Gate.io Blog Hackers nord-coréens de Lazarus_ Le cerveau derrière le tristement célèbre Ronin Hack.

Hackers nord-coréens de Lazarus_ Le cerveau derrière le tristement célèbre Ronin Hack.

12 May 18:11

Fin mars, le réseau Ronin de la plateforme de jeux P2E Axie Infinity a été victime d'une attaque qui l'a privé de plus de 600 millions de dollars américains. Le piratage de Ronin a été décrit comme le plus grand exploit de l'histoire du DeFi. Le département du Trésor américain a affirmé que les hackers nord-coréens de Lazarus étaient à l'origine de cette violation.

Ce n'est pas la première fois que ces individus sont liés à un cas important de cyber-vol. Au cours de la dernière décennie, les États-Unis ont rejeté la responsabilité de divers vols similaires sur les pirates Lazarus. Ce qui, bien sûr, soulève la question;

Qu'est-ce que le groupe Lazarus?

Les pirates informatiques du groupe Lazarus sont des acteurs étatiques appartenant à la République populaire démocratique de Corée. Il s'agit d'un groupe de cybercriminels qui a mené une série d'attaques sous la direction du gouvernement nord-coréen. Le groupe est actif depuis 2009 et a connu la gloire en 2014 après avoir compromis la société de divertissement Sony Pictures. Leur notoriété s'est encore accrue deux ans plus tard, en 2016, lorsqu'ils ont frappé la Banque centrale du Bangladesh et emporté environ 81 millions de dollars.

En 2021, la société de recherche sur la blockchain Chainalysis a attribué jusqu'à 1,75 milliard de dollars de crypto pillés jusqu'à présent aux actions du syndicat de la cybercriminalité, un chiffre qui a sans doute considérablement augmenté depuis. En 2020, le groupe Lazarus a ouvert une brèche dans l'échange de crypto-monnaies KuCoin et s'est emparé d'une monnaie virtuelle d'une valeur de 275 millions de dollars, soit la moitié de toutes les crypto-monnaies volées cette année-là.

Il est intéressant de noter que les pirates de Lazarus ne seraient pas habituellement motivés par l'argent, une caractéristique qui les distingue des groupes similaires. Ces acteurs étatiques ont volé des informations sensibles, effectué des sabotages et mené diverses autres actions au profit de la RPDC sur le plan politique ou économique.

Depuis 2006, plusieurs nations se sont unies pour imposer des sanctions à la Corée du Nord afin de freiner ses ambitions nucléaires hostiles et de couper le financement de ses programmes d'armes de destruction massive (ADM). Ces interdictions ont interdit l'exportation de divers articles et empêché la RPDC d'importer du pétrole brut et des produits pétroliers raffinés.

Cependant, dans un rapport de l'ONU publié plus tôt cette année, des membres ont affirmé que la Corée du Nord se finançait par le biais de multiples cyberattaques et qu'elle pourrait avoir amassé jusqu'à 400 millions de dollars d'actifs cryptographiques grâce à ces piratages. L'ONU aurait examiné au moins 35 exploits réalisés par des cyberacteurs de la RPDC dans 17 pays.

L'exploit Ronin est le plus gros hold-up du groupe Lazarus à ce jour. L'attaque de la banque centrale du Bangladesh aurait pu détenir ce titre, car les pirates avaient initialement prévu de s'emparer d'un milliard de dollars. Par chance, ils n'y sont pas parvenus, mais examinons de plus près le piratage qui occupe cette place;

Détails de l'exploitation Ronin

Sky Mavis, comme on appelle l'équipe de développement de la plateforme, a confirmé par un tweet que la blockchain Ronin d'Axie Infinity avait subi une faille de sécurité le 23 mars. Le pont Ronin permet l'interopérabilité inter-chaînes sur la plateforme.

Les joueurs peuvent déposer des devises telles que l'ETH ou le stablecoin USDC en échange d'articles NFT sur la monnaie du jeu. En outre, il facilite la vente d'actifs dans le jeu en laissant les utilisateurs retirer des fonds. Peu après l'exploit, les développeurs ont interrompu toutes les transactions sur le réseau. Les pirates avaient réussi à s'emparer de 173 600 Ethereum (environ 600 millions de dollars) et de 25,5 millions d'USDC, soit un total de 625 millions de dollars.

Selon un communiqué officiel de l'équipe, les attaquants ont utilisé des clés privées compromises qui leur ont donné accès aux nœuds de validation du réseau. La blockchain Ronin comprend neuf nœuds de validation ; pour effectuer une transaction (dépôt ou retrait), cinq d'entre eux doivent donner leur accord. Les pirates avaient pris le contrôle de 4 des validateurs du réseau et d'une signature de validateur tierce partie gérée par la DAO Axie.

Les acteurs malveillants ont effectué de faux retraits avec les clés privées compromises et ont réalisé le plus grand piratage que l'espace cryptographique ait connu jusqu'à présent.

Comment Ronin Network a été compromis

Il convient de noter que les développeurs d'Axie Infinity n'ont découvert l'attaque que le 29 mars, soit 6 jours après qu'elle se soit produite. L'un des utilisateurs de la plateforme avait tenté de retirer 5k Ethereum du réseau, mais il n'y est pas parvenu et a donc déposé un rapport auprès de l'équipe.

Selon le communiqué de Sky Mavis, le point de départ de l'attaque se situe en novembre 2021. L'équipe avait besoin de l'aide de la DAO Axie pour distribuer des transactions gratuites suite à un afflux massif d'utilisateurs. La DAO a autorisé (allowlisted) Sky Mavis à signer un grand nombre de transactions à sa place.

Cela n'était plus nécessaire à la fin de l'année, mais l'équipe n'a jamais coupé l'accès à l'allowlist. Grâce au RPC sans gaz de la plateforme, l'attaquant a trouvé une porte dérobée dans le système et la signature du validateur DAO. Ensuite, ils ont procédé à la vidange de la plateforme de plus de 600 millions de dollars.

Comment Sky Mavis a-t-elle réagi ?

L'attaque a été portée à l'attention de l'équipe de développement six jours après son déclenchement. Cependant, Sky Mavis a pris des mesures rapides pour limiter les dégâts dès qu'elle a été informée. Jetons un coup d'œil à certaines de ces mesures ;

Pour se prémunir contre de futurs exploits, l'équipe d'Axie Infinity a d'abord augmenté le seuil de validation. Plusieurs personnes qui se sont exprimées sur le sujet ont demandé pourquoi l'équipe l'avait fixé à 5 en premier lieu. Après avoir porté le nombre à 9, Sky Mavis a précisé que la décision initiale était due au fait que certains nœuds n'avaient pas rattrapé la chaîne ou étaient bloqués dans le processus de synchronisation.

Ils ont partagé des plans pour élargir l'ensemble des validateurs au fil du temps. En plus de cela, Sky Mavis a commencé à migrer les nœuds vers un tout nouveau cadre. L'équipe a également fermé temporairement le pont Ronin ; dans son rapport, Sky Mavis a indiqué qu'elle le rouvrirait dès qu'elle serait certaine que les attaquants ne pouvaient plus voler de fonds.

En outre, par mesure de sécurité, la plateforme d'échange de crypto Binance a coupé sa connexion au réseau Ronin. Sky Mavis a contacté les équipes de sécurité des principales bourses et a fait appel à Chainalysis pour retrouver la crypto volée.

L'équipe a déclaré qu'elle travaillait avec les forces de l'ordre et a assuré aux utilisateurs concernés qu'ils seraient remboursés, que les fonds soient récupérés ou non.

Comment le FBI a relié les pirates de Lazarus à l'exploit Ronin

Il y a deux semaines, en collaboration avec le FBI, le département américain du Trésor a imposé des sanctions à trois adresses de portefeuilles liées au groupe Lazarus et à APT38, soutenus par l'État. Suite à cela, la société de données blockchain Chainalysis a noté que l'une des adresses sanctionnées avait des liens avec le portefeuille original utilisé dans l'attaque.

Ces portefeuilles avaient reçu des parts importantes des fonds volés, que les équipes de sécurité avaient suivis après l'exploit. Les enquêtes sont toujours en cours ; selon Elliptic, les pirates ont blanchi environ 18 % des fonds volés, tandis que 9,7 millions de dollars des fonds restent dans des portefeuilles intermédiaires avant d'être blanchis.

Conclusion

À la suite du piratage, il a été porté à l'attention du public que la plateforme de jeu P2E Axie Infinity a connu une fuite massive d'utilisateurs. Certains ont attribué cette perte à l'exploit récent ; cependant, les données montrent que même avant cela, les utilisateurs actifs quotidiens (DAU) de la plate-forme avaient chuté de 8 millions à un maigre 1 en comparaison.

Si le piratage n'est peut-être pas le facteur principal, il a indéniablement joué un rôle depuis lors. Axie Infinity verra probablement de plus en plus d'utilisateurs quitter la plateforme à mesure que la confiance en elle diminue. Cependant, Sky Mavis a assuré aux utilisateurs qu'ils seraient remboursés, et un tour de table impliquant les investisseurs Binance, Animoca Brands, Paradigm et d'autres a permis de lever 150 millions de dollars.

Le PDG de Binance, Changpeng "CZ", a également indiqué dans un tweet que la bourse avait récupéré 5,8 millions de dollars de fonds envoyés par l'adresse du portefeuille du pirate. En coordination avec le département du Trésor et diverses institutions gouvernementales, le FBI a exprimé son intention de continuer à lutter contre les méthodes illicites de la RPDC, la cybercriminalité, etc.

Auteur : Observateur Gate.io M. Olatunji
Avertissement :
* Cet article ne représente que le point de vue des observateurs et ne constitue pas une suggestion d'investissement.
*Gate.io se réserve tous les droits sur cet article. La rediffusion de l'article sera autorisée à condition que Gate.io soit référencé. Dans tous les autres cas, une action en justice sera engagée pour violation des droits d'auteur.

ETH/USDT -1.71%

BTC/USDT -0.95%

GT/USDT + 3.05%

Saisissez votre chance et recevez une récompense de $6666

S'inscrire

Hackers nord-coréens de Lazarus_ Le cerveau derrière le tristement célèbre Ronin Hack.

Sélectionner la langue et la région

Monnaies fiat