La première guerre des cryptomonnaies ? Évaluation de l'écosystème de la blockchain illicite un an après l'invasion de l'Ukraine par la Russie

Lorsque la Russie a envahi l'Ukraine le 24 février 2022, de nombreux analystes et commentateurs ont prévu qu'il s'agirait de la première guerre cryptographique au monde.

Plusieurs raisons expliquent ces prédictions. L'offensive a déclenché le premier conflit international majeur depuis l'émergence des crypto-monnaies dans les années 2010. Elle a également coïncidé avec le sommet de la hausse des crypto-monnaies, lorsque le bitcoin et les produits basés sur la blockchain, tels que les NFT, ont atteint des sommets historiques et un engouement maximal. 

Deuxièmement, les pays de l'ex-Union soviétique dominent depuis longtemps les activités mondiales de piratage informatique et de cybercriminalité. Ces deux facteurs ont fait naître l'espoir que la cyberguerre jouerait un rôle important dans le conflit. 

Troisièmement, l'adoption sans réserve des crypto-monnaies par l'Ukraine pour les dons internationaux, ainsi que la crainte que les sanctions occidentales ne favorisent l'adoption des crypto-monnaies par des entités russes cherchant à s'y soustraire, ont également contribué au sentiment que les crypto-monnaies jouaient un rôle central dans le conflit. 

Le premier anniversaire de la guerre, TRM Labs a concentré son analyse sur l'état de l'écosystème cryptographique illicite au cours de l'année écoulée. Ce rapport explique comment les cybercriminels ont adapté leurs organisations et leurs tactiques aux perturbations financières, politiques et logistiques auxquelles l'Europe et le reste du monde sont confrontés.

Principaux résultats

Avant février 2022, la Russie et l'Ukraine, ainsi que plusieurs pays voisins, présentaient de nombreux points communs en matière de criminalité liée aux cryptomonnaies. 

Les échanges liés à la Russie et à l'Ukraine représentaient plus de la moitié de tous les volumes internationaux de crypto-monnaies illicites, tandis que les syndicats de cybercriminels et autres groupes illicites étaient composés de russophones originaires de toute la région, sans qu'il y ait de division apparente selon des critères nationaux ou ethniques. Les cibles de ces groupes de logiciels malveillants ont tendance à être motivées par des considérations commerciales plutôt que politiques.

Les marchés du darknet (DNM) en langue russe ont dominé le commerce mondial des crypto-drogues en termes de volumes et semblaient imperméables à l'action des services répressifs. Également connus sous le nom de cryptomarchés, les DNM sont des plateformes de commerce mondial illicite multi-fournisseurs en ligne qui se spécialisent principalement dans la vente de drogues illicites.

Les DNM combinent des réseaux d'anonymisation et des crypto-monnaies avec des technologies de cryptage. Ils se distinguent des magasins indépendants à fournisseur unique qui vendent également des drogues illicites et d'autres types de magasins frauduleux. Les dépôts dans les DNM en langue russe représentent plus de 80 % de tous les dépôts effectués sur les places de marché du darknet dans le monde. Au cours de l'année qui s'est écoulée depuis le début de la guerre, les recherches de TRM ont permis de constater des changements dans bon nombre de ces caractéristiques, tandis que d'autres sont restées pratiquement inchangées.

Consultez le rapport complet ici, qui reprend les principales conclusions résumées ci-dessous :

• Malgré les sanctions occidentales et les fermetures, les DNM en langue russe, les groupes de Rançonlogiciel et les échanges à haut risque continuent de prospérer.

L'année 2022 a été marquée par une action sans précédent des gouvernements occidentaux et des services répressifs contre les DNM et les échanges à haut risque liés à la Russie. En avril 2022, la police allemande a confisqué les serveurs d'Hydra, à l'époque le plus grand DNM du monde.

Le même mois, l'Office of Foreign Assets Control (OFAC) du département du Trésor des États-Unis a sanctionné Hydra et Garantex, une bourse d'échange de cryptomonnaies basée en Russie, également enregistrée en Estonie et accusée d'avoir facilité plus de 100 millions d'USD de transactions associées à des acteurs illicites et à des DNM, dont près de 6 millions d'USD provenant du Rançonlogiciel russe gang Conti et quelque 2,6 millions d'USD provenant d'Hydra.

Malgré ces actions, non seulement Garantex poursuit ses activités, mais elle a plus que doublé ses volumes de transactions au cours de l'année 2022. De même, les recherches de TRM ont montré que les nouveaux DNM en langue russe ont rapidement comblé le vide laissé par Hydra, avec des ventes entre mai et décembre 2022 égales et supérieures à celles réalisées entre janvier et avril, lorsque Hydra était encore actif.

Bien que Conti ait officiellement fermé ses portes en mai 2022, elle a poursuivi ses activités après avoir été rebaptisée sous la forme de plusieurs entités plus petites mais apparentées. L'une d'entre elles, Karakurt, semble avoir été créée par Conti en tant que projet secondaire en 2021. 

La Russie continue d'abriter le plus grand nombre d'échanges de crypto-monnaies à haut risque au monde, avec près de 10 % de toutes les transactions sur ses échanges classées par TRM comme étant à haut risque - un chiffre qui est resté relativement constant avant et après l'invasion. Situées hors de portée des forces de l'ordre occidentales, ces bourses à haut risque ont vu les volumes de crypto-monnaies en 2022 ne diminuer que légèrement par rapport à l'année précédente, alors même que l'hiver cryptographique a effacé environ 60 % de la valeur du bitcoin. 

• Les entités liées aux matériels d'abus sexuel d'enfants (CSAM) se tournent vers les bourses à haut risque et les DNM russes

L'effondrement total de la coopération entre la Russie et l'Occident en matière de cybercriminalité a peut-être favorisé l'apparition d'activités illicites nouvelles ou jusque-là peu courantes. 

Les recherches de TRM ont permis de suivre 3,81 millions de dollars envoyés à des entités liées à CSAM au cours de l'année 2022. Les recherches de TRM ont révélé un pic dans les volumes de fonds envoyés par des entités liées à CSAM vers des bourses russes à haut risque dans la période précédant et suivant immédiatement l'invasion. Alors que certains liens avaient déjà été observés entre les acteurs du CSAM et les DNM, le trafic vers les DNM a augmenté de manière significative au cours de l'année 2022.

Les acteurs du CSAM peuvent s'être tournés vers les DNM en langue russe pour masquer la source des fonds en profitant de la complexité de l'infrastructure des crypto-monnaies déployée par ces marchés et peut-être parce qu'ils ont le sentiment que les DNM sont hors de portée des services répressifs internationaux.

• Une politisation croissante détectée chez les pirates informatiques, mais pas sur les places de marché ou les forums du Darknet

La guerre a coïncidé avec la politisation de certains groupes russophones de piratage et de cybercriminalité, dont plusieurs ont commencé à solliciter des dons en crypto-monnaie. Par exemple, le groupe KillNet, spécialisé dans les logiciels malveillants et le DDOS, a prêté allégeance à l'État russe et menacé d'attaquer des entités liées à des pays, tels que les États-Unis et leurs alliés, qui s'opposent à la politique étrangère de la Russie. 

KillNet a également utilisé son canal Telegram très populaire pour collecter des crypto-monnaies qui, selon lui, financent des dons d'équipements militaires à des unités de l'armée russe. L'homologue pro-ukrainien de KillNet, Dump Forums, a mené des cyberattaques contre des cibles russes et recueille également des fonds par l'intermédiaire de Telegram.

En revanche, d'autres secteurs de l'économie cryptographique illicite semblent être restés relativement à l'abri des bouleversements géopolitiques. C'est le cas des DNM et des forums du darknet. Notre analyse a établi que si certains DNM ont acquis une réputation pro-russe ou pro-ukrainienne, l'espace est en général resté politiquement neutre. 

Les impératifs commerciaux - la concurrence sur la qualité des produits et la course à la domination du marché à la suite de la fermeture d'Hydra, le plus grand DNM du monde, en avril 2022 - semblent l'emporter sur la politique, les groupes s'alliant et s'attaquant les uns les autres indépendamment de leurs prétendues tendances politiques. 

‍