Près de deux mois après l’attaque qui a frappé Radiant Capital, le protocole DeFi a publié de nouvelles informations particulièrement inquiétantes sur les circonstances du piratage ayant entraîné la perte d’environ 50 millions de dollars. Les conclusions de l’enquête menée avec Mandiant, l’une des principales sociétés mondiales de cybersécurité, révèlent une opération extrêmement sophistiquée attribuée à un groupe de pirates affilié à la Corée du Nord.

L’incident démontre que même les protocoles appliquant des procédures de sécurité strictes peuvent devenir vulnérables face à des acteurs étatiques disposant de ressources considérables et de techniques avancées d’ingénierie sociale.

Une attaque préparée pendant plusieurs semaines

L’origine de l’attaque remonte au 11 septembre 2024. Un développeur de Radiant Capital a reçu un message Telegram semblant provenir d’un ancien prestataire de confiance ayant déjà collaboré avec le projet.

Le message contenait un fichier ZIP présenté comme un rapport d’audit de contrats intelligents. La demande paraissait parfaitement légitime et s’inscrivait dans les échanges habituels du secteur. Le domaine utilisé imitait même de manière très convaincante le site officiel du prestataire concerné.

Ne détectant aucun élément suspect, le développeur a partagé le document avec plusieurs collègues afin d’obtenir leurs retours techniques. C’est à ce moment que le logiciel malveillant a commencé à se propager au sein de l’équipe.

Le malware INLETDRIFT au cœur de l’opération

Le fichier malveillant, baptisé INLETDRIFT, était dissimulé dans une archive nommée « Penpie_Hacking_Analysis_Report.zip ». Une fois exécuté sur macOS, il installait une porte dérobée persistante tout en affichant simultanément un document PDF parfaitement crédible afin de ne pas éveiller les soupçons de l’utilisateur.

Le logiciel communiquait discrètement avec l’infrastructure des attaquants via un domaine spécialement conçu pour ressembler à une source d’information légitime. Cette approche a permis aux pirates de conserver un accès durable aux machines compromises sans être détectés.

• Infection initiale via Telegram.
• Usurpation d’identité d’un ancien prestataire.
• Malware INLETDRIFT dissimulé dans un faux rapport d’audit.
• Installation d’une porte dérobée persistante sur macOS.
• Compromission de plusieurs postes de développeurs.

Les systèmes de sécurité traditionnels ont été contournés

Ce qui rend cette attaque particulièrement préoccupante est la capacité des pirates à contourner plusieurs niveaux de sécurité pourtant réputés robustes. Radiant utilisait des portefeuilles matériels, des simulations de transactions via Tenderly, des procédures de validation internes et des contrôles humains systématiques.

Selon les conclusions de Mandiant, les interfaces de vérification affichaient des informations parfaitement légitimes tandis que des transactions malveillantes étaient signées en arrière-plan. Les développeurs voyaient donc des données normales alors que les attaquants exécutaient simultanément leurs propres opérations.

Cette manipulation sophistiquée a rendu l’attaque pratiquement invisible pendant les processus habituels de validation.

Une opération attribuée à la Corée du Nord

Les analyses réalisées par Mandiant attribuent l’attaque avec un haut niveau de confiance au groupe UNC4736, également connu sous les noms AppleJeus ou Citrine Sleet.

Ce groupe est considéré comme affilié au Bureau Général de Reconnaissance (RGB), le principal service de renseignement extérieur de la République populaire démocratique de Corée. Il est déjà connu pour plusieurs campagnes de cyberespionnage et de vols de cryptomonnaies visant des entreprises blockchain à travers le monde.

Selon Mandiant, les éléments techniques recueillis au cours de l’enquête correspondent étroitement aux méthodes déjà observées lors d’autres opérations attribuées à la Corée du Nord.

Une préparation minutieuse avant le vol

L’enquête révèle également que les attaquants ont préparé leur opération durant plusieurs semaines avant le piratage du 16 octobre 2024. Des contrats intelligents malveillants ont été discrètement déployés sur plusieurs réseaux, notamment Ethereum, Arbitrum, Base et BNB Chain.

Une fois le vol exécuté, les pirates ont supprimé leurs traces en seulement quelques minutes. Trois minutes après l’attaque, ils avaient déjà effacé une grande partie de leur infrastructure secondaire ainsi que les extensions utilisées pour maintenir leur accès aux systèmes compromis.

Une leçon pour toute l’industrie DeFi

Pour Radiant Capital, cet incident démontre les limites des modèles actuels de validation des transactions dans la finance décentralisée. Les outils de simulation, les vérifications front-end et même les portefeuilles matériels peuvent être contournés lorsque l’attaquant contrôle l’environnement de travail de l’utilisateur.

Le protocole estime que l’industrie doit désormais évoluer vers des systèmes capables de vérifier et de décoder les transactions directement au niveau matériel afin de réduire les risques de manipulation.

Cette affaire pourrait devenir un cas d’école pour l’ensemble du secteur crypto, alors que les groupes de pirates liés à certains États renforcent continuellement leurs capacités offensives.

Les efforts de récupération continuent

Radiant DAO poursuit actuellement sa collaboration avec Mandiant, les autorités américaines, zeroShadow, Hypernative et plusieurs autres spécialistes de la cybersécurité afin de tenter de récupérer une partie des fonds dérobés.

L’équipe affirme rester mobilisée 24 heures sur 24 pour assister les enquêteurs et partager les enseignements de cette attaque avec l’ensemble de l’écosystème crypto.

👉 🔍 DUC Mon Avis : le facteur humain reste la cible numéro un

Cette attaque montre une réalité que beaucoup préfèrent ignorer. Les protocoles DeFi investissent des millions dans les audits, les portefeuilles matériels et les procédures de sécurité, mais les pirates continuent de viser l’élément le plus difficile à protéger : l’humain.

Le plus impressionnant dans cette affaire n’est pas le malware lui-même. C’est la capacité des attaquants à reproduire parfaitement un contexte professionnel crédible. Le fichier semblait légitime, le contact semblait authentique et les procédures internes ont été respectées. Pourtant, cela n’a pas suffi.

À mon avis, cette attaque va marquer durablement l’industrie crypto. Elle démontre que la prochaine génération de solutions de sécurité devra protéger non seulement les contrats intelligents mais également les postes de travail des développeurs. Tant que cette faiblesse existera, même les protocoles les mieux sécurisés resteront vulnérables.

✍️ Article rédigé par DUC
📌 Source : Radiant Capital & Mandiant

🚀 Rejoignez-moi pour plus de contenu exclusif !

• 👉 YouTube : Bitcoin sans détour
• 👉 X : @bitcoinduc

📢Prendre des décisions informées dans cet univers passionnant ! Comprendre, Apprendre, Réussir…

• Sur YouTube : toute l’actualité de Bitcoin et un regard averti sur l’ensemble de l’univers des cryptomonnaies.

🔔 Abonnez-vous au site pour ne manquer aucun contenu :

À bientôt, DUC