Le groupe Lazarus nommé dans le vol de 540 M$ sur Ronin Bridge : implications AML et sanctions
Le Bureau du contrôle des avoirs étrangers (OFAC) du Trésor américain a sanctionné une adresse Ethereum liée au groupe Lazarus nord-coréen, reliant officiellement l'unité de piratage parrainée par l'État au vol de 173 600 ETH et 25,5 millions USDC du pont Ronin Network. Le butin total était estimé à environ 540 millions de dollars au moment de l'exploit, ce qui en fait le deuxième plus grand vol de crypto jamais enregistré. Pour les cabinets comptables, les plateformes DeFi, les émetteurs de stablecoins et toute entreprise touchant des actifs basés sur Ethereum, cette action d'application comporte des obligations de conformité immédiates.
Ce qui s'est passé sur le pont Ronin
L'exploit a été exécuté le 23 mars, mais Ronin Network ne l'a découvert que six jours plus tard, le 29 mars. Le retard est significatif : la brèche n'a été révélée qu'après qu'un utilisateur a tenté de retirer 5 000 ETH et que la transaction a échoué. À ce moment-là, les fonds volés avaient déjà atteint une valeur estimée à 615 millions de dollars.
Comment l'attaquant a obtenu l'accès
Le pont de Ronin exige que cinq des neuf nœuds validateurs approuvent tout transfert sortant. L'attaquant a obtenu les clés cryptographiques privées de cinq validateurs, leur donnant exactement le seuil nécessaire pour drainer le pont sans être détecté. L'analyse post-mortem de Ronin a conclu que toutes les preuves pointent vers l'ingénierie sociale plutôt qu'une vulnérabilité logicielle, ce qui signifie qu'aucun défaut de code n'a déclenché la perte. Un humain, ou plusieurs humains, ont été trompés pour divulguer leurs identifiants d'accès.
La désignation par l'OFAC
Le 14 avril, l'OFAC a ajouté l'adresse Ethereum de l'attaquant à sa liste des ressortissants spécialement désignés (SDN) et a nommé le bénéficiaire effectif comme étant le groupe Lazarus. La désignation interdit aux personnes et entités américaines de transiger avec cette adresse ou de traiter des transactions pour celle-ci. Toute bourse, dépositaire ou processeur de paiement américain qui touche des fonds traçables jusqu'à ce portefeuille est exposé à une responsabilité en matière de sanctions, qu'il connaisse ou non la source.
Le manuel de blanchiment : trois étapes
L'analyse blockchain des portefeuilles de l'attaquant révèle une séquence structurée de blanchiment qu'il vaut la peine de comprendre en détail, car le même schéma réapparaît dans d'autres exploits parrainés par des États et informe les contrôles qui devraient les détecter.
Étape 1 : USDC en ETH via des bourses décentralisées
La première action de l'attaquant a été d'échanger tout l'USDC volé contre de l'ETH en utilisant des bourses décentralisées (DEX). Les stablecoins comme l'USDC peuvent être gelés par leurs émetteurs si les forces de l'ordre signalent le portefeuille concerné. En convertissant en ETH sur les DEX, où il n'y a pas de contrôles KYC ni de mécanismes de gel contrôlés par l'émetteur, l'attaquant a éliminé ce risque avant que Circle ou tout autre émetteur ne puisse agir. Cette tactique est désormais une caractéristique bien documentée des exploits basés sur la DeFi.
Étape 2 : Cumul sur les bourses centralisées
Environ 16,7 millions de dollars en ETH ont ensuite été déplacés via trois bourses centralisées. Cela est inhabituel pour les exploits DeFi précisément parce que les plateformes centralisées ont des obligations AML et de filtrage des sanctions. Cela a été observé plus fréquemment dans les opérations du groupe Lazarus spécifiquement. Lorsque ces bourses ont publiquement déclaré qu'elles coopéreraient avec les forces de l'ordre, l'attaquant a rapidement changé de cap.
Étape 3 : Mélange via Tornado Cash
La majeure partie du blanchiment a été transférée vers Tornado Cash, un mélangeur de contrats intelligents basé sur Ethereum. Au 14 avril, environ 80,3 millions de dollars en ETH avaient été acheminés via le mélangeur, avec 9,7 millions supplémentaires dans des portefeuilles intermédiaires susceptibles de suivre le même chemin. Cela laissait environ 433 millions de dollars encore dans le portefeuille d'origine de l'attaquant, non dépensés et activement suivis par les analystes de la blockchain. Au total, environ 18 % des fonds volés avaient été blanchis au moment où l'OFAC a agi.
Groupe Lazarus : contexte et reconnaissance des schémas
Le groupe Lazarus cible les entités crypto depuis au moins 2017. Ses premières opérations se concentraient sur les bourses centralisées en Corée du Sud et en Asie. Au cours des deux dernières années, le groupe s'est tourné agressivement vers les protocoles DeFi et les ponts inter-chaînes. L'attaque de Ronin correspond à un modèle reconnaissable : une victime située en Asie du Sud-Est (le développeur de Ronin, Sky Mavis, est basé au Vietnam), un vecteur d'entrée d'ingénierie sociale, et une séquence de blanchiment en couches qui commence par des échanges DEX et migre vers des services de mélange.
Les gouvernements américain et alliés ont publiquement lié les produits du vol de crypto du groupe Lazarus aux programmes nucléaire et balistique de la Corée du Nord. L'action de l'OFAC sur cette adresse n'est donc pas purement une affaire de criminalité financière. Elle se situe à l'intersection du droit des sanctions, de la sécurité nationale et de la conformité des actifs crypto.
Obligations de conformité pour les entreprises manipulant ces actifs
Filtrage des sanctions pour les personnes et entités américaines
La désignation de l'OFAC signifie que toute personne américaine et toute entité non américaine avec un lien avec les États-Unis doit filtrer les transactions entrantes et sortantes par rapport à la liste SDN. Recevoir des fonds traçables jusqu'à l'adresse sanctionnée, même après plusieurs sauts, peut constituer une violation des sanctions. Le standard juridique dans le droit des sanctions américain est la responsabilité stricte pour certaines violations : l'intention n'est pas toujours une défense. Les entreprises qui s'appuient sur l'analyse blockchain pour soutenir les enquêtes AML doivent s'assurer que leurs outils capturent des clusters d'adresses, pas seulement des correspondances exactes, car les fonds passent par des portefeuilles intermédiaires avant d'atteindre un service.
Exposition des émetteurs de stablecoins et des banques
L'angle USDC mérite une attention particulière. Circle a gelé les fonds dans les portefeuilles sanctionnés après l'identification de l'exploit, démontrant que les émetteurs de stablecoins conservent un contrôle en temps réel sur les soldes on-chain. Les banques et les sociétés de paiement qui détiennent ou traitent des stablecoins adossés au dollar doivent comprendre quels stablecoins disposent d'une capacité de gel par l'émetteur et mettre en place des contrôles qui reflètent ce risque. Le cadre fédéral américain émergent pour les stablecoins impose de nouvelles obligations aux émetteurs agréés en matière de AML, de filtrage des sanctions et de gestion des risques. Toute entreprise traitant un stablecoin non conforme comme équivalent à un stablecoin conforme s'expose à un risque réglementaire dans le cadre de ce système.
Exposition à Tornado Cash
Tornado Cash a depuis été sanctionné séparément par l'OFAC. Toute entreprise dont les portefeuilles ont reçu de l'ETH ayant transité par Tornado Cash pendant la période autour de cet exploit doit examiner son exposition. Même la réception passive de fonds contaminés peut nécessiter un rapport à l'OFAC et, selon les circonstances, une auto-divulgation volontaire. Les logiciels de comptabilité crypto utilisés par les équipes de conformité doivent signaler les interactions avec Tornado Cash au niveau du portefeuille, pas seulement au niveau de la transaction, car l'obscurcissement est conçu pour rendre le traçage difficile à travers les frontières des transactions.
Adequation du programme AML
L'incident Ronin met en évidence une lacune de contrôle courante dans les contextes de ponts et de DeFi : il n'y avait pas d'alerte en temps réel lorsqu'un flux sortant anormalement important s'est produit. L'échec d'un retrait d'utilisateur six jours plus tard a révélé le vol. Pour les bourses centralisées et les dépositaires, un retard comparable dans la détection d'un flux sortant anormal constituerait probablement une déficience du programme AML en vertu de la loi sur le secret bancaire. Les entreprises devraient examiner si leurs règles de surveillance des transactions couvrent les flux liés aux ponts, les scénarios de compromission des clés de validation et les changements soudains de grands soldes dans les portefeuilles sous garde.
Implications comptables : comment enregistrer les actifs volés et gelés
Pour les entreprises qui détenaient des actifs affectés
Toute entité qui détenait des actifs sur le pont Ronin au moment de l'exploit doit réfléchir à la manière de comptabiliser la perte. En vertu des PCGR américains, les actifs crypto détenus sont actuellement soumis au modèle de la juste valeur introduit par ASC 350-60. Un événement de vol ou de perte déclenche la décomptabilisation immédiate de l'actif et la reconnaissance d'une perte dans le compte de résultat. Si le recouvrement est incertain, aucune créance ne doit être comptabilisée tant que le recouvrement ne devient pas probable et mesurable. La même logique s'applique sous IFRS, où la norme pertinente dépend de la classification de l'actif crypto par l'entité.
Pour les entreprises qui ont reçu des fonds contaminés
Une entité qui a reçu sans le savoir des fonds traçables jusqu'à une adresse sanctionnée est confrontée à un défi comptable différent. Si ces fonds sont gelés par une bourse ou bloqués en vertu d'une retenue pour sanctions, ils ne peuvent pas être librement utilisés ou aliénés. Ils ne doivent pas être comptabilisés comme un actif entièrement liquide. Un passif éventuel peut également survenir si l'entreprise fait l'objet d'une enquête ou d'une procédure d'application de l'OFAC. Les conseils juridiques et les auditeurs doivent être impliqués tôt, et une divulgation appropriée dans les états financiers est probablement requise. Un bon logiciel de comptabilité crypto qui suit la provenance des portefeuilles réduit le temps nécessaire pour identifier et quantifier l'exposition.
Pour les protocoles DeFi et les opérateurs de ponts spécifiquement, le scénario de compromission des clés de validation soulève des questions sur la garde et le contrôle des actifs qui n'ont pas encore été entièrement résolues dans les normes comptables actuelles. Si une entreprise contrôle les clés de validation pour le compte des utilisateurs, la question de savoir si les actifs de ces utilisateurs doivent apparaître au bilan de l'entreprise dépend de la question de savoir si l'entreprise supporte le risque de perte, ce qui était clairement le cas dans cette affaire.
Ce que les entreprises devraient faire maintenant
La brèche de Ronin et la désignation ultérieure par l'OFAC créent une courte liste de contrôle pour les équipes de conformité et de finance :
- Filtrez toutes les transactions crypto entrantes par rapport à la liste SDN de l'OFAC, y compris l'adresse Ethereum nouvellement désignée et les adresses de cluster associées.
- Examinez l'exposition à l'USDC et aux autres stablecoins pour toute transaction survenue autour de la date de l'exploit qui pourrait impliquer des fonds convertis ou mélangés.
- Évaluez si vos règles de surveillance des transactions auraient détecté un flux sortant de pont de plusieurs centaines de millions en temps réel, et mettez à jour les seuils si ce n'est pas le cas.
- Confirmez que vos registres comptables crypto peuvent retracer la provenance des avoirs en ETH, en particulier ceux reçus via des échanges DEX ou des services de mélange, pour soutenir une piste d'audit propre.
- Si votre entreprise a une quelconque exposition aux transactions Tornado Cash, obtenez un avis juridique sur la question de savoir si une divulgation volontaire à l'OFAC est appropriée avant que les régulateurs ne prennent contact.
La trajectoire réglementaire globale est également claire. Comme les sanctions de l'OFAC contre le secteur crypto de l'Iran l'ont démontré, les autorités américaines sont disposées à utiliser des désignations financières de manière agressive pour couper l'activité crypto au niveau de l'État. Les ponts inter-chaînes et les protocoles DeFi ne sont plus traités comme étant en dehors du périmètre réglementaire.
Questions fréquemment posées
Que signifie la désignation par l'OFAC de l'adresse du groupe Lazarus pour les bourses américaines ?
Les bourses américaines et toute entité ayant un lien avec les États-Unis ont l'interdiction de traiter des transactions impliquant l'adresse Ethereum sanctionnée. Cela inclut non seulement les transferts directs, mais aussi les transactions où les fonds peuvent être retracés jusqu'au portefeuille sanctionné via des adresses intermédiaires. Les violations peuvent entraîner des sanctions civiles même sans preuve d'intention.
Une entreprise peut-elle être responsable si elle a reçu des fonds contaminés sans connaître leur origine ?
Le droit américain des sanctions peut imposer une responsabilité stricte pour certaines violations, ce qui signifie que le manque de connaissance n'est pas toujours une défense complète. La force du programme AML et de filtrage des sanctions d'une entreprise est pertinente pour la manière dont l'OFAC exerce son pouvoir discrétionnaire en matière d'application, mais elle n'élimine pas la responsabilité. Une divulgation volontaire précoce et un programme de conformité démontré aboutissent généralement à des résultats plus favorables.
Comment la perte due au vol doit-elle être enregistrée dans les états financiers ?
En vertu d'ASC 350-60, les actifs crypto volés doivent être décomptabilisés au moment où la perte est identifiée, avec une perte correspondante comptabilisée dans le compte de résultat. Aucune créance de recouvrement ne doit être comptabilisée tant que le recouvrement n'est pas à la fois probable et pouvant être estimé de manière fiable. Sous IFRS, le traitement dépend de la classification de l'actif, mais le principe de décomptabilisation est similaire.
Pourquoi l'attaquant a-t-il d'abord converti l'USDC en ETH ?
Les stablecoins adossés au dollar comme l'USDC sont émis par des entités centralisées qui conservent la capacité de geler des soldes de portefeuille spécifiques sur la chaîne. En échangeant l'USDC contre de l'ETH sur des bourses décentralisées, l'attaquant a éliminé la capacité de l'émetteur à geler les fonds et a évité les contrôles KYC dans les plateformes centralisées. L'éther n'a pas de mécanisme de gel équivalent au niveau du protocole.
Quel est le traitement comptable des actifs crypto gelés par une retenue pour sanctions ?
Les actifs soumis à une retenue pour sanctions ou à un gel réglementaire ne peuvent pas être librement utilisés ou aliénés. Ils ne doivent pas être classés comme des équivalents de trésorerie non restreints ou des actifs liquides. Selon les circonstances, un passif éventuel peut également devoir être divulgué si l'entreprise fait face à une éventuelle action d'application. Les auditeurs et les conseils juridiques doivent être engagés rapidement pour déterminer la présentation et la divulgation appropriées.
Source : Elliptic