Le ministère américain de la Justice a inculpé trois citoyens nord-coréens pour leur participation présumée à une vaste opération internationale de cybercriminalité.
L’affaire porte sur des vols de cryptomonnaies, des cyberattaques et des tentatives d’extorsion dont le montant est estimé à plus de 1,3 milliard de dollars.
Mais qui sont ces personnes et que savons-nous vraiment des groupes associés à ces opérations ?
Quand on parle de sécurité sur le marché des cryptomonnaies, un nom revient souvent dans les enquêtes sur les grandes cyberattaques :
Lazarus Group.
Ce groupe est associé par les autorités et les chercheurs en cybersécurité à des opérations d’espionnage numérique, à des attaques contre des institutions financières et au vol d’actifs numériques.
En février 2021, le ministère de la Justice des États-Unis (DOJ) a annoncé des poursuites fédérales contre trois citoyens nord-coréens, qui auraient été liés à des unités de renseignement militaire du pays.
L’acte d’accusation a attiré l’attention internationale, non seulement en raison des noms concernés, mais aussi de l’ampleur des opérations décrites.
Découvrons les faits, sans confondre accusations et condamnations.
1. Qui sont les trois personnes identifiées par le ministère de la Justice ?
Les trois noms figurant dans l’acte d’accusation fédéral de 2021 sont :
Jon Chang Hyok
Kim Il
Park Jin Hyok
Selon le ministère de la Justice des États-Unis, les trois hommes seraient membres d’unités du Reconnaissance General Bureau (RGB), une agence de renseignement militaire de Corée du Nord.
L’acte d’accusation allègue que ces unités ont participé à des opérations de cybercriminalité visant à pénétrer dans des systèmes informatiques, à voler des informations, à obtenir de l’argent et à transférer des cryptomonnaies.
Le document associe également les personnes présumées impliquées à des groupes connus dans le secteur de la cybersécurité sous les noms de Lazarus Group et APT38.
Il est important de le souligner : il s’agit d’allégations formulées par les autorités américaines. L’existence de poursuites formelles ne signifie pas que les personnes concernées ont été condamnées.
2. Qu’est-ce que le Lazarus Group ?
Lazarus Group est le nom utilisé par les chercheurs en cybersécurité pour désigner un ensemble d’activités et d’opérations de cyberattaque associées à la Corée du Nord.
Le groupe est souvent associé à des attaques contre des entreprises, des institutions financières et des organisations de différents secteurs.
Parmi les activités qui lui sont attribuées figurent :
L’intrusion dans des réseaux et des systèmes informatiques ;
Le vol d’informations et d’identifiants ;
Des attaques contre des institutions financières ;
Le vol de cryptomonnaies ;
L’utilisation de logiciels malveillants ;
Des opérations de blanchiment et de transfert de fonds volés.
Le Lazarus Group est également associé à d’autres appellations utilisées par différentes entités de recherche, comme APT38.
Toutefois, les noms utilisés par les entreprises et les autorités ne désignent pas toujours exactement la même structure opérationnelle.
Il est donc plus exact de parler de groupes ou d’activités associés plutôt que de supposer que toutes ces appellations désignent une seule équipe parfaitement délimitée.
3. Plus de 1,3 milliard de dollars : que dit l’acte d’accusation ?
Selon le ministère de la Justice des États-Unis, le complot décrit dans l’acte d’accusation impliquait des tentatives de vol et d’extorsion de plus de 1,3 milliard de dollars en espèces et en cryptomonnaies auprès d’institutions financières et d’entreprises.
Le document mentionne différents types d’opérations, notamment :
Des cyberattaques contre des entreprises ;
Des tentatives de vol de fonds auprès d’institutions financières ;
La création et la distribution d’applications malveillantes liées aux cryptomonnaies ;
Le développement et la promotion frauduleuse d’une plateforme blockchain ;
Des campagnes d’extorsion et des attaques par rançongiciel.
L’acte d’accusation fait également référence à des opérations antérieures, notamment l’attaque contre Sony Pictures en 2014 et le rançongiciel WannaCry en 2017.
Une distinction importante : les 1,3 milliard de dollars représentent le montant que les autorités ont déclaré avoir fait l’objet de tentatives de vol ou d’extorsion dans le cadre du complot décrit.
Ils ne doivent pas être présentés comme une somme intégralement volée par les trois individus.
4. Le FBI continue-t-il de suivre les fonds ?
Oui. Un exemple concret est apparu en août 2023.
Dans une communication officielle, le FBI a indiqué avoir suivi environ 1 580 $BTC alors évalués à plus de 40 millions de dollars, associés à des acteurs nord-coréens liés à TraderTraitor.
Le FBI a averti que ces acteurs pourraient tenter de convertir les bitcoins en espèces ou en d’autres actifs.
L’enquête a établi un lien entre ces fonds et plusieurs attaques antérieures, notamment :
Alphapo : environ 60 millions de dollars en actifs numériques ;
CoinsPaid : environ 37 millions de dollars ;
Atomic Wallet : environ 100 millions de dollars.
Ces montants correspondent aux estimations communiquées par le FBI pour les vols concernés.
L’agence a demandé aux entreprises du secteur de surveiller les portefeuilles identifiés et de se méfier des transactions liées à ces adresses.
Cet épisode illustre l’une des caractéristiques les plus intéressantes de la technologie blockchain : même si les utilisateurs ne connaissent pas l’identité réelle du titulaire d’un portefeuille, les mouvements d’actifs sur les réseaux publics peuvent être analysés et suivis.
5. Comment les fonds volés peuvent-ils être suivis ?
L’une des idées reçues sur les cryptomonnaies consiste à croire que toutes les transactions sont totalement anonymes.
En réalité, des réseaux comme #Bitcoin et #Ethereum conservent des registres publics des transactions.
Cela signifie que des enquêteurs spécialisés peuvent suivre :
L’adresse d’origine des fonds ;
Les adresses qui ont reçu les actifs ;
Les montants transférés ;
Le moment des transactions ;
Les liens entre différents portefeuilles.
Les sociétés d’analyse de la blockchain utilisent ces informations pour repérer des schémas et d’éventuels liens entre différentes opérations.
Mais il existe une limite importante : suivre un portefeuille ne signifie pas nécessairement connaître l’identité de la personne qui le contrôle.
Les enquêteurs peuvent établir des liens techniques entre des transactions sans pouvoir prouver immédiatement qui a reçu les fonds ou qui en a bénéficié.
C’est pourquoi l’analyse de la blockchain est souvent combinée à des renseignements, à des enquêtes policières et à une coopération entre entreprises.
6. Pourquoi ces opérations préoccupent-elles le marché des cryptomonnaies ?
Les attaques attribuées à des groupes associés à la Corée du Nord suscitent des inquiétudes dans l’ensemble du secteur.
Une plateforme d’échange peut investir des millions dans la sécurité et rester exposée à des risques liés aux employés, aux appareils compromis, aux systèmes internes et à l’ingénierie sociale.
En outre, lorsque de grandes quantités de cryptomonnaies sont volées, les conséquences peuvent dépasser le cadre de la plateforme touchée.
Des problèmes de confiance, une pression sur les mécanismes de sécurité et des difficultés à identifier ou à geler les actifs peuvent survenir.
Le défi ne consiste pas seulement à empêcher l’attaque. Il faut aussi pouvoir détecter les mouvements suspects, coopérer avec d’autres entités et réduire les préjudices subis par les utilisateurs.
7. Que pouvons-nous apprendre de ces affaires ?
Pour ceux qui utilisent des plateformes d’échange ou investissent dans les cryptomonnaies, ces épisodes apportent quelques leçons pratiques :
Protège tes comptes : utilise l’authentification à deux facteurs et évite de réutiliser tes mots de passe.
Méfie-toi des messages inattendus : les attaques par hameçonnage peuvent imiter des entreprises connues pour voler des identifiants.
Protège tes appareils : tiens tes systèmes à jour et évite d’installer des applications provenant de sources inconnues.
Ne partage pas ta phrase de récupération : aucune plateforme d’échange légitime n’a besoin de ta phrase de récupération (seed phrase) pour t’aider.
Comprends les risques des plateformes centralisées : conserver des actifs sur une plateforme d’échange peut être pratique, mais implique de faire confiance à ses systèmes de sécurité et de gestion.
Conclusion : des accusations, des enquêtes et une menace toujours sous surveillance
L’affaire des trois citoyens nord-coréens montre l’ampleur que peuvent prendre les enquêtes internationales sur la cybercriminalité.
Le ministère de la Justice des États-Unis a engagé des poursuites formelles contre Jon Chang Hyok, Kim Il et Park Jin Hyok, alléguant qu’ils avaient participé à un complot international lié à des cyberattaques et à des crimes financiers.
De son côté, le FBI continue de diffuser des informations sur des fonds numériques associés à des opérations attribuées à des acteurs nord-coréens.
Mais il est essentiel de rester précis : les personnes mentionnées dans un acte d’accusation ne doivent pas être considérées comme coupables en l’absence de condamnation, et les attributions d’attaques doivent être présentées avec leurs sources et leurs limites.
Sur le marché des cryptomonnaies, la sécurité ne dépend pas uniquement de la technologie.
Elle dépend également de la capacité à enquêter, à coopérer et à protéger les utilisateurs.
Et toi, avais-tu déjà entendu parler du Lazarus Group ?
Penses-tu que les plateformes d’échange et les entreprises de cryptomonnaies sont suffisamment préparées pour faire face à des attaques d’une telle ampleur ?
Partage ton avis dans les commentaires. L’information, c’est le pouvoir !
Sources officielles pour approfondir le sujet
Ministère de la Justice des États-Unis (17 février 2021) : Acte d’accusation contre trois citoyens nord-coréens pour leur participation présumée à des opérations mondiales de cybercriminalité
FBI (22 août 2023) : Identification de fonds en bitcoins associés à des acteurs nord-coréens
FBI (6 septembre 2023) : Attribution au Lazarus Group du vol de 41 millions de dollars sur Stake.com
Ministère de la Justice des États-Unis (6 septembre 2018) : Acte d’accusation initial contre Park Jin Hyok