XRP : Ripple alerte Crypto ISAC après les 577 M$ de pertes d'avril

Ripple partage désormais ses renseignements internes sur les acteurs de la menace nord-coréens avec Crypto ISAC, le groupe de partage d'informations sur les menaces du secteur, après que la brèche de Drift à 285 millions de dollars en avril a mis au jour un changement dans la méthodologie des attaquants : ceux-ci s'éloignent des exploits sur smart contracts pour privilégier l'ingénierie sociale sur de longs cycles. Combiné à l'exploit du bridge Kelp à 292 millions de dollars également attribué à Lazarus Group, les pertes d'avril liées à des opérationnels nord-coréens ont dépassé les 577 millions de dollars en un seul mois — et dans les deux cas, aucun exploit on-chain n'était en cause.

Pourquoi c'est important

La vague de vols dans la DeFi entre 2022 et 2024 portait sur le code : les attaquants trouvaient des bugs dans les smart contracts et drainaient les protocoles en quelques minutes. La vague actuelle porte sur les personnes. Les opérationnels postulent à des emplois dans des entreprises crypto, passent les vérifications d'antécédents, se présentent à des appels Zoom, et nouent une relation de confiance pendant des mois avant de déployer un malware qui s'empare des clés privées. Au moment où les fonds bougent, chaque contrôle de sécurité traditionnel n'a rien à signaler — parce que l'attaquant était déjà à l'intérieur, habilité en tant que prestataire.

La contribution de Ripple à Crypto ISAC est le tissu conjonctif qui rend ce schéma lisible d'une entreprise à l'autre : profils LinkedIn, adresses e-mail, localisations et numéros de contact qui permettent à une équipe de sécurité de reconnaître le candidat qu'elle vient d'entretener comme étant le même opérationnel qui a échoué aux vérifications d'antécédents dans trois autres entreprises la même semaine. « La meilleure posture de sécurité dans la crypto est une posture partagée », a publié Ripple sur X. « Un acteur de la menace qui échoue à une vérification d'antécédents dans une entreprise postulera dans trois autres la même semaine. Sans renseignement partagé, chaque entreprise repart de zéro. »

Impact sur le marché

La portée de Lazarus Group est désormais suffisamment visible pour remodeler les procédures judiciaires. Lundi, un avocat représentant des victimes du terrorisme nord-coréen a signifié des notifications de gel à Arbitrum DAO, faisant valoir que les 30 765 ETH gelés après l'exploit du bridge Kelp constituent un bien nord-coréen au regard du droit américain. Le protocole de prêt Aave a répliqué en soutien d'Arbitrum, arguant qu'« un voleur ne devient pas propriétaire légal d'un bien volé simplement en le prenant ».

Reste la question ouverte de savoir si le partage de renseignements à l'échelle du secteur ralentira réellement ces campagnes.