Des pirates nord-coréens ont volé 300 millions de dollars en Bitcoin sur DMM Exchange, selon la police

En mai, environ 48,2 milliards de yens JPY (environ 306 millions de dollars) de Bitcoin ont été illégalement siphonnés du DMM Bitcoin.

Around ¥48.2 billion JPY (approximately $306 million USD) in Bitcoin was unlawfully siphoned from DMM Bitcoin in May. The Tokyo entity is a cryptocurrency exchange that operates under the major IT firm DMM.com.

Environ 48,2 milliards de yens JPY (environ 306 millions de dollars) en Bitcoin ont été illégalement siphonnés du DMM Bitcoin en mai. L'entité de Tokyo est une bourse de crypto-monnaie qui opère sous la grande société informatique DMM.com.

On December 24, the National Police Agency (NPA) announced that the North Korean cyberattack group TraderTraitor was responsible for the attack. The investigation was carried out by the Metropolitan Police Department and NPA, in cooperation with the American Federal Bureau of Investigation (FBI).

Le 24 décembre, l'Agence nationale de la police (NPA) a annoncé que le groupe de cyberattaque nord-coréen TraderTraitor était responsable de l'attaque. L'enquête a été menée par le Metropolitan Police Department et la NPA, en coopération avec le Federal Bureau of Investigation (FBI) américain.

TraderTraitor’s Phishing Tactics

Tactiques de phishing de TraderTraitor

According to the NPA, attackers from TraderTraitor posed as recruiters on the business-focused social networking site LinkedIn in late March. They contacted an employee of Ginco (Tokyo), which manages the cryptocurrency wallet system for DMM Bitcoin.

Selon la NPA, des attaquants de TraderTraitor se sont fait passer pour des recruteurs sur le site de réseau social professionnel LinkedIn fin mars. Ils ont contacté un employé de Ginco (Tokyo), qui gère le système de portefeuille de crypto-monnaie pour DMM Bitcoin.

The attackers sent messages with URLs, attempting to entice the employee to click the link. When clicked, the link infected the employee’s computer with a virus.

Les attaquants ont envoyé des messages contenant des URL, tentant d'inciter l'employé à cliquer sur le lien. Une fois cliqué, le lien infectait l'ordinateur de l'employé avec un virus.

After mid-May, the attackers used the employee’s credentials to gain unauthorized access to the Ginco system. They were able to modify the system, altering both the amounts and destinations of cryptocurrency transfers, which resulted in the theft.

Après la mi-mai, les attaquants ont utilisé les identifiants de l'employé pour obtenir un accès non autorisé au système Ginco. Ils ont pu modifier le système, modifiant à la fois les montants et les destinations des transferts de cryptomonnaies, ce qui a abouti au vol.

Investigating the Theft

Enquête sur le vol

The stolen funds were eventually transferred to digital wallets controlled by TraderTraitor. Investigations confirmed that the accounts used to contact the employee and the connections for the malicious program were both managed by TraderTraitor.

Les fonds volés ont finalement été transférés vers des portefeuilles numériques contrôlés par TraderTraitor. L'enquête a confirmé que les comptes utilisés pour contacter l'employé et les connexions du programme malveillant étaient tous deux gérés par TraderTraitor.

In response, the NPA, together with the National Center of Incident Readiness and Strategy for Cybersecurity, issued a public attribution statement directly naming North Korea and TraderTraitor and condemning both entities. The NPA also issued a warning, highlighting the rise in cryptocurrency thefts attributed to North Korea.

En réponse, la NPA, en collaboration avec le Centre national de préparation aux incidents et de stratégie pour la cybersécurité, a publié une déclaration publique d'attribution nommant directement la Corée du Nord et TraderTraitor et condamnant les deux entités. La NPA a également émis un avertissement, soulignant la hausse des vols de cryptomonnaies attribuée à la Corée du Nord.

Following the breach, DMM Bitcoin raised ¥55 billion with support from group companies to guarantee the full amount of the stolen funds to users. However, the company announced its closure on December 2 due to continuing restrictions on services.

À la suite de la violation, DMM Bitcoin a levé 55 milliards de yens avec le soutien des sociétés du groupe pour garantir aux utilisateurs le montant total des fonds volés. Cependant, la société a annoncé sa fermeture le 2 décembre en raison des restrictions persistantes sur les services.

Naming the Culprits

Nommer les coupables

Public attribution is an effort to publicly name countries or organizations suspected of involvement in cyberattacks. It aims to prevent further damage and deter future attacks. The United States was the first to carry out public attribution in 2014. Japan has done so previously in cases involving China and North Korea. This case was Japan’s eighth instance.

L'attribution publique est un effort visant à nommer publiquement des pays ou des organisations soupçonnés d'être impliqués dans des cyberattaques. Son objectif est de prévenir de nouveaux dégâts et de dissuader de futures attaques. Les États-Unis ont été les premiers à procéder à une attribution publique en 2014. Le Japon l’a déjà fait dans des affaires impliquant la Chine et la Corée du Nord. Il s'agit du huitième cas au Japon.