Bybit récupère 1,4 milliard de dollars en Ether volé

La plateforme d'échange de crypto-monnaies piratée Bybit a récupéré les 1,4 milliard de dollars d'Ether volés il y a quelques jours, a déclaré lundi son PDG Ben Zhou.

Un nouvel audit de preuve de réserves confirmera que les actifs des clients sont revenus à un ratio de 1:1 en utilisant un système de vérification Merkle Tree, a tweeté Ben Zhou .

La société d'analyse de la blockchain Lookonchain estime que Bybit a obtenu environ 446 870 Ether, d'une valeur de 1,23 milliard de dollars, grâce à un mélange de prêts, de dépôts de baleines et d'achats directs. Ce montant couvre près de 88 % des fonds volés lors du piratage attribué au groupe nord-coréen Lazarus. « En une seule journée, les pirates informatiques nord-coréens ont presque doublé le montant qu'ils ont volé en 2024 », a déclaré TRM Labs.

Lookonchain a retracé 157 660 Ether, soit 437,8 millions de dollars, achetés par un portefeuille lié à Bybit auprès des sociétés d'investissement en crypto-monnaie Galaxy Digital, FalconX et Wintermute via des transactions de gré à gré. Un autre portefeuille a acquis environ 304 millions de dollars d'Ether sur des échanges centralisés et décentralisés.

Le vol de 1,4 milliard de dollars est le plus grand piratage de cryptomonnaie à ce jour, représentant 60 % de tous les actifs numériques volés l'année dernière. La plateforme crypto basée à Dubaï a connu une augmentation des retraits de clients après la violation, qui ont culminé à 5,3 milliards de dollars samedi. L'auditeur de preuve de réserves Hacken a déclaré que les avoirs de Bybit dépassent toujours son passif, garantissant que les fonds des utilisateurs restent entièrement garantis.

Le piratage de Bybit « marque une nouvelle phase dans les méthodes d'attaque qui font appel à des techniques avancées de manipulation des interfaces utilisateur », a déclaré Checkpoint dans un blog. Plutôt que de cibler uniquement les failles de protocole, les attaquants ont utilisé une ingénierie sociale astucieuse pour tromper les utilisateurs, ce qui a conduit à la compromission d'une importante configuration multisig institutionnelle, a-t-il déclaré.

Les pirates ont exploité une vulnérabilité dans le système multisig de Gnosis Safe. Au lieu de voter sur la chaîne, Gnosis Safe s'appuie sur des signatures générées en externe, ce qui le rend vulnérable aux manipulations de l'interface utilisateur, aux logiciels malveillants et aux signatures non autorisées. L'attaquant a ciblé les signataires multisig, utilisant probablement le phishing, les logiciels malveillants ou une compromission de la chaîne d'approvisionnement pour accéder à leurs appareils.

Les victimes ont interagi sans le savoir avec une fausse interface utilisateur qui imitait le fournisseur de confiance, approuvant une transaction qui donnait le contrôle du portefeuille froid à l'attaquant. À l'aide de clés volées, l'attaquant a exécuté un appel délégué à un contrat malveillant, modifiant le comportement du contrat et redirigeant les fonds vers sa propre adresse. Cela a contourné les protections multisig sans exploiter directement les vulnérabilités des contrats intelligents, ont déclaré les chercheurs de Checkpoint.

Cette attaque prouve que les multisigs ne sont pas infaillibles si les signataires peuvent être compromis, que les portefeuilles froids ne sont pas intrinsèquement sécurisés si les attaquants manipulent ce que voient les utilisateurs, et que les attaques de manipulation de la chaîne d'approvisionnement et de l'interface utilisateur deviennent de plus en plus avancées, ont déclaré les chercheurs. Pour éviter de futures violations, ils ont conseillé au secteur d'adopter une validation des transactions de bout en bout, car la confiance dans les seules décisions humaines ne suffit plus.

Les pirates informatiques utiliseront probablement des mélangeurs pour masquer la trace de leurs transactions, mais l'ampleur de ce vol pourrait rendre le processus plus difficile, a déclaré la société de sécurité blockchain Elliptic. Lazarus Group suit un modèle de blanchiment prévisible, commençant par l'échange de jetons volés contre un actif natif comme Ethereum.

Les pirates informatiques sont maintenant dans la phase de « superposition », un processus conçu pour dissimuler les fonds volés. Cela comprend le déplacement d'actifs via plusieurs portefeuilles, le transfert de fonds entre les blockchains à l'aide de ponts inter-chaînes, l'échange d'actifs sur des échanges décentralisés et l'utilisation de mélangeurs comme Tornado Cash.

Les fonds volés ont été répartis dans 50 portefeuilles dans les deux heures qui ont suivi l'attaque, chacun contenant environ 10 000 ETH. Au moins 10 % des actifs ont déjà été déplacés, a déclaré Elliptic. Un service anonyme aurait facilité le processus de blanchiment, malgré les demandes directes de Bybit de bloquer les transactions. eXch, une bourse de crypto-monnaie connue pour ses échanges anonymes, a été accusée d'avoir traité des dizaines de millions de fonds volés à Bybit - une allégation que la bourse nie , tout en admettant avoir traité une « partie insignifiante des fonds ».

Lazarus a blanchi plus de 200 millions de dollars entre 2020 et 2023, principalement en utilisant des mixeurs et des plateformes peer-to-peer, mais Chainalysis a signalé une évolution vers les ponts inter-chaînes, alors que les criminels affinent leurs méthodes de blanchiment.

L'entreprise a demandé l'aide des « plus brillants esprits en cybersécurité et en analyse cryptographique » pour récupérer les fonds piratés, en offrant une récompense de 10 % du montant récupéré. Cela pourrait totaliser 140 millions de dollars si la totalité du montant piraté est récupérée.

DefiLlama montre que Bybit détenait 10,9 milliards de dollars d'actifs au moment de la rédaction de ce rapport. L'attaque a initialement déclenché une forte baisse du prix de l'Ether, passant de 2 831 $ à 2 629 $, soit une baisse de 7 % en sept heures. Les données de CoinGecko montrent que l'Ether a depuis rebondi.

https://www.bankinfosecurity.com/bybit-restores-14-billion-in-stolen-ether-a-27586