Piratage Instagram BAYC : NFT Scam-as-a-Service et signaux d'alerte AML
Une attaque coordonnée contre le compte Instagram et le serveur Discord du Bored Ape Yacht Club pendant le mint du métavers Otherside en avril 2022 a coûté aux victimes environ 13,7 millions de dollars en NFT et ETH. Ce qui semblait d'abord être une campagne de phishing opportuniste a depuis été lié, par l'analyse on-chain et la renseignement sur les domaines, à une possible opération de NFT Scam-as-a-Service (NFT SaaS). Pour les cabinets comptables, les auditeurs et les CFO exposés aux actifs numériques, le schéma de vol, de liquidation rapide des actifs et de fractionnement sur plusieurs plateformes d'échange est exactement le type de typologie qui met à l'épreuve la couverture de la surveillance des transactions et les politiques relatives aux contreparties NFT.
Ce qui s'est passé : la séquence de l'attaque
Le Bored Ape Yacht Club est l'une des collections NFT les plus reconnues au monde, un ensemble de 10 000 singes numériques uniques devenu un symbole de statut culturel et financier bien avant le lancement d'Otherside. Les prix plancher atteignaient alors environ 200 000 dollars par NFT, et la demande pour le nouveau mint du métavers était intense, offrant une couverture idéale aux acteurs malveillants.
La compromission d'Instagram et de Discord
Avant l'ouverture de la fenêtre de mint, des attaquants non identifiés ont pris le contrôle du compte Instagram vérifié de BAYC et publié un lien vers un site de mint contrefait. L'URL était conçue pour paraître légitime. Les utilisateurs qui connectaient leur portefeuille crypto étaient involontairement invités à signer une transaction safeTransferFrom, une fonction standard ERC-721 qui, dans ce contexte, transférait silencieusement leurs NFT vers le portefeuille de l'attaquant. Le serveur Discord a été compromises de la même manière. En une seule journée, les pertes directes dues aux NFT et ETH volés ont atteint environ 2,4 millions de dollars. BAYC a lui-même estimé les pertes totales, y compris l'écart entre les prix de liquidation obtenus par les attaquants et la valeur marchande sous-jacente des actifs volés, à environ 13,7 millions de dollars.
Sites imitateurs après le mint
L'attaque ne s'est pas arrêtée au phishing Instagram. D'autres faux sites imitant la plateforme légitime Otherside sont apparus dans les heures et les jours suivant le mint. Un exemple, otlherside[.]xyz, a été promu via un compte Twitter imitateur avant d'être suspendu. Les enquêteurs de TRM Labs ont identifié environ 170 domaines de ce type en combinant renseignement sur les domaines, analyse linguistique et corrélation on-chain. La cohérence du déploiement de ces sites, leurs similitudes visuelles et structurelles, et les empreintes de financement partagées indiquent une opération centralisée plutôt que des acteurs imitateurs indépendants.
Flux financiers on-chain et schéma de fractionnement
La forensique blockchain a révélé une structure de fractionnement que les professionnels de la conformité reconnaîtront immédiatement. Les NFT volés ont été convertis en WETH sur la place de marché LooksRare, une étape de liquidation rapide qui a transformé des actifs volés illiquides en une forme plus fongible. L'attaquant a ensuite transféré les ETH et WETH vers un second compte détenu en externe (EOA), effectivement un second portefeuille sous contrôle distinct, avant de fractionner le produit en tranches plus petites et de les déposer sur cinq plateformes d'échange centralisées différentes.
Comptes mules et risque de fraude KYC
Dans des cas comparables observés par les enquêteurs de TRM, des comptes de ce type sont fréquemment opérés par des mules financières ou ouverts à l'aide d'identifiants KYC volés ou fabriqués. Le produit est ensuite soit échangé contre d'autres actifs numériques pour brouiller davantage la piste, soit retiré en monnaie fiduciaire. L'utilisation de plusieurs plateformes d'échange est une stratégie délibérée visant à réduire le montant des dépôts par plateforme et à rester sous les seuils de surveillance internes.
Point crucial, l'analyse de TRM a indiqué qu'une partie du financement pré-attaque des deux portefeuilles de hackers identifiés pourrait être liée à une autre arnaque de phishing survenue début avril 2022, l'incident Revoke.site. Ce lien financier entre incidents distincts est une caractéristique de l'infrastructure criminelle organisée plutôt que de l'opportunisme isolé.
L'hypothèse du NFT Scam-as-a-Service
Le terme « Scam-as-a-Service » a un précédent bien établi dans la cybercriminalité, couvrant des opérations où un fournisseur central déploie des outils, une infrastructure et parfois du personnel pour permettre plusieurs campagnes de fraude simultanément. L'identification par TRM Labs d'environ 170 sites imitateurs, avec une méthodologie de déploiement cohérente et des liens financiers apparents entre les incidents, soulève la possibilité crédible que le NFT SaaS soit désormais un modèle opérationnel dans l'espace des actifs numériques.
Parallèles structurels avec d'autres schémas organisés
L'approche est structurellement similaire aux kits de phishing-as-a-service observés dans la fraude financière traditionnelle, où un groupe criminel construit l'infrastructure et d'autres paient pour mener des campagnes contre des cibles choisies. Si ce modèle a été appliqué aux mints NFT, il a des implications significatives pour l'ampleur des attaques futures potentielles. Tout lancement NFT ou mint de token très médiatisé devient une fenêtre de cible potentielle, et les cabinets comptables conseillant des clients détenant des NFT en trésorerie ou des lignes d'activité adjacentes aux NFT devraient traiter ce risque comme récurrent plutôt qu'exceptionnel.
Une dynamique supplémentaire notée dans la recherche de CUJO AI est que les escrocs eux-mêmes sont parfois victimes dans les schémas NFT SaaS, ce qui suggère une hiérarchie criminelle à plusieurs niveaux où le fournisseur d'infrastructure est prêt à frauder les acteurs mêmes qui utilisent sa plateforme.
Contexte réglementaire : NFT, AML et droit des valeurs mobilières
L'attaque a coïncidé avec une période d'intensification de l'examen réglementaire du marché des NFT. La SEC examinait à l'époque si certains NFT constituaient des valeurs mobilières en vertu du droit américain, une question ayant des implications directes sur la façon dont les entreprises classifient et comptabilisent les détentions de NFT. Le département de la Justice avait séparément engagé des poursuites contre les créateurs du projet NFT Frosties pour fraude et blanchiment d'argent. Les législateurs de l'État de New York exploraient une législation criminalisant les soi-disant « rug pulls » et certaines formes de fraude crypto. Au Royaume-Uni, les tribunaux ont reconnu les NFT comme propriété privée, une décision qui affecte le traitement des actifs NFT saisis ou contestés dans les procédures d'insolvabilité et d'exécution.
FATF et la lacune de la travel rule pour les NFT
D'un point de vue AML mondial, les NFT occupent une position ambiguë selon les directives du FATF. Qu'un transfert NFT spécifique entre dans le champ d'application de la Travel Rule dépend de la classification du NFT comme actif virtuel, une détermination qui varie selon la juridiction et la substance économique du token. L'incident BAYC illustre précisément pourquoi cette ambiguïté est coûteuse sur le plan opérationnel : le produit a transité par des plateformes d'échange centralisées soumises aux obligations de la Travel Rule, mais le vol en amont et la conversion initiale ont eu lieu dans un espace où les obligations AML sont au mieux inégales. Les entreprises qui s'appuient sur des logiciels de comptabilité crypto pour suivre les flux d'actifs numériques doivent s'assurer que les transactions NFT ne sont pas silencieusement exclues de leurs pipelines de surveillance des transactions.
Pour une vue plus large de la façon dont les régulateurs abordent les lacunes de couverture AML dans les actifs numériques, le retrait de la règle FinCEN sur le mixage CVC et l'examen concurrent du cadre CFTC constituent un contexte directement pertinent.
Implications pratiques pour les cabinets comptables et les CFO
L'incident BAYC n'est pas qu'un conte moral pour les collectionneurs de NFT. Il a des implications opérationnelles concrètes pour tout cabinet professionnel touchant aux comptes d'actifs numériques, aux évaluations ou au reporting de conformité.
Évaluation des actifs et dépréciation
Les NFT volés par des attaques de phishing créent des questions comptables immédiates. Si un client détenait des NFT BAYC transférés sans consentement, le calendrier de reconnaissance de la perte, la valeur comptable appropriée au moment de la perte, et tout produit d'assurance ou de récupération doivent être traités selon les normes applicables. L'écart entre le prix de liquidation obtenu par les attaquants (générant le chiffre de 2,4 millions de dollars) et la perte de juste valeur estimée par BAYC (13,7 millions de dollars) illustre à quel point les évaluations de NFT peuvent diverger dans des scénarios de liquidation forcée. Les cabinets utilisant des logiciels de comptabilité d'actifs numériques devraient confirmer que leur méthodologie d'évaluation tient compte de ce type de décote de vente forcée le cas échéant.
Diligence raisonnable sur les contreparties et les plateformes d'échange
La route de blanchiment dans ce cas est passée par cinq plateformes d'échange centralisées. Si l'un de vos clients a déposé ou retiré sur ces plateformes pendant la fenêtre pertinente, et que ces plateformes sont également clientes ou contreparties de votre cabinet, le risque d'exposition indirecte à des fonds entachés est réel. Une diligence raisonnable robuste sur les VASP, incluant l'examen des contrôles AML au niveau des plateformes, est un minimum requis. Les outils fournissant une notation des risques d'entité et une traçabilité de l'origine des fonds, intégrés directement dans vos flux de travail de comptabilité crypto, réduisent considérablement la charge manuelle ici.
La fraude aux identifiants KYC comme risque d'audit
La possibilité que les comptes de plateforme utilisés dans ce fractionnement aient été ouverts avec des documents KYC volés ou fabriqués a des implications pour les auditeurs. Un cabinet auditant une plateforme d'échange, un fonds crypto ou toute entité ayant accueilli des clients pendant la période pertinente est confronté à la question de savoir si les processus KYC de son client étaient suffisamment robustes pour détecter des documents d'identité synthétiques ou volés. Ce n'est pas une préoccupation théorique : c'est une typologie explicite identifiée dans l'enquête TRM et qui correspond directement aux signaux d'alerte existants du FATF pour le blanchiment d'argent via des prestataires de services d'actifs virtuels.
Pour une vue plus large de la façon dont les outils d'enquête alimentés par l'IA sont appliqués à ces typologies précisément, voir notre couverture du lancement de la plateforme Ardence de TRM Labs.
Lacunes de surveillance des transactions spécifiques aux NFT
La plupart des systèmes de surveillance des transactions ont été conçus pour les flux de tokens fongibles. Les transferts NFT, les règlements de place de marché et les paiements de redevances passent souvent par ces systèmes sans déclencher les mêmes règles qui signaleraient des volumes équivalents en ETH ou en stablecoins. Le cas BAYC est un rappel utile pour vérifier si votre configuration de surveillance couvre les interactions avec les places de marché NFT, et si les appels safeTransferFrom provenant de contrats inconnus génèrent des alertes. Si votre logiciel de comptabilité crypto ne parse pas nativement les interactions avec les contrats NFT, c'est une lacune à escalader auprès de votre fournisseur technologique.
Ce que les cabinets doivent faire maintenant
La liste d'actions pratiques est courte mais lourde de conséquences. Premièrement, examinez toute exposition client ou portefeuille aux détentions de NFT et confirmez que ces actifs sont couverts par vos politiques existantes de classification et de surveillance des actifs. Deuxièmement, évaluez si les plateformes d'échange contreparties utilisées dans l'activité d'actifs numériques de vos clients disposent de contrôles AML adéquats, y compris des procédures KYC suffisamment robustes pour détecter la fraude à l'identité synthétique. Troisièmement, mettez à jour vos typologies internes de signaux d'alerte pour inclure les schémas NFT SaaS : conversion rapide NFT-vers-WETH, fractionnement du produit sur plusieurs plateformes, et financement pré-attaque provenant de portefeuilles d'arnaques antérieures. Quatrièmement, si vous conseillez des clients sur des projets NFT ou des lancements de métavers, assurez-vous que ces clients disposent de plans de réponse aux incidents couvrant la compromission des médias sociaux, étant donné que le vecteur d'attaque ici était la prise de contrôle d'un compte Instagram plutôt qu'une exploitation de contrat intelligent.
L'environnement réglementaire autour des NFT évolue dans une seule direction. Les autorités américaines et internationales étendent la surveillance AML, anti-fraude et des valeurs mobilières à l'espace NFT. Les cabinets qui construisent dès maintenant l'infrastructure de surveillance et de documentation seront mieux positionnés que ceux qui attendent que l'application de la loi force la question.
Source : TRM Labs
Questions fréquentes
Comment les attaquants ont-ils converti si rapidement les NFT volés en liquidités ?
Les NFT volés ont été listés et vendus sur la place de marché NFT LooksRare en échange de WETH, une version enveloppée de l'ETH. Cette étape a converti des actifs volés illiquides en un token fongible qui pouvait ensuite être déplacé et fragmenté sur plusieurs comptes de plateformes d'échange. La rapidité de la conversion, bien dans la même journée que le vol, est cohérente avec une stratégie de sortie planifiée à l'avance plutôt qu'une action improvisée.
Qu'est-ce que le NFT Scam-as-a-Service et pourquoi est-ce important pour les équipes de conformité ?
Le NFT SaaS désigne un modèle où une opération criminelle centrale fournit l'infrastructure, les faux sites, les scripts de vidage de portefeuille et éventuellement les comptes de mules financières, que d'autres acteurs malveillants utilisent pour mener des campagnes de phishing. Si ce modèle est confirmé, cela signifie que les campagnes de fraude NFT individuelles peuvent partager une infrastructure technique et financière, rendant la traçabilité blockchain entre incidents plus productive et faisant de chaque nouveau lancement NFT très médiatisé une opportunité d'attaque prévisible. Les équipes de conformité devraient traiter tout mint NFT important comme une fenêtre de risque accru.
Cet incident déclenche-t-il des obligations de déclaration AML pour les plateformes d'échange ?
Aux États-Unis, les plateformes d'échange enregistrées comme entreprises de services monétaires sont tenues de déposer des rapports d'activité suspecte (SAR) lorsqu'elles détectent des transactions pouvant impliquer des fonds provenant d'activités illégales. Recevoir un produit fractionné sur plusieurs comptes, en particulier lorsque la source est une adresse de portefeuille connue comme malveillante, atteindrait normalement le seuil de déclaration SAR. L'utilisation de comptes KYC potentiellement frauduleux ajoute une obligation distincte d'examiner et potentiellement de re-vérifier les relations client concernées.
Comment les comptables doivent-ils traiter les pertes dues au vol de NFT pour leurs clients ?
Le traitement comptable dépend de la façon dont le client a classé le NFT initialement, comme actif incorporel, stock ou instrument financier selon les normes applicables. Une perte par vol est généralement comptabilisée lorsqu'elle est probable et estimable. La question de l'évaluation est significative : le prix de vente réalisé par l'attaquant peut être bien inférieur à la valeur comptable de l'actif, et le cabinet devra documenter la base du chiffre de perte utilisé. Toute récupération d'assurance ou jugement civil potentiel doit être traité comme un actif éventuel jusqu'à ce que la réception soit quasi certaine.
Quels signaux d'alerte un logiciel de comptabilité crypto devrait-il signaler pour les transactions liées aux NFT ?
Les principaux signaux d'alerte incluent : des adresses de portefeuille recevant des transferts NFT immédiatement suivis d'une liquidation rapide sur une place de marché ; un produit fractionné et déposé sur plusieurs plateformes d'échange non liées dans une courte fenêtre ; des fonds entrants retracés jusqu'à des adresses d'arnaques précédemment signalées ; et des comptes de plateforme ouverts peu avant de recevoir d'importants transferts entrants. Si votre logiciel actuel de comptabilité d'actifs numériques ne fait pas remonter les interactions avec les contrats NFT ou ne recoupe pas les flux avec les bases de renseignement blockchain, ce sont des lacunes de capacité à traiter avec votre fournisseur.