Le Département américain de la Justice a annoncé jeudi avoir saisi une infrastructure de calcul cloud liée à une campagne d'hacking attribuée aux acteurs nord-coréens, qui ont operé sous le nom FaceStealer. Selon ce département, cette opération ciblait des personnes travaillant dans les domaines des cryptomonnaies ou des internet entre début 2023 et mi-2024, en volant plus de 400 millions (361 millions) de dollars en actifs numériques grâce à des interactions vidéo trompeuses.
Mécanismes de la campagne : réunions fausses et deepfakes
Les hackers commençaient par envoyer des invitations pour des réunions provenant d'identités compromises lors de précédentes attaques. Une fois que les victimes avaient rejoint ces appels, ils enregistraient leurs flux webcam et jouaient des clips pré-enregistrés de contacts connus — des personnes auxquelles la cible faisait confiance — afin de créer une illusion d'autorité authentique. Le FBI note que ces vidéos deepfake incluent aujourd'hui progressivement des avatars générés par l'intelligence artificielle représentant des personnalités importantes dans le monde cryptographique, pour paraître plus crédibles.
Après avoir établi la confiance, les hackers organisaient des faux dysfonctionnements techniques et proposaient des liens supposés destinés à corriger ces erreurs. Ces liens instauraient du malware sur les appareils utilisateurs. Dans certains cas, les attaquants attendaient plusieurs mois ou même plus d'une année avant de déclencher des transferts de fonds. Après avoir volé des sommes, ils utilisaient leurs connexions au sein du réseau victime afin d'identifier de nouvelles cibles, permettant ainsi l'évolution d'une chaîne d'attaques.
La violation de Binance : un incident distinct
L'administration américaine a déclaré qu'elle possède l'autorisation judiciaire de saisir plus de 1,2 milliard de dollars détenu sur la plateforme cryptographique Binance dans un incident distinct qui aurait eu lieu autour du 29 octobre de l'année dernière. Le FBI attribue ce piratage à un groupe nommé TraderTraitor, qui est différent de FaceStealer et non lié aux hackers militaires coréens du Nord.
Binance, cette géante de la monnaie numérique, aurait été ciblée avec une perte estimée de plus de 6,3 milliards de dollars (5,7 milliards d'euros), selon l'Agence de presse associée. Depuis lors, des agences américaines et des entreprises privées ont collectivement gelé des actifs dépassant 2,7 milliards de dollars (2,44 milliards d'euros). Une demande de confiscation a été présentée en vertu de la loi fédérale ; un juge décidera finalement de qui peut conserver les fonds récupérés.
Attribution du FBI et contexte
Le FBI attribue FaceStealer à une cellule de hackers nommée Sapphire Sleet ou UNC1069. Ce groupe est indépendant des hackers militaires coréens liés au vol de Binance. Bien que le ministère de la Justice affirme que la Corée du Nord finance ses programmes illégals — y compris le développement d'armes — par ce type de vol cryptographique, il ne confirme pas une implication directe dans l'un des deux incidents.
En réponse aux allégations de activités cybernétiques soutenues par un État, la Corée du Nord a déni toute participation à cet incident de vol. Aucune déclaration officielle n'a été émise par aucune entité gouvernementale confirmant la responsabilité de ces attaques.
Remarque : Les informations présentées ici sont tirées exclusivement de rapports et d'indications attribués à des agences fédérales américaines, comme rapportés par Deutsche Welle. Toutes les affirmations concernant des acteurs, des opérations ou des chiffres financiers sont citées directement dans ces sources. Aucune vérification indépendante au-delà du matériel publié n'est effectuée ici.