la dissimulation de fonds illicites. Comme nous l'avons observé dans des cas précédents, si les acteurs nord-coréens ont tendance à être moins préoccupés par la sécurité et l'anonymat que les cybercriminels non étatiques, ils cherchent toujours à convertir leurs gains illicites en dollars, en euros et en yuans, car les vendeurs de pétrole, de composants de missiles et de tabac n'acceptent généralement pas les crypto-monnaies en guise de paiement.

Les courtiers de gré à gré, comme Wu et Cheng, sont des maillons essentiels qui facilitent la conversion des fonds de la crypto-monnaie en monnaies traditionnelles. Ils peuvent ouvrir des comptes sur les grandes bourses de crypto-monnaies et acheminer les fonds échangés vers les banques traditionnelles sous couvert d'opérations de gré à gré à fort volume ou d'autres activités commerciales.

Une fois entrés dans le système financier traditionnel, ces fonds entament un parcours alambiqué à travers des comptes détenus au nom de sociétés de négoce offshore dans des juridictions obscures - souvent celles qui bénéficient d'une forte protection du secret et de processus de surveillance laxistes. 

La Chine, principal partenaire commercial de la Corée du Nord, la Russie et une poignée d'autres juridictions plus petites font partie du petit groupe de juridictions où les Nord-Coréens peuvent opérer, malgré les promesses d'appliquer les sanctions des Nations unies à l'encontre de la Corée du Nord. Dans le cas présent, les deux courtiers cités dans les actions sont basés dans des territoires chinois. 

Comme le précise le communiqué de presse du DOJ:‍

"[Les parties inculpées] ont conspiré pour blanchir de la crypto-monnaie volée et ont ensuite utilisé ces fonds pour acheter des biens par l'intermédiaire de sociétés écrans basées à Hong Kong pour le compte de la Corée du Nord. Sim a dirigé ces paiements, qui ont été effectués en dollars américains, par l'intermédiaire de "Jammy Chen". "Jammy Chen" a ensuite recruté Wu et Cheng, qui étaient tous deux des traders de gré à gré, pour trouver des sociétés écrans fictives et faciliter les paiements afin d'éviter les sanctions américaines contre la Corée du Nord."‍

Les investissements continus des bourses dans leurs équipes de conformité et d'enquête rendent plus difficile le blanchiment de fonds volés par des courtiers de gré à gré. Wu Huihui, l'une des cibles de ces actions, a vu ses comptes restreints par l'équipe d'investigation de Binance en 2022. Wu a fait part de ses frustrations sur Twitter. À l'époque, Wu a prétendu ignorer pourquoi Binance avait décidé que son compte était à haut risque.

Ces actions ont également mis en évidence l'intersection des réseaux traditionnels de blanchiment d'argent de la Corée du Nord basés sur le commerce, en particulier ses banques, pour nettoyer et dépenser les fonds que les pirates informatiques de la Corée du Nord ont volés. Sim Hyon-sop est un représentant de la KKBC, une banque nord-coréenne clé et une filiale de la Foreign Trade Bank (FTB), qui a supervisé des éléments essentiels des réseaux de blanchiment d'argent de la Corée du Nord. Dans son communiqué de presse, l'OFAC a révélé que Sim est désormais basé à Dandong, en Chine, une ville qui joue un rôle essentiel dans les réseaux commerciaux et financiers de la Corée du Nord depuis des décennies.

Les actions antérieures DOJFBI visant la FTB et la KKBC, les banques commerciales de Corée du Nord, ont exploré en profondeur le fonctionnement des réseaux financiers illicites de Corée du Nord, révélant que ces réseaux dépendent de ressortissants non nord-coréens qui établissent des sociétés et des comptes financiers. Historiquement, ces facilitateurs étaient souvent des entreprises ayant des relations commerciales directes et traditionnelles avec des partenaires nord-coréens. Aujourd'hui, avec l'essor de la crypto-monnaie et les vols qui font la une des journaux perpétrés par les pirates informatiques nord-coréens, ils doivent passer par des facilitateurs comme Wu et Cheng.

Selon les informations publiées par le DOJ, M. Sim a également contribué à gérer les flux de fonds vers la Corée du Nord provenant de développeurs de logiciels nord-coréens travaillant clandestinement avec des clients étrangers:‍

"Sim aurait également conspiré pour blanchir des fonds générés par des travailleurs informatiques nord-coréens qui ont obtenu un emploi illégal dans l'industrie de la technologie et de la crypto. Ces informaticiens utilisaient de fausses identités pour obtenir des emplois, y compris dans des entreprises basées aux États-Unis, et demandaient ensuite à être payés en crypto-monnaies, telles que les stablecoins comme USD Tether (USDT) et USD Coin (USDC), qui sont indexés sur le dollar américain. Après avoir été payés, ils renvoyaient leurs gains en Corée du Nord par l'intermédiaire de Sim."

Cette évolution du travail logiciel à distance et semi-licite est apparue après l'expulsion de nombreuses équipes de logiciels nord-coréennes, suite aux restrictions imposées aux travailleurs nord-coréens à l'étranger par les résolutions de l'ONU. 

Les enquêtes menées par TRM suggèrent que ce type de projets de développement de logiciels est très lucratif pour le régime nord-coréen et présente des dangers uniques, permettant souvent aux programmeurs nord-coréens d'accéder à des informations sensibles qui peuvent être utilisées pour pirater les projets pour lesquels ils travaillent.

Le graphique ci-dessous montre l'évolution du salaire bihebdomadaire d'un informaticien et pirate informatique nord-coréen. TRM Labs a suivi jusqu'à l'adresse révélée publiquement hier comme étant contrôlée par Sim Hyon-sop pour le compte de FTB/KKBC.  

Au cours de l'année dernière, nous avons vu les cybercriminels nord-coréens attaquer les entreprises de crypto-monnaies à une vitesse et à une échelle sans précédent. Selon l'analyse de TRM, 2022 a été une année record pour les piratages de crypto-monnaies, avec environ 3,7 milliards de dollars de fonds volés. Les attaques contre les projets DeFi ont été particulièrement fréquentes, avec environ 80 % de tous les fonds volés, soit 3 milliards de dollars, impliquant des victimes DeFi . Environ la moitié de ce total est attribuable à la seule Corée du Nord. Grâce aux mesures prises cette semaine par le DOJ et le Trésor, les autorités commencent à lever le voile sur la manière dont ces fonds volés sont blanchis sur la chaîne et en dehors de celle-ci. Nous constatons notamment que les autorités se concentrent sur les rampes de sortie afin de s'assurer que les cybercriminels de la RPDC ne sont pas en mesure de convertir les fonds en monnaies fiduciaires plus faciles à utiliser. Il est probable que les autorités poursuivent leurs efforts contre les courtiers de gré à gré basés en Asie et les autres points de sortie des fonds piratés et volés.

Pour en savoir plus sur les activités cybernétiques de la RPDC, consultez le site suivant TRM Talks et la bibliothèque de TRM sur la Corée du Nord.