Saviez-vous que des hackers nord-coréens utilisent des offres d’emploi à distance pour s’infiltrer dans les entreprises de cryptomonnaies et dérober des millions ? Selon des rapports récents, ces cybercriminels exploitent des tactiques sophistiquées pour compromettre des infrastructures cloud et accéder à des portefeuilles numériques. Cet article plonge dans les méandres de ces attaques, dévoile leurs méthodes et explore les solutions pour protéger le secteur crypto.
Une Menace Croissante pour l’Écosystème Crypto
Le secteur des cryptomonnaies, en pleine expansion, attire non seulement les investisseurs, mais aussi les cybercriminels. Parmi eux, le groupe nord-coréen UNC4899, également connu sous le nom de TraderTraitor, se distingue par ses attaques ciblées. Depuis 2020, ce groupe lié à l’intelligence militaire nord-coréenne exploite les failles des entreprises crypto, en particulier celles utilisant des infrastructures cloud comme Google Cloud ou AWS.
Leur stratégie ? Utiliser des fausses offres d’emploi pour approcher des employés via des plateformes comme LinkedIn ou Telegram. Ces attaques, basées sur l’ingénierie sociale, permettent aux hackers d’accéder à des systèmes sensibles et de dérober des actifs numériques de grande valeur.
Comment Fonctionnent Ces Attaques ?
Les hackers de UNC4899 adoptent une approche méthodique. Ils commencent par se faire passer pour des recruteurs freelance, proposant des emplois à distance attrayants. Une fois le contact établi, ils incitent les victimes à exécuter des fichiers malveillants, souvent sous forme de conteneurs Docker, qui installent des backdoors sur leurs ordinateurs.
Les hackers nord-coréens utilisent des tactiques d’ingénierie sociale si sophistiquées qu’elles passent souvent inaperçues, même par des employés expérimentés.
Expert en cybersécurité chez Google Cloud
Ces programmes malveillants permettent aux attaquants de naviguer dans les réseaux internes, de collecter des identifiants et de repérer les infrastructures liées aux transactions crypto. Dans un cas rapporté, les hackers ont désactivé l’authentification à deux facteurs (2FA) sur un compte Google Cloud privilégié pour accéder à des services de portefeuille numérique, dérobant ainsi des cryptomonnaies valant plusieurs millions d’euros.
Étapes clés des attaques d’UNC4899 :
- Approche initiale via LinkedIn ou Telegram sous couvert d’une offre d’emploi.
- Exécution de conteneurs Docker malveillants par la victime.
- Collecte d’identifiants et accès aux systèmes cloud.
- Manipulation des portefeuilles crypto pour détourner des fonds.
Exploitation des Environnements Cloud
Les entreprises crypto s’appuient souvent sur des environnements cloud pour leur flexibilité et leur évolutivité. Cependant, cette dépendance les rend vulnérables. Dans un incident impliquant AWS, les hackers ont utilisé des clés d’accès volées pour manipuler des fichiers JavaScript stockés dans des buckets S3. Ces fichiers modifiés redirigeaient les interactions des portefeuilles vers des adresses contrôlées par les attaquants.
Ce type d’attaque montre une compréhension fine des infrastructures cloud par les hackers. Malgré les protections comme l’utilisation de clés temporaires et l’authentification à deux facteurs, les attaquants ont contourné ces défenses en volant des cookies de session, leur permettant d’agir sans déclencher d’alertes.
Les Pertes Financières : Un Bilan Lourd
Les chiffres sont vertigineux. Selon un rapport de Chainalysis, les hackers nord-coréens auraient dérobé 1,34 milliard d’euros en cryptomonnaies en 2024. En 2025, les estimations de mi-parcours indiquent que ce montant a grimpé à 1,6 milliard d’euros. Parmi les attaques les plus marquantes, on note :
- Le piratage de DMM Bitcoin au Japon, avec 305 millions d’euros volés.
- L’attaque contre Bybit, qui a coûté 1,5 milliard d’euros en 2024.
En plus des vols directs, les hackers nord-coréens auraient infiltré entre 345 et 920 emplois dans l’industrie crypto, générant plus de 16 millions d’euros en salaires depuis début 2025, selon l’investigateur blockchain ZachXBT.
Chaque emploi infiltré est une porte ouverte vers des systèmes critiques, rendant ces attaques particulièrement insidieuses.
ZachXBT, analyste blockchain
Pourquoi les Entreprises Crypto Sont-elles Ciblées ?
Les cryptomonnaies offrent une opportunité unique pour les cybercriminels. Leur nature décentralisée et pseudonyme facilite le transfert de fonds volés sans traçabilité immédiate. De plus, les entreprises crypto, souvent jeunes, manquent parfois de maturité en matière de cybersécurité, contrairement aux institutions financières traditionnelles.
Les environnements cloud, bien que robustes, présentent des vulnérabilités si les employés ne sont pas formés aux techniques d’ingénierie sociale. Les hackers exploitent cette faiblesse, transformant des employés non méfiants en points d’entrée pour leurs attaques.
Comment Se Protéger Contre Ces Menaces ?
Face à ces attaques, les entreprises crypto doivent renforcer leurs défenses. Voici quelques mesures essentielles :
Stratégies de protection contre les cyberattaques :
- Formation des employés : Sensibiliser aux techniques d’ingénierie sociale et aux risques des fichiers douteux.
- Renforcement de l’authentification : Utiliser des clés temporaires et une 2FA robuste.
- Surveillance des accès : Mettre en place des systèmes de détection des comportements anormaux.
- Audits réguliers : Vérifier les configurations cloud pour identifier les failles potentielles.
En complément, les entreprises devraient collaborer avec des experts en cybersécurité pour simuler des attaques et tester leurs défenses. Les rapports de Google Cloud et Wiz soulignent l’importance d’une vigilance constante face à des groupes comme UNC4899.
Un Combat Global Contre les Cybermenaces
Les attaques d’UNC4899 ne sont que la pointe de l’iceberg. D’autres groupes nord-coréens, comme Lazarus Group ou BlueNoroff, utilisent des tactiques similaires pour cibler l’industrie crypto. Ces menaces exigent une réponse coordonnée entre les entreprises, les gouvernements et les experts en cybersécurité.
En parallèle, les régulateurs mondiaux commencent à imposer des normes plus strictes pour protéger les actifs numériques. Par exemple, la récente législation sur les stablecoins à Hong Kong illustre une volonté de renforcer la sécurité du secteur.
La cybersécurité dans le secteur crypto n’est plus une option, c’est une nécessité vitale pour protéger des milliards d’euros d’actifs.
Analyste chez Wiz
Conclusion : Une Vigilance Accrue
Les hackers nord-coréens, avec des groupes comme UNC4899, redéfinissent les menaces pesant sur l’industrie crypto. Leur capacité à exploiter des failles humaines et technologiques montre l’urgence d’adopter des mesures de sécurité robustes. En formant les employés, en renforçant les infrastructures cloud et en collaborant avec des experts, les entreprises peuvent se protéger contre ces attaques insidieuses.
Le secteur des cryptomonnaies, bien qu’innovant, doit relever le défi de la cybersécurité pour garantir sa pérennité. Face à des adversaires aussi déterminés, la vigilance est le mot d’ordre.
