Roger Gnanih
Le FBI, avec les services secrets américains (USSS) et l'IRS-CI, attribue officiellement le vol de plus de 6 milliards de dollars en actifs virtuels chez Binance à TraderTraitor, un groupe d'élite aligné sur la Corée du Nord, aussi suivi sous les noms Jade Sleet, Pressure Chollima, PUKCHONG, Slow Pisces et UNC4899. Le montant cité est de 6,43 milliards de dollars.
Les faits
Le FBI a observé la conversion des actifs volés principalement en Ethereum, et s'attend à ce qu'ils soient blanchis via des services DeFi et d'échange instantané. L'agence publie une liste d'adresses de portefeuilles utilisées. Selon Elliptic, ce vol dépasse celui de Bybit (1,46 milliard en février 2025) et devient le plus important de l'histoire : les fonds ont été pris sur 11 blockchains, dont 82 % sur Ethereum et Bitcoin. Sur les 6,43 milliards, 2,85 milliards ont été gelés on-chain par Tether, Circle, Ripple, Arbitrum et Optimism.
Côté Binance, les retraits, suspendus après l'incident, ont repris par phases à partir du 1er novembre à 6h UTC, puis sur les 15 réseaux. Les dépôts n'ont jamais été interrompus.
Qui est TraderTraitor
Actif depuis au moins 2020, le groupe a déjà été associé aux vols visant DMM Bitcoin, Bybit, KelpDAO et Bitget. Sa méthode récurrente consiste à tromper des victimes pour qu'elles téléchargent des applications piégées.
Des rapports de SentinelOne, Zscaler ThreatLabz et Microsoft décrivent un savoir-faire en évolution : fournisseurs (providers) Terraform piégés comme vecteur de distribution, et sociétés écrans pour cibler des personnes de la cybersécurité, de l'IA, de la blockchain et du recrutement. Le fournisseur Terraform empoisonné livre un chargeur Bash qui choisit et télécharge un malware adapté au système de la victime, dont l'implant multiplateforme FLATROOF. Celui-ci vole des données avec un voleur d'informations en Python avant de déposer la porte dérobée ROOFDECK, qui donne le contrôle total à distance. L'ensemble fonctionne sur macOS, Linux et Windows.
Le piège des faux recruteurs
Comme d'autres campagnes nord-coréennes (Operation Dream Job, Contagious Interview), TraderTraitor utilise des offres d'emploi comme prétexte pour pousser la victime à exécuter du code malveillant. L'IA sert à rédiger des leurres convaincants, créer de faux profils et échapper à la détection. Microsoft décrit l'acteur qui se fait passer pour des recruteurs d'une fausse société de renseignement blockchain basée sur l'IA, avec des domaines, des profils sociaux et une connaissance du secteur sur mesure, et propose des postes d'ingénieur logiciel pour obtenir des entretiens. En peu de temps, il a mené des opérations similaires avec deux autres sociétés écrans.
Pourquoi un développeur africain est concerné
Le vol vise une plateforme, mais l'entrée se fait par des personnes : ingénieurs, administrateurs, développeurs. Un freelance qui reçoit une offre alléchante, avec un « test technique » à cloner et lancer, est exactement le profil visé. Les sources ne parlent pas de l'Afrique en particulier, mais la méthode ne dépend pas du pays : elle dépend d'un poste de développeur qui détient des accès.
Que faire maintenant ?
- Ne lancez jamais le code d'un recruteur sur votre machine principale. Utilisez une VM ou un conteneur jetable, sans vos clés ni vos sessions.
- Vérifiez l'entreprise et la personne : site ancien ou récent, profils réels, échanges sur des canaux officiels, adresse e-mail de domaine cohérente.
- Auditez vos providers et modules d'infrastructure : épinglez les versions Terraform, vérifiez la source des providers, utilisez les vérifications de signature disponibles.
- Limitez ce qu'un poste peut faire : clés de production hors du poste de travail, accès à durée limitée, authentification forte sur les comptes cloud et de dépôt de code.
- Parlez-en à vos équipes : le meilleur filtre contre ces leurres est de savoir qu'ils existent.
Source : The Hacker News
