Les blanchisseurs du piratage de Bitget demandent ouvertement de l’aide sur Discord

L’enquêteur blockchain ZachXBT a découvert que des acteurs chinois qui blanchissent l’argent de l’exploit de 387 millions de dollars de Bitget demandent ouvertement de l’aide sur des serveurs Discord publics et des canaux Telegram des services qu’ils utilisent. Les blanchisseurs agiraient pour le compte d’attaquants présumés nord-coréens et auraient ainsi révélé involontairement leur identité et leurs transactions.

En bref :

• Cinq alias ont été identifiés comme blanchisseurs de fonds volés à Bitget, vraisemblablement à la demande de pirates nord-coréens.
• Les acteurs ont publiquement demandé de l’aide pour des transactions bloquées via THORChain, ce qui a permis à ZachXBT de les tracer.
• L’une de ces personnes avait déjà participé au blanchiment de fonds issus de l’exploit de 292 millions de dollars de Kelp DAO.

Demander publiquement de l’aide tout en blanchissant

Les cinq personnes identifiées opèrent sous les alias Cc, jack, Melon, lolo/Marin et HELP ME. Elles ont contacté des agents du support de services comme SwapKit et NativeSwap après que leurs transactions via THORChain se sont mal déroulées.

Sur les captures d’écran, l’un des acteurs se plaint d’avoir envoyé 277 724 XRP pour un échange vers du Bitcoin, mais de n’avoir récupéré que 431 XRP. Un autre a signalé que deux échanges de Bitcoin avaient été annulés après une panne du réseau. Ces messages publics ont permis de relier les identifiants de transaction aux portefeuilles connus de l’exploit.

Le même schéma que lors de précédents exploits nord-coréens

ZachXBT indique avoir déjà reconnu ce mode opératoire lors de plusieurs attaques attribuées au groupe de pirates nord-coréens TraderTraitor. Il suit ces groupes depuis longtemps et annonce qu’il publiera davantage de données dans les semaines à venir.

L’alias lolo/Marin se distingue particulièrement : la même personne avait déjà participé au blanchiment de fonds issus de l’exploit de Kelp DAO, au cours duquel 292 millions de dollars avaient été dérobés plus tôt cette année. Cela laisse entrevoir un réseau structuré d’intermédiaires chinois, mobilisé à plusieurs reprises pour des attaques nord-coréennes.

Actuellement, les fonds volés sont envoyés d’un réseau à l’autre via des ponts et déposés dans des services de mixage comme Wasabi, rapporte ZachXBT. Au sein de Wasabi, les transactions sont regroupées pour dissimuler leur provenance. Le PDG de Bitget avait déjà exigé que THORChain bloque les adresses des pirates, mais les blanchisseurs semblent pour l’instant poursuivre leurs activités.