Des pirates nord-coréens dérobent 300 millions de dollars grâce à de fausses réunions sur les cryptomonnaies

Cette alerte, détaillée par MetaMask, chercheur en sécurité Taylor Monahan (connu sous le nom de Tayvano), décrit une escroquerie complexe de type "longue arnaque" (long-con) ciblant des cadres du secteur des cryptomonnaies.

L'appât : comptes Telegram piratés et faux contacts

Selon Monahan, la campagne marque une rupture avec les attaques récentes qui s'appuyaient sur des deepfakes dotés d'une intelligence artificielle. Au lieu de cela, elle utilise une approche plus directe, basée sur le détournement decomptes Telegram et l'utilisation de séquences loop recyclées à partir de vraies interviews.

Les acteurs de la menace de la RPDC arnaquent encore trop d'entre vous par le biais de leurs fausses réunions sur Zoom/Teams", a-t-il said Monahan sur X

L'attaque commence généralement après que les pirates ont pris le contrôle d'un compte Telegram de confiance, appartenant souvent à un capitaliste aventurier ou à une personne que la victime a précédemment rencontrée lors d'une conférence. Les attaquants exploitent ensuite l'historique des discussions précédentes pour paraître légitimes, guidant la victime vers un appel vidéo sur Zoom ou Microsoft Teams via un lien de calendrier déguisé.

La mise en scène : vidéos recyclées et faux problèmes techniques

Une fois la réunion commencée, la victime voit ce qui semble être un feed vidéo en direct de son contact. En réalité, il s'agit souvent d'un enregistrement recyclé d'un podcast ou d'une apparition publique.

Le moment décisif survient généralement à la suite d'un problème technique simulé. Après avoir évoqué des problèmes audio ou vidéo, l'attaquant invite la victime à rétablir la connexion en téléchargeant un script spécifique ou en mettant à jour un kit de développement logiciel (SDK). Le fichier livré à ce moment-là contient la payload malveillante.

Le coup de grâce et le rôle du RAT

Une fois installé, le malware - souvent un cheval de Troie d'accès à distance (RAT) - donne à l'attaquant le contrôle total du système. Le RAT draine les portefeuilles de crypto-monnaies et exfiltre des données sensibles, notamment des protocoles de sécurité internes et des tokens de session Telegram, qui sont ensuite utilisés pour cibler la prochaine victime du réseau.

Monahan a averti que ce transporteur spécifique "arme la courtoisie professionnelle". Les hackers s'appuient sur la pression psychologique d'une "réunion d'affaires" pour provoquer une erreur de jugement, transformant une demande de dépannage de routines en une faille de sécurité fatale. Pour les acteurs du secteur, toute demande de téléchargement de logiciel au cours d'un appel est désormais considérée comme un signal d'attaque actif.

Cette stratégie de "fausses réunions" fait partie d'une offensive plus large des acteurs de la RPDC, qui ont détourné environ 2 milliards de dollars du secteur au cours de l'année écoulée, y compris la faille de Bybit.