Lors du plus grand braquage de cryptomonnaies à ce jour, l'échange basé aux Seychelles, Bybit a perdu environ 1,5 milliard de dollars en Ethereum (ETH) le 21 février 2025, en raison d'un piratage sophistiqué par des hackers liés à la Corée du Nord.

La brèche, confirmée par le PDG de Bybit, Ben Zhou, marque une escalade significative de la cybercriminalité ciblant l'industrie crypto et soulève des questions critiques sur la sécurité des actifs numériques.

Essayons de faire une analyse approfondie du piratage, des méthodes techniques utilisées, du rôle de l'analyse de la blockchain, de l'implication du Groupe Lazarus, et des implications plus larges pour l'écosystème des cryptomonnaies.

Bybit : Un acteur majeur sur le marché crypto

Bybit, fondée en 2018 et basée aux Seychelles, s'est établie comme une bourse de cryptomonnaies de premier plan, connue pour ses volumes de trading élevés et ses offres diversifiées, y compris l'achat et la vente de cryptomonnaies aux prix du marché actuel, spéculer sur les mouvements de prix futurs avec effet de levier, gagner des récompenses en bloquant des fonds pour soutenir des opérations blockchain.

L'interface conviviale de la bourse et sa réputation pour des mesures de sécurité robustes, telles que des portefeuilles froids multi-signatures (multi-sig) et des audits de sécurité réguliers, ont attiré une base d'utilisateurs mondiale. Cette réputation a rendu le piratage particulièrement alarmant, car il a exposé des vulnérabilités même sur les plates-formes les plus fiables.

Découverte du piratage

Le piratage a d'abord été détecté par l'analyste on-chain ZachXBT, qui a signalé des sorties suspectes totalisant 1,46 milliard de dollars des portefeuilles de Bybit à 10 h 20, heure de l'Est, le 21 février 2025.

Ces sorties, impliquant 401,347 ETH, ont immédiatement suscité des préoccupations quant à une potentielle brèche de sécurité. Dans les 30 minutes, le PDG de Bybit, Ben Zhou, a confirmé la brèche dans un post sur X (anciennement Twitter), attribuant l'attaque à une technique de transaction "masquée" qui a exploité le portefeuille froid multi-sig de l'échange lors d'un transfert de routine vers un portefeuille chaud.

Comprendre les portefeuilles froids multi-signatures et leur sécurité

Qu'est-ce qu'un portefeuille froid multi-signature ?

Un portefeuille froid multi-signature (multi-sig) est un type de stockage de cryptomonnaies conçu pour renforcer la sécurité en exigeant plusieurs clés privées pour autoriser une transaction.

Contrairement aux portefeuilles à clé unique, qui reposent sur une clé et sont plus vulnérables au vol, les portefeuilles multi-sig distribuent le contrôle entre plusieurs parties ou appareils. Par exemple, un portefeuille 2-de-3 multi-sig nécessite l'approbation de deux signataires sur trois pour valider une transaction.

Les portefeuilles froids, quant à eux, sont des solutions de stockage hors ligne, ce qui signifie qu'ils ne sont pas connectés à Internet, réduisant le risque d'attaques en ligne telles que le piratage ou le phishing.

La configuration du portefeuille froid multi-sig de Bybit nécessitait des approbations de plusieurs signataires, une pratique standard pour protéger de grandes quantités de cryptomonnaies.

L'utilisation par Bybit de portefeuilles froids multi-sig avait pour but de protéger ses importantes réserves d'ETH, rendant la brèche particulièrement surprenante et soulignant la sophistication de l'attaque.

Comment le piratage a été exécuté : Détails techniques

Les attaquants ont contourné la sécurité multi-sig de Bybit grâce à une combinaison d'ingénierie sociale et de manipulation technique avancée.

Voici une répartition détaillée de l'attaque :

1. Accès initial via ingénierie sociale

Les hackers, présumés être membres du Groupe Lazarus de Corée du Nord, ont probablement obtenu un accès initial par des techniques de phishing avancées, telles que :

• Emails de spear-phishing : Emails ciblés conçus pour tromper les employés ou les signataires afin de révéler des identifiants ou de cliquer sur des liens malveillants.
• Faux sites web : Sites de phishing imitant les interfaces légitimes de Bybit pour capturer des clés privées ou des phrases de récupération.
• Infection par malware : Déploiement de malware pour compromettre les systèmes ou appareils utilisés par les signataires.

Ces tactiques d'ingénierie sociale ont exploité l'erreur humaine, une vulnérabilité critique même dans les systèmes les plus sécurisés.

2. Manipulation des transactions via une interface masquée

Lors d'un transfert de routine du portefeuille froid multi-sig ETH de Bybit vers un portefeuille chaud (un portefeuille en ligne pour des transactions plus rapides), les attaquants ont exécuté leur exploit. Les hackers ont modifié l'interface de signature, le composant face à l'utilisateur où les signataires approuvent les transactions. Cette interface a été manipulée pour afficher une adresse de transaction légitime tout en intégrant un code malveillant dans la logique sous-jacente du contrat intelligent.

Les signataires, ignorants de la manipulation, ont approuvé ce qui semblait être un transfert de routine. Cependant, la transaction approuvée contenait un code malveillant qui a modifié les mécanismes de contrôle du portefeuille.

3. Altération de la logique des contrats intelligents

Le code malveillant intégré dans la transaction a exploité des vulnérabilités dans le processus d'approbation des transactions.

La transaction approuvée a altéré la logique du contrat intelligent, accordant aux attaquants le contrôle du portefeuille. Cela leur a permis de transférer 401,347 ETH vers une adresse non identifiée sous leur contrôle.

L'attaque n'a pas compromis la blockchain Ethereum ou ses contrats intelligents mais a plutôt exploité le processus interne de Bybit pour valider et approuver les transactions.

4. Blanchiment et dispersion des fonds

Après avoir pris le contrôle des fonds, les attaquants ont rapidement dispersé l'ETH volé à travers plusieurs portefeuilles pour obscurcir leur trace.

L'ETH a été divisé en multiples de 1,000 ETH et envoyé à plus de 40 portefeuilles différents.

Les attaquants ont converti l'ETH en d'autres cryptomonnaies ou en fiat via des échanges décentralisés (DEXs), qui manquent des exigences know-your-customer (KYC) des échanges centralisés, rendant plus difficile le gel ou la récupération des fonds.

Analyse de la blockchain et suivi des fonds

Les entreprises d'analyse de la blockchain ont joué un rôle crucial dans le traçage des fonds volés, malgré les efforts des attaquants pour obscurcir leurs mouvements.

Parmi les principales entreprises et outils impliqués, on trouve :

• Elliptic : Une entreprise d'analyse de blockchain qui a suivi l'ETH volé pendant sa dispersion et sa liquidation. Le logiciel d'Elliptic analyse les schémas de transaction et les adresses de portefeuille pour identifier toute activité suspecte.
• Arkham Intelligence : Une autre entreprise d'analytique qui a fourni un suivi en temps réel des fonds, identifiant les portefeuilles et flux de transactions associés.
• MistTrack by Slow Mist : Un outil de criminalistique blockchain utilisé pour cartographier le mouvement de l'ETH volé sur le réseau Ethereum. MistTrack a signalé des transactions de test et des schémas de portefeuille indicatifs des techniques du Groupe Lazarus.

Malgré ces efforts, la vitesse et l'échelle de la liquidation ont rendu la récupération difficile.

L'utilisation par les attaquants des DEXs et des mixers (outils qui mélangent la cryptomonnaie pour masquer son origine) a encore compliqué le processus.

Groupe Lazarus : les coupables derrière le piratage

Qui est le groupe Lazarus ?

Le Groupe Lazarus est un collectif de piratage sponsorisé par l'État nord-coréen connu pour orchestrer des cybercrimes de grande envergure, y compris des braquages de cryptomonnaies, des attaques de ransomware et l'espionnage.

Le groupe serait dirigé par le Bureau général de reconnaissance de la Corée du Nord, avec pour objectif principal de générer des revenus pour le régime.

Preuves reliant Lazarus au piratage de Bybit

Les analystes de la blockchain, y compris ZachXBT, ont connecté le piratage de Bybit aux exploits précédents du Groupe Lazarus basé sur plusieurs indicateurs.

• Transactions de test : Petits transferts envoyés avant l'attaque principale pour tester la fonctionnalité des portefeuilles, une marque de fabrique des tactiques Lazarus.
• Portefeuilles associés : Les portefeuilles utilisés dans le piratage de Bybit ont été liés à ceux impliqués dans des piratages précédents, tels que l'exploit de Phemex.
• Graphiques criminels et analyses de synchronisation : Des schémas dans la synchronisation des transactions et l’activité des portefeuilles correspondaient aux comportements connus de Lazarus.

Historique du Groupe Lazarus

Le groupe Lazarus a une longue histoire de vols de cryptomonnaies, avec des exemples notables incluant :

• Piratage du réseau Ronin (2022) : Vol de 600 millions de dollars en ETH et USDC de la plateforme de jeu Axie Infinity.
• Piratage Phemex (2024) : Lié au piratage de Bybit via des techniques similaires et des schémas de portefeuilles.
• Totaux de 2024 : Estimé à avoir volé 1,34 milliard de dollars à travers 47 piratages, représentant 61 % de toute l'activité crypto illicite cette année-là.

Les techniques avancées du groupe, telles que les exploits de type zero-day (vulnérabilités auparavant inconnues) et l'ingénierie sociale sophistiquée, en font une menace redoutable pour l'industrie des cryptomonnaies.

Implications pour Ethereum et l'écosystème crypto

Sécurité d'Ethereum

Malgré l'ampleur du piratage, Ethereum lui-même n'a pas été compromis.

La vulnérabilité résidait dans les processus internes de Bybit, et non dans la blockchain Ethereum ou ses contrats intelligents.

Voici pourquoi.

La blockchain Ethereum, un registre décentralisé de transactions, est restée sécurisée. L'attaque n'a pas exploité de failles dans le mécanisme de consensus de la blockchain (preuve de participation) ou son système de contrats intelligents.

La brèche provenait d’approbations de transactions manipulées, soulignant les risques des processus centrés sur l'humain dans la gestion des cryptomonnaies.

Bien que le code des contrats intelligents lui-même n'ait pas été piraté, la manipulation du processus d'approbation via une interface masquée soulève des préoccupations concernant la sécurité des interfaces utilisateur et des mécanismes de signature de transactions dans les portefeuilles multi-sig.

Impact sur le marché au sens large

Le piratage a eu des effets immédiats et en cascade sur le marché des cryptomonnaies.

Les prix de l'ETH ont chuté de plus de 3 % suite à la confirmation du piratage, reflétant une volatilité accrue.

La brèche a coïncidé avec ETHDenver, l'une des plus grandes conférences de l'écosystème Ethereum, projetant une ombre baissière sur un événement généralement haussier pour l'ETH.

L'incident a érodé la confiance dans les échanges centralisés, incitant les utilisateurs à remettre en question la sécurité de leurs actifs et augmentant l'intérêt pour les solutions de finance décentralisée (DeFi).

Et bien sûr, le simple fait que le plus grand piratage jamais enregistré ait eu lieu pendant le marché haussier ne doit pas être négligé.

Réponse de Bybit et efforts de récupération

La réponse rapide de Bybit a aidé à atténuer la panique et a démontré une résilience opérationnelle. Here is the translation formatted as per your instructions:

Content: L'échange a traité plus de 580 000 demandes de retrait après le piratage, garantissant aux utilisateurs l'accès à leurs fonds.

Bybit a également obtenu des prêts relais pour couvrir les pertes, rassurant les utilisateurs sur sa solvabilité. L'échange a lancé un programme offrant jusqu'à 10 % des fonds récupérés aux hackers éthiques qui aident à récupérer les ETH volés.

Ces mesures, bien que proactives, soulignent les défis de la récupération des fonds dans de tels hacks à grande échelle, d'autant plus compte tenu des techniques de blanchiment des attaquants.

Mesures Préventives pour l'Avenir

Pour éviter des hacks similaires, les experts recommandent un ensemble complet de mesures de sécurité basées sur les meilleures pratiques de l'industrie et les enseignements tirés de l'incident de Bybit.

1. Authentification Multi-Facteurs (AMF)

Exiger plusieurs couches de vérification pour les approbations de transactions, telles que :

• Authentification biométrique : Reconnaissance d'empreintes digitales ou faciale.
• Jetons matériels : Appareils physiques qui génèrent des codes uniques.
• Mots de passe à usage unique basés sur le temps (TOTP) : Applications comme Google Authenticator pour des codes temporaires.

2. Canaux de Communication Sécurisés

Utiliser des canaux chiffrés et vérifiés pour toutes les communications liées aux transactions, tels que :

• E-mail chiffré de bout en bout : Outils comme ProtonMail ou Signal pour des messages sécurisés.
• Portails sécurisés dédiés : Systèmes internes pour les approbations de transactions, isolés des menaces externes.

3. Audits de Sécurité Réguliers

Effectuer des évaluations fréquentes et des tests d'intrusion pour identifier les vulnérabilités :

• Audits tiers : Engager des entreprises réputées pour examiner les protocoles de sécurité.
• Attaques simulées : Tester les systèmes contre le phishing, les malwares et les scénarios d'ingénierie sociale.

4. Formation des Employés

Éduquer le personnel sur la reconnaissance des menaces d'ingénierie sociale, telles que :

• Sensibilisation au spear-phishing : Former les employés à identifier les e-mails ou liens suspects.
• Hygiène des informations d'identification : Éviter de réutiliser les mots de passe ou de stocker les clés de manière non sécurisée.

5. Gestion Diversifiée des Actifs

Répartir les fonds sur plusieurs portefeuilles pour limiter l'exposition :

• Équilibre portefeuille froid et chaud : Garder la majorité des fonds en stockage à froid, avec des montants minimaux dans des portefeuilles chauds pour les opérations quotidiennes.
• Distribution multi-sig : Utiliser différentes configurations multi-sig pour différents pools d'actifs.

6. Systèmes de Détection des Anomalies

Implémenter des outils pour détecter et alerter sur des modèles de transactions inhabituels, tels que :

• Modèles d'apprentissage machine : Identifier les écarts par rapport à une activité normale, comme des transferts importants à des moments inhabituels.
• Alertes en temps réel : Notifier les équipes de sécurité des sorties suspectes.

7. Suivre les Mises à Jour des Menaces

Mettre à jour continuellement les mesures de sécurité pour contrer les menaces cyber émergentes :

• Flux d'intelligence sur les menaces : S'abonner à des services qui suivent de nouveaux vecteurs d'attaque.
• Défenses exploit jour zéro : Déployer rapidement des correctifs et mises à jour pour traiter les vulnérabilités récemment découvertes.

Ces mesures sont essentielles, surtout compte tenu des techniques avancées du Groupe Lazarus, qui incluent des exploits jour zéro, une ingénierie sociale sophistiquée, et un blanchiment rapide des fonds.

Conclusion : Enseignements pour l'Industrie Crypto

Le piratage de Bybit, le plus grand vol de cryptomonnaies de l'histoire, souligne les défis de sécurité persistants auxquels est confrontée l'industrie, en particulier de la part d'acteurs soutenus par l'État comme le Groupe Lazarus.

Bien qu'Ethereum reste sécurisé, l'incident met en évidence la nécessité de processus internes robustes, de mesures de cybersécurité avancées, et d'une vigilance continue pour protéger les actifs numériques.

À mesure que l'écosystème des cryptomonnaies évolue, les échanges doivent prioriser la confiance des utilisateurs et la résilience opérationnelle pour naviguer efficacement dans de telles crises.

La violation de Bybit sert de rappel frappant que même les plateformes les plus sécurisées sont vulnérables aux erreurs humaines et aux attaques sophistiquées, soulignant l'importance d'une sécurité en couches et d'une collaboration à l'échelle de l'industrie pour combattre la cybercriminalité.