Tornado Cash : Les hackers toujours aussi actifs sur ce tumbler !

L’histoire du blanchiment de capitaux sur Tornado Cash continue. Et ce, malgré les sanctions infligées à ce mélangeur de cryptos. Cette-fois ci, ce sont 500 000 dollars volés à la plateforme de financement participatif DAO Maker qui ont été transférés via la plateforme. 

Piratage de DAO Maker : Retour sur les faits

La plateforme de financement participatif DAO Maker a été piratée en août 2021. Les hackers ont réussi à dérober 7 millions de dollars de stablecoins en vidant les comptes de certains utilisateurs. Les pirates ont tiré parti d’une vulnérabilité de l’un des portefeuilles crypto de l’entreprise. Cela leur a permis d’obtenir des privilèges d’administrateur. Les hackers ont d’abord utilisé l’exploit pour voler 10 000 stablecoins indexés sur le dollar USDC. Ils ont ensuite effectué 15 transactions supplémentaires.

Tornado Cash Used to Siphon $500k from Hacked DAO Maker – PeckShield https://t.co/iQiLMX60OZ

— Cryptoprowatch (@cryptoprowatch) September 11, 2022

Les pirates ont dispatché les fonds volés sur différentes adresses qu’ils contrôlent. Il y a quelques jours, ils auraient utilisé une adresse Etherscan pour transférer 500 000 dollars en stablecoin DAI. Cette information émane de la société de sécurité blockchain Peckshield. Dans un Tweet, l’entreprise déclare : « Nous avons vu 500 000 $ en DAI transférés de EOA 0x0B789 à @TornadoCash. Cette adresse est directement associée au développeur DAOMaker qui a volé des fonds à @TheDaoMaker. »

Tornado Cash : Anonymiser les fonds volés

Les cybercriminels utilisent souvent le mixeur de cryptos Tornado Cash pour blanchir des fonds volés et illicites. Les utilisateurs ont recours aux mélangeurs de cryptos pour anonymiser les transferts de fonds entre les services. Les hackers profitent de cette capacité des tumblers pour blanchir des capitaux. Tornado Cash est un service de mélangeur de cryptomonnaies lancé en 2019. La plateforme est basée sur Ethereum. Elle collecte les cryptomonnaies d’Ethereum à partir de plusieurs plateformes, puis les mélange (tumbler) pour masquer la source. 

Face à l’explosion du blanchiment de capitaux via Tornado Cash, le Bureau du contrôle des avoirs étrangers (OFAC) du Département du Trésor a imposé des sanctions à la plateforme le 8 août dernier. Avec cette sanction, tous les Américains et entités locales ne peuvent interagir avec les portefeuilles Tornado Cash ou Ethereum (ETH) liés au protocole. Peu importe, les cybercriminels n’hésitent pas à défier les autorités en poursuivant leurs opérations sur Tornado Cash. Et ce, malgré les risques d’amende pouvant aller jusqu’à 330 000 dollars assortie d’une peine de prison pouvant aller jusqu’à 30 ans. 

Ce cas de blanchiment de capitaux sur Tornado Cash ne sera certainement pas le dernier. Il faut savoir que Tornado Cash n’est pas une entreprise traditionnelle associée à des personnes morales. C’est un projet décentralisé basé sur des contrats intelligents open source. Parce que les codes sont open source et librement ouverts au public, ils peuvent être redéployés sous un nom différent, permettant une réplication infinie. Une aubaine pour les cybercriminels, mais un défi majeur pour les autorités.