Au cœur du piratage de 290 millions de dollars de KelpDAO : le groupe Lazarus de Corée du Nord frappe à nouveau

Tout a commencé par une onde dans les eaux de la blockchain : une pause sur le token de liquid restaking de KelpDAO, rsETH, et un avertissement énigmatique concernant une “activité inter-chaînes suspecte”. En quelques heures, le monde de la DeFi a pris la mesure de la situation : près de 290 millions de dollars s’étaient volatilisés dans l’ombre numérique. Une fois la poussière retombée, tous les indices menaient à l’un des groupes de cybercriminels les plus redoutés au monde, le groupe Lazarus de Corée du Nord, orchestrant un braquage qui a secoué l’écosystème crypto.

Anatomie d’un braquage numérique

KelpDAO, un protocole de finance décentralisée construit sur Ethereum, permet aux utilisateurs de “restaker” leur ETH et de recevoir un token liquide, rsETH, utilisable à travers la DeFi. Cette promesse de flexibilité et de rendement a fait de KelpDAO une cible de choix pour les hackers.

La faille exploitée reposait sur une vulnérabilité complexe dans la vérification des messages inter-chaînes. La communication inter-chaînes - essentielle pour déplacer des actifs et des données entre blockchains - dépend de nœuds de vérification pour confirmer les transactions. Les attaquants ont compromis plusieurs nœuds RPC (Remote Procedure Call) qui fournissaient des données à la couche de vérification. En empoisonnant ces nœuds avec des données falsifiées et en lançant simultanément une attaque DDoS sur les nœuds sains, ils ont forcé le système à accepter des messages frauduleux comme légitimes.

Cela a permis aux hackers de créer ou de transférer des tokens rsETH sans réel adossement sur la blockchain Ethereum. Au total, ils ont siphonné environ 116 500 rsETH, d’une valeur d’environ 293 millions de dollars, et ont rapidement fait transiter les fonds via Tornado Cash, un service de mixage crypto tristement célèbre pour le blanchiment d’actifs volés.

LayerZero, le protocole responsable de l’interopérabilité inter-chaînes de KelpDAO, a mené l’enquête. Leurs analyses ont pointé vers le groupe Lazarus, un collectif de hackers nord-coréens soutenu par l’État et connu pour des vols de crypto de grande ampleur. Notamment, le groupe avait aussi été impliqué dans le récent braquage de 280 millions de dollars du protocole Drift, impliquant des mois d’ingénierie sociale et d’infiltration.

Bien que l’incident ait été limité à rsETH, la secousse s’est fait sentir dans tout le secteur DeFi. Des protocoles comme Compound, Euler et Aave ont réagi en gelant les actifs concernés et en suspendant les nouvelles activités pour éviter d’autres dégâts.

Conséquences et implications plus larges

Le piratage de KelpDAO marque l’un des plus grands vols de crypto de 2024 et souligne la sophistication croissante de la cybercriminalité soutenue par des États. Alors que les protocoles DeFi s’efforcent de construire des systèmes toujours plus interconnectés, la sécurité de l’infrastructure inter-chaînes devient un champ de bataille crucial. Pour l’instant, les empreintes numériques du groupe Lazarus servent d’avertissement : la promesse de décentralisation de la DeFi n’a d’égal que l’ingéniosité de ses adversaires.

WIKICROOK

• DeFi (Finance Décentralisée) : La DeFi (Finance Décentralisée) propose des services financiers comme le prêt et le trading sur des réseaux blockchain, supprimant le besoin de banques ou d’autorités centrales.
• Cross : Le Cross-Site Scripting (XSS) est une cyberattaque où des hackers injectent du code malveillant dans des sites web pour voler des données utilisateurs ou détourner des sessions.
• Nœud RPC (Remote Procedure Call) : Un nœud RPC est un serveur qui fournit des données blockchain aux applications, permettant la confirmation des transactions et l’accès aux détails du réseau sans nœud complet.
• DDoS (Déni de Service Distribué) : Une attaque DDoS submerge un site ou un service avec un trafic excessif, perturbant le fonctionnement normal et le rendant indisponible pour les vrais utilisateurs.
• Tornado Cash : Tornado Cash est un outil de confidentialité qui mélange les transactions de cryptomonnaies, rendant difficile la traçabilité de la source ou de la destination des fonds sur Ethereum.