Alerte de flux Bitcoin : 577 millions de dollars volés en Corée du Nord ont augmenté la menace pour les utilisateurs de cryptomonnaies

La part de la Corée du Nord dans les vols de cryptomonnaies augmente, car les vols importants deviennent de plus en plus concentrés.

C’est principalement une histoire liée aux flux de capitaux. En gros…577 millionsIl a été attaqué seulement deux fois dans le cadre de ces attaques DeFi cette année. Cela signifie que la menace ne repose pas sur des actes criminels isolés, mais plutôt sur des profits obtenus grâce à un petit nombre de voies d’exploitation.

Ce point devient encore plus clair lorsque l’on considère le marché dans son ensemble. Environ643 millions d’euros ont été volés au premier trimestre 2026.Les pertes totales des attaquants ont chuté à 972 millions de dollars, contre 2,3 milliards de dollars auparavant. Les vols de grande envergure ont diminué dans le domaine de la cryptomonnaie ; par conséquent, les pertes en Corée du Nord représentent une part plus importante. TRM Labs affirme que cette baisse des pertes globales ne signifie pas que la menace a diminué. En effet, un seul attaque réussie contre un objectif important peut compenser les pertes accumulées au cours des mois passés causées par tous les autres attaquants combinés.

Le danger immédiat, donc, n’est pas seulement ce qui a été volé par le passé. C’est plutôt la manière dont les attaquants obtiennent accès à ces données, ce qui permet de commettre des détournements futurs. Mandiant a identifié une intrusion en lien avec cela.Compte Telegram compromisOn utilisait pour atteindre une nouvelle cible, puis pour organiser des réunions Zoom fictives, des installations de ClickFix… En fin de compte, sept familles de malwares différents étaient installées sur un seul hôte. Ce ensemble d’outils vise clairement un objectif : obtenir les identifiants, les données du navigateur et les tokens de session afin de commettre des actes de vol financier.

L’attaque se cache dans les processus de travail normaux.

Le nouveau risque n’est pas que les cryptomonnaies soient « moins sécurisées » d’une manière abstraite. C’est plutôt que l’intrusion se cache au sein d’un processus de travail fiable : un message sur Telegram, une invitation sur le calendrier, ou encore une apparence de vidéo appel ordinaire. Mandiant a indiqué que cette campagne utilisait…Séance Zoom falsifiée hébergée sur l’infrastructure du acteur de menaceCe n’est pas une véritable salle de zoom. Cela change le problème : il ne s’agit plus de mises à jour logicielles, mais de jugement humain.

Pourquoi la chaîne d’ingénierie sociale fonctionne-t-elle

Les experts pourraient argumenter que les canaux vérifiés restent importants : si on ne communique qu’avec des contacts et des plateformes connues, on est plus en sécurité. Mais cette campagne montre à quel point cette hypothèse peut se vérifier rapidement. UNC1069 a commencé par…Compte Telegram compromiseIl a été transféré vers un processus d’invitation à réunion fictive, et un vidéo a été utilisée, selon les rapports.Vidéo générée par l’IALes chercheurs ont déclaré qu’ils ne pouvaient pas vérifier indépendamment le deepfake dans ce cas précis. Par conséquent, cette affirmation doit être prise avec prudence. Cependant, le mécanisme général est bien documenté : il suffit que la “proposition” semble crédible pendant un certain temps pour inciter la victime à coopérer.

Une fois entré dans la réunion fictive, au victime était indiqué qu’il y avait des problèmes audio. Ensuite, on lui demandait de suivre les instructions nécessaires pour résoudre le problème. En réalité, l’attaquant crée un problème technique fictif et demande au victime d’exécuter des commandes afin de “résoudre” le problème. La confiance est nécessaire pour que la réunion ait lieu. La réunion, quant à elle, fournit une excuse technique pour justifier l’attaque. Cette excuse permet ensuite d’accéder à l’ordinateur.

Le manque de succès du journaliste montre à quel point les tentations sont devenues agressives.

Un test de résistance utile est le incident près d’un accident que a vécu un journaliste de Fortune. On a rapporté qu’un processus sur l’ordinateur portable d’un collègue pouvait…Surveiller les mouvements de la clavier, enregistrer l’écran, voir les mots de passe, et accéder aux applications.L’écrivain a arrêté l’ordinateur et a décidé de le nettoyer plutôt que de essayer de le déboguer en temps réel.

Cela est important, car cela montre sur quoi UNC1069 compte : des professionnels occupés qui réagissent rapidement au sein d’une collaboration légitime.

Regardez ces points de faillance de confiance : – Les contacts de Telegram réapparaissent dans des conversations antérieures. Mandiant a suivi une campagne jusqu’à…Profil Telegram piraté– Des liens de connexion qui mènent vers des infrastructures construites par l’attaquant, et non vers le fournisseur réel. – Tout appel téléphonique qui accuse immédiatement des problèmes d’audio, et vous demande de suivre les instructions sur votre appareil.

Les investisseurs devraient prêter attention au risque d’accès et aux voies de blanchiment, et non seulement aux chiffres clés.

Une attitude plus mesurée consiste en une gestion défensive des flux, et non en une liquidation totale. Chainalysis identifie un…Cycle de blanchiment de 45 jours après les grands volsEt THORChainElle a traité la grande majorité des revenus provenant à la fois de la fuite de Bybit et du piratage de KelpDAO.Cela signifie que la prochaine réaction du marché pourrait se concentrer autour des points d’accès et des canaux de routage, pendant que les fonds volés continuent de circuler, plutôt que de toucher tous les tokens de manière équitable.

Le scénario baisseur est donc sélectif. Les processus qui dépendent de la confiance peuvent perdre en crédibilité rapidement si une autre pression se produit. Les plateformes liées aux voies de circulation des fonds connues pourraient également être soumises à un plus grand contrôle. Mandiant a suivi la campagne en cours à travers…Compte Telegram compromisUn lien de type Calendly, ainsi qu’une réunion Zoom frauduleuse hébergée sur l’infrastructure du cybermenaceur. Enfin, sept familles de logiciels malveillants distinctes visent à collecter des identifiants, des données du navigateur et des tokens de session. Il s’agit principalement d’une menace au niveau de la couche d’accès, mais qui entraîne également des conséquences importantes pour les flux de capitaux.

Quoi surveiller avant le prochain réajustement de prix

• Invitations de réunion provenant de Telegram : en particulier des liens actuels de Calendly ou des retrouvailles soudaines avec des conversations antérieures.
• Un soutien ou des sessions de partenariat inattendus, qui se transforment rapidement en instructions pour l’utilisation à distance.
• Tout incident signalé comme une tentative de récupération de identifiants ou de collecte de tokens de session.

• Des flux de transferts inhabituels ou une activité accrue via des mécanismes de blanchiment, liés à les sommes obtenues par violation majeure, y compris THORChain.

• La boîte de montre reste pertinente tant que les données d’afflux montrent que le capital se déplace via des itinéraires identifiables après l’exploitation.

• Invalidation : les incidents isolés du côté d’accès, ainsi que les difficultés réelles liées aux canaux de blanchiment d’argent, pourraient réduire le risque de transmission.