La plus grande plateforme d’échange de cryptomonnaies en Corée du Sud, Upbit, aurait été victime d’un piratage le 27 novembre, entraînant le retrait non autorisé de 44,5 milliards de KRW, soit plus de 30 millions de dollars, selon l’agence de presse Yonhap, citée par Reuters.
Le principal suspect derrière l’incident serait un groupe de pirates affiliés à l’agence de renseignement nord-coréenne, le Lazarus Group.
Le 28 novembre, le PDG de Dunamu, la société mère d’Upbit, a publié une déclaration officielle concernant l’incident, précisant ce qui s’était passé, les mesures prises par Upbit, ainsi que les actions de prévention.
Le PDG de Dunamu publie une déclaration officielle
Oh Kyung-seok, PDG de Dunamu, a publié une déclaration officielle sur l’incident le 28 novembre, partagée sur le site officiel d’Upbit.
Il a présenté ses excuses aux membres pour les inquiétudes causées par cet incident de cyberintrusion.
Les principaux éléments de sa déclaration incluent les points suivants :
- L’incident s’est produit en raison d’une gestion de la sécurité insuffisante chez Upbit.
- Upbit, une plateforme d’échange plaçant la protection des utilisateurs en premier, promet qu’aucun actif des membres ne subira de perte.
- La plateforme a signalé l’intrusion aux autorités, et une enquête est actuellement en cours afin d’analyser la cause et l’ampleur des dommages.
Que s’est-il passé pendant l’incident ?
Le PDG de Dunamu a déclaré que le 27 novembre, Upbit avait détecté des retraits anormaux depuis le portefeuille basé sur Solana, et que la plateforme avait mené une inspection approfondie des réseaux et systèmes de portefeuille concernés.
Au cours de l’enquête, Upbit a découvert et corrigé une faille de sécurité permettant à des attaquants de déduire des clés privées en analysant plusieurs transactions de portefeuilles.
Selon l’évaluation de la plateforme :
- La valeur totale des actifs compromis s’élève à 44,5 milliards de KRW (plus de 30 millions de dollars).
- Les actifs des membres touchés représentent environ 38,6 milliards de KRW (plus de 26 millions de dollars).
- Upbit a réussi à geler environ 2,3 milliards de KRW (plus de 1,5 million de dollars).
- Les pertes de l’entreprise s’élèvent à environ 5,9 milliards de KRW (plus de 4 millions de dollars).
Les mesures d’Upbit après l’incident
Les mesures prises par Upbit à la suite de l’incident comprennent les points suivants :
- Upbit aurait suspendu tous les dépôts et retraits de cryptomonnaies.
- La plateforme suit et gèle les cryptomonnaies transférées en dehors d’Upbit.
- Upbit aurait également couvert toutes les pertes des membres avec ses propres fonds.
- La plateforme révise en profondeur ses systèmes de portefeuille et reprendra les dépôts et retraits de cryptomonnaies une fois la stabilité confirmée.
- Upbit a activé un système d’urgence à l’échelle de l’entreprise et réexamine tous les aspects de son infrastructure de sécurité liés au piratage.
- La plateforme renforcera ses mesures de sécurité et améliorera tous ses systèmes.
Comme l’a souligné le PDG de Dunamu, la plateforme d’échange Upbit s’est efforcée de protéger les actifs des membres, mais cet incident a rappelé à l’équipe qu’aucun système de sécurité n’est parfait ; néanmoins, le cadre de sécurité sera renforcé pour prévenir de futurs incidents.
Upbit mettra à jour la communauté dès que de nouveaux détails seront disponibles.
Les autorités sud-coréennes mènent une enquête en cours
Les derniers rapports de Yonhap ont révélé que, selon l’industrie des TIC et les autorités gouvernementales locales, une enquête est en cours.
La publication a indiqué que plutôt qu’une attaque massive, il est possible que les pirates aient volé un compte administrateur ou se soient fait passer pour un administrateur afin d’autoriser des transferts de fonds.
Lazarus Group – le principal suspect
Les résultats finaux de l’enquête sont encore attendus, mais le secteur de la sécurité estime que le Lazarus Group est à l’origine de l’incident, compte tenu du mode opératoire utilisé lors du piratage :
- Les actifs ont été transférés vers le portefeuille d’une autre plateforme d’échange.
- Les actifs transférés ont ensuite été mélangés (blanchis).
Un expert en cybersécurité, cité par la publication, a déclaré qu’un tel mode opératoire est typique de Lazarus, et qu’une fois le mélange effectué, les transactions deviennent intraçables. L’expert a souligné que les pays membres du GAFI (Groupe d’action financière) interdisent le mélange, ce qui constitue un autre indice suggérant que la Corée du Nord est responsable du piratage.
La Corée du Sud est membre à part entière du GAFI depuis 2009.
De plus, l’incident s’est produit le 27 novembre, le même jour qu’une conférence de presse concernant la fusion entre Naver Financial et Dunamu (la société mère d’Upbit). Cela renforce les soupçons d’une implication du groupe Lazarus, les pirates ayant souvent un « fort désir de se vanter », selon l’expert en sécurité cité par Yonhap.
