L'enquêteur blockchain ZachXBT a porté l'estimation de la valeur d'un vol présumé de cryptomonnaies impliquant une entité européenne non identifiée à plus de 133 millions de dollars après avoir retracé 27 millions de dollars supplémentaires de retraits depuis des plateformes d'échange centralisées.
Résumé
- ZachXBT a porté l'estimation de la valeur d'un vol présumé de cryptomonnaies européen de 106 millions de dollars à plus de 133 millions de dollars après avoir identifié 27 millions de dollars supplémentaires de retraits depuis des plateformes d'échange centralisées.
- L'enquêteur blockchain soupçonne qu'une importante institution financière d'Europe occidentale a été compromise et a accusé l'organisation affectée de dissimuler l'incident.
- ZachXBT a affirmé que plus de 30 millions de dollars avaient déjà été blanchis et auraient pu potentiellement être gelés par les autorités répressives de l'Union européenne.
- L'attaquant présumé aurait déplacé des fonds via Ethereum, des plateformes d'échange instantané de cryptomonnaies et Monero, tandis que ZachXBT s'est dit convaincu que le groupe Lazarus de la Corée du Nord n'était pas responsable.
Dans une mise à jour du 3 novembre, ZachXBT a déclaré que les transactions supplémentaires étaient liées au même acteur illicite identifié dans son enquête précédente, certains retraits ayant eu lieu après qu'il a divulgué publiquement l'incident pour la première fois.
L'enquêteur soupçonne désormais qu'une importante institution financière d'Europe occidentale pourrait avoir été compromise et a accusé l'organisation affectée de dissimuler l'incident.
ZachXBT remet en question l'absence de divulgation après un vol présumé
L'enquête a commencé par une alerte communautaire du 2 novembre, lorsque ZachXBT a signalé qu'une entité européenne non identifiée était soupçonnée d'avoir perdu plus de 106 millions de dollars depuis plusieurs comptes de plateformes d'échange centralisées le 1er novembre.
À l'époque, il avait identifié plusieurs adresses de portefeuilles associées aux retraits et publié une carte des transactions montrant comment les actifs présumés volés s'étaient déplacés entre des portefeuilles, des plateformes d'échange et d'autres services de cryptomonnaies.
La dernière mise à jour a ajouté quatre adresses supplémentaires à l'enquête, portant à 15 le nombre d'adresses de vol publiquement identifiées dans les deux divulgations.
L'enquêteur a particulièrement critiqué l'absence de divulgation de l'incident, affirmant que plus de 30 millions de dollars avaient déjà été blanchis et auraient pu potentiellement être gelés par les autorités répressives de l'Union européenne.
Comment les 133 millions de dollars présumés volés ont-ils été déplacés ?
Selon les conclusions initiales de ZachXBT, l'attaquant a d'abord retiré les actifs présumés volés en deux stablecoins indexés sur le dollar, l'USD Coin (USDC) et le Tether (USDT), avant d'entamer une série de transactions destinées à déplacer les fonds à travers différents services.
Au cours des 24 heures suivantes, les portefeuilles ont été utilisés pour échanger des USDC contre de l'Ethereum (ETH), des portions des actifs étant ensuite transférées vers des plateformes d'échange instantané de cryptomonnaies, notamment WellWallet et Kyrrex.
L'enquêteur a identifié une autre voie impliquant Wagyu, où les fonds ont été convertis en Monero (XMR), une cryptomonnaie axée sur la confidentialité.
D'autres transactions impliquaient le pontage d'actifs entre des réseaux blockchain, permettant à l'attaquant présumé de déplacer des fonds à travers plusieurs chaînes au lieu de les conserver sur un seul réseau.
ZachXBT a déclaré être hautement convaincu que l'attaquant n'était pas le groupe Lazarus de la Corée du Nord, citant plusieurs indicateurs des transactions de blanchiment qui différaient des schémas qu'il associait à l'organisation de piratage.
Dans une publication ultérieure sur X, ZachXBT a déclaré que l'attaquant présumé était francophone et avait certaines connexions on-chain avec des utilisateurs de forums de cybercriminalité.
Des enquêtes précédentes ont retracé des fonds volés via Monero
L'utilisation de Monero et de plateformes d'échange instantané ressemble aux itinéraires de transactions documentés dans d'autres enquêtes sur des vols de cryptomonnaies, où les attaquants ont échangé des actifs volés avant de les déplacer vers de nouveaux portefeuilles.
En juin, crypto.news avait précédemment rapporté que Tether avait gelé 72 millions de dollars en USDT après que ZachXBT a retracé environ 120,2 millions de dollars à travers des services de cryptomonnaies et des transactions liées à des achats de Monero.
L'enquête a identifié des mouvements via Tron, KuCoin, des échanges instantanés et des portefeuilles NEAR Intents avant que Tether ne blackliste une adresse détenant environ 72,03 millions d'USDT.
Plus récemment, une enquête du 20 octobre a relié les entrées de FreedomXMR sur Hyperliquid Core à une activité illicite présumée.
ZachXBT a estimé que plus de 87 % des fonds entrants du service étaient associés à des sources illicites, retraçant plus de 20 millions de dollars vers des paiements de rançongiciels, des exploits de cryptomonnaies, des logiciels malveillants et des attaques d'ingénierie sociale.
Les transactions identifiées comprenaient des fonds associés à des incidents de sécurité impliquant DCENT Wallet, Fetch.ai, Axelar et la plateforme de jeux d'argent en ligne Gamdom.
Séparément, une enquête d'octobre sur le réseau de blanchiment de Bybit a décrit comment ZachXBT s'est infiltré dans une prétendue opération criminelle chinoise qui, selon lui, avait traité plus d'un milliard de dollars liés à des pirates nord-coréens.
Au cours de cette enquête, il a déclaré avoir dépensé 349 700 dollars en se faisant passer pour un client afin d'obtenir des informations sur les transactions et de retracer les fonds associés au piratage de Bybit de février 2025.
L'enquêteur a ensuite partagé des preuves avec des chercheurs du secteur privé et des responsables de l'application de la loi, tandis que Tether a gelé 442 000 USDT liés à des portefeuilles identifiés au cours de l'opération.
