Aux premières heures du 20 septembre, l'exchange de crypto-monnaies singapourien BingX a confirmé qu'il y avait eu une brèche de sécurité. L'incident a abouti à une "perte mineure d'actifs", selon les responsables de l'entreprise. Mais les experts disent déjà que cela aurait pu mener à des millions de dollars de volés. Ce n'est pas la première grande fraude sur un exchange de crypto ces dernières années.
À mesure que le marché prenait de la valeur, les risques associés augmentaient également. Les hackers visent les exchanges de crypto centralisés car ils sont l'entrée vers le monde des actifs numériques. Ces plateformes détiennent des milliards de fonds d'utilisateurs, ce qui les rend aussi attrayantes que les banques traditionnelles l'étaient à l'époque pour les cybercriminels. Les crypto-monnaies sont décentralisées, et différents exchanges ont différents niveaux de sécurité. Cela a mené à certains des plus grands vols de l'histoire de l'argent.
L'augmentation des fraudes sur les exchanges montre une vérité significative à propos des crypto-monnaies : la technologie blockchain est vantée pour être sûre, mais les endroits où les utilisateurs stockent et échangent leurs actifs sont encore ouverts à l'attaque. Beaucoup de ces fraudes ont exploité des failles dans les protocoles de sécurité, des erreurs dans le code, ou même de la négligence de la part des employés. Des millions de dollars ont été volés en conséquence, ce qui a nui à la confiance du public et a remis en question si les crypto-monnaies seront jamais largement adoptées sans une meilleure infrastructure.
Alors que le scandale de BingX se déroule, examinons les 10 plus grandes fraudes sur les exchanges de crypto des dernières années et discutons des failles techniques, des effets financiers et des leçons apprises.
1. Mt. Gox (2014) – La Chute du Géant
L'exchange japonais Mt. Gox dominait le trading de Bitcoin au début des années 2010. C'était le site de ce qui est probablement la fraude la plus célèbre de l'histoire des crypto-monnaies.
L'exchange gérait plus de 70% de toutes les transactions Bitcoin dans le monde à son apogée. Beaucoup de gens ont eu peur lorsque Mt. Gox a cessé les transactions soudainement en février 2014. Peu après, l'exchange a fait faillite et a annoncé que 850,000 BTC, valant 450 millions de dollars à l'époque, avaient été volés. En argent d'aujourd'hui, ce montant représenterait des milliards. Même 10 ans plus tard, l'histoire reste assez effrayante.
L'attaque s'est déroulée sur plusieurs années. Les hackers ont lentement retiré des Bitcoins des portefeuilles Mt. Gox en profitant des failles dans les portefeuilles chauds de l'entreprise et des mauvaises pratiques de sécurité internes. Le principal problème était une faiblesse dans le système de vérification des transactions de l'exchange. Cette faiblesse, appelée "malleabilité des transactions," permettait aux voleurs de modifier les identifiants de transaction et de prendre l'argent sans être détectés.
Mark Karpeles, qui était le PDG de Mt. Gox, a été plus tard arrêté et accusé de vol. La fraude est encore rappelée comme une leçon dans le monde des crypto-monnaies car elle a montré combien il peut être dangereux d'avoir une mauvaise gestion et une sécurité insuffisante. Certains des Bitcoins volés ont été retrouvés.
2. Coincheck (2018) – Le Hold-Up de 500 Millions de NEM
En janvier 2018, plus de 500 millions de tokens NEM (XEM) ont été volés de l'exchange japonais Coincheck.
Les transactions NEM sont plus compliquées que les transactions Bitcoin car elles doivent être approuvées par plus d'une personne. Mais cela n'a pas aidé. Et comment cela? Eh bien, malheureusement, Coincheck gardait la majorité de ses NEM dans des "portefeuilles chauds". Ceux qui sont en ligne et peuvent être piratés relativement facilement.
Les hackers ont infiltré les serveurs de Coincheck et ont accédé au portefeuille chaud de l'exchange. Une faille de sécurité majeure de l'exchange était que des portefeuilles multi-signatures n'étaient pas utilisés pour un si grand nombre d'actifs. Une fois à l'intérieur, les hackers ont déplacé les NEM vers différents comptes. Bien que la technologie blockchain ne puisse pas être modifiée, Coincheck ne pouvait pas annuler les transactions car NEM est décentralisé.
La transparence de la blockchain NEM a aidé la police à retrouver une partie de l'argent volé, mais une grande partie reste manquante. En raison de la fraude, Coincheck a dû rembourser les utilisateurs affectés de sa propre poche. Cela a conduit à un renforcement de la surveillance des exchanges au Japon par le gouvernement.
3. Bitfinex (2016) – Le Énigme du Multi-Sig
Bitfinex était l'un des plus grands exchanges de crypto-monnaies en août 2016 quand une fraude a permis de voler 120,000 BTC, soit environ 72 millions de dollars.
Une société de sécurité blockchain appelée BitGo fournissait à Bitfinex un système de portefeuille multi-signatures. Néanmoins, cette configuration s'est avérée vulnérable lors de la fraude.
Les hackers ont violé la sécurité de Bitfinex et ont accédé à ses portefeuilles chauds. Des failles de sécurité dans la gestion des clés de Bitfinex et des erreurs de codage dans la mise en œuvre du multi-signatures ont été les raisons pour lesquelles les hackers ont pu accéder, comme cela a été découvert plus tard.
Aussi bien l'impact financier que la gestion ultérieure de la fraude Bitfinex sont remarquables. Afin de représenter les fonds perdus, l'exchange a créé un token (BFX) que les utilisateurs pouvaient échanger ou garder jusqu'à ce que les finances de l'exchange s'améliorent. Bien que Bitfinex ait compensé les clients impactés, l'épisode a jeté un doute sur la sécurité des exchanges centralisés et l'utilité des portefeuilles multi-signatures.
4. Binance (2019) – Une Cible Trop Grande Pour Échouer
En mai 2019, une fraude majeure s'est produite chez Binance, l'un des plus grands exchanges de crypto-monnaies en termes de volume. Au moment de l'attaque, 7,000 BTC—équivalents à environ 40 millions de dollars—ont été volés. Et c'était un événement majeur dans l'industrie de la crypto-monnaie, pour ne pas dire plus.
Les hackers ont utilisé une combinaison de phishing, de virus, et d'autres techniques sophistiquées pour obtenir un grand nombre de clés API d'utilisateur, de codes 2FA, et potentiellement d'autres informations qui pourraient les aider à s'introduire dans les entrailles du géant crypto.
En raison des méthodes sophistiquées utilisées, la fraude Binance se démarque. La fraude a été menée de manière très organisée par les attaquants, qui ont retiré les Bitcoins en une seule transaction rapide qui a déclenché les alarmes.
Les retraits ont été immédiatement suspendus et une réponse d'urgence a été lancée par Binance. Heureusement pour ses utilisateurs, les pertes ont été couvertes par le fonds SAFU (Secure Asset Fund for Users) de Binance, qui a été spécialement établi pour ce type d'urgence.
Bien que les systèmes de sécurité de la plateforme aient été compromis, les protocoles de Binance leur ont permis de minimiser les dégâts et de récupérer rapidement, selon le PDG de Binance Changpeng Zhao, qui a ensuite abordé l'incident.
La violation a démontré qu'aucune plateforme n'est à l'abri des cyberattaques en constante évolution.
5. KuCoin (2020) – Le Vol de 275 Millions de Dollars
Une fraude s'est produite en septembre 2020 à l'exchange singapourien KuCoin, et environ 275 millions de dollars en Ethereum, Bitcoin, et tokens ERC-20 ont été volés.
Encore une fois, les portefeuilles chauds de l'exchange ont été compromis, montrant les dangers de garder des actifs substantiels en ligne.
La quantité volée et la réaction rapide de KuCoin ont rendu l'attaque notable. Une partie significative des fonds volés a été rapidement gelée par l'exchange, qui a collaboré avec des équipes de projets et des entreprises blockchain. Au final, plus de 200 millions de dollars des fonds dérobés ont été restitués.
La réponse de KuCoin a démontré à quel point les mesures de sécurité des crypto-monnaies deviennent avancées, en particulier la capacité de travailler avec des projets blockchain pour arrêter ou annuler le transfert d'argent volé.
Mais cela a provoqué une conversation plus large sur les dangers des exchanges centralisés et a mis en lumière la nécessité d'améliorer la sécurité des portefeuilles chauds.
6. NiceHash (2017) – Le Hack de 64 Millions de Dollars par Mining
Le marché de minage de crypto-monnaies NiceHash en Slovénie a été frappé par une fraude en décembre 2017, qui a abouti au vol de 4,700 BTC, qui valaient environ 64 millions de dollars à l'époque.
Après avoir volé de l'argent à NiceHash, les auteurs ont probablement utilisé l'ingénierie sociale pour accéder aux systèmes internes de l'entreprise.
Contrairement aux fraudes plus typiques, celle-ci a visé une plateforme de minage.
Les utilisateurs de NiceHash, qui avaient loué leur puissance de calcul à d'autres en échange de Bitcoin, ont subi de lourdes pertes. En réponse, l'entreprise a gelé toutes les opérations et lancé une enquête exhaustive.
Bien que NiceHash ait finalement indemnisé les utilisateurs impactés, l'incident a démontré combien l'ensemble de l'écosystème des crypto-monnaies était vulnérable, y compris les plateformes de minage.
7. Liquid (2021) – L'Exploit de 94 Millions de Dollars
L'exchange japonais Liquid a perdu plus de 94 millions de dollars en Bitcoin, Ethereum, et autres crypto-monnaies lors d'une fraude qui s'est produite en août 2021.
Les actifs de Liquid ont été déplacés vers de nombreuses adresses après que les hackers aient accédé à leurs portefeuilles chauds. Dès qu'ils ont réalisé qu'ils pouvaient perdre plus d'argent, l'exchange a transféré l'argent vers des portefeuilles froids.
Par la suite, Liquid a collaboré avec d'autres exchanges pour arrêter toutes les transactions dans le but d'identifier les voleurs et, idéalement, de récupérer leurs fonds volés. Bien qu'une partie des fonds ait été récupérée, l'incident a mis en évidence les préoccupations persistantes concernant la vulnérabilité des portefeuilles chauds et les difficultés de la sécurité des actifs numériques en temps réel.
8. Cryptopia (2019) – La Chute d'un Petit Géant
Malgré sa taille modeste, l'exchange de crypto-monnaies basé en Nouvelle-Zélande Cryptopia jouissait d'une grande estime parmi ses utilisateurs.
Une fraude en janvier 2019 a compromis l'exchange, volant environ 16 millions de dollars en crypto-monnaies. Cryptopia a dû arrêter toutes ses opérations après la fraude et l'exchange a fait faillite.
Parce que Cryptopia avait peu d'argent pour dédommager les victimes, la fraude a été particulièrement grave pour elles. Les avoirs entiers de plusieurs utilisateurs ont été perdus. Les procédures internes de l'exchange et la gestion des risques ont été examinées de près après que des enquêtes ont mis en évidence de nombreuses failles de sécurité.
9. Zaif (2018) – La Fraude de 60 Millions de Dollars
La fraude qui a eu lieu en septembre 2018 chez l'exchange de crypto-monnaies japonais Zaif a permis de voler environ 60 millions de dollars en Bitcoin, Bitcoin Cash, et MonaCoin.
Après s'être introduits dans les portefeuilles chauds de l'exchange, les hackers ont pu déplacer l'argent. for a while before anyone noticed.
Afin de récupérer une partie de ses pertes, Tech Bureau, la société mère de Zaif, a vendu une participation majoritaire dans l'entreprise à Fisco, un autre fournisseur japonais de services financiers. En conséquence du piratage, Zaif a dû suspendre temporairement ses opérations, et le gouvernement japonais a commencé à réprimer plus sévèrement les échanges de cryptomonnaies.
10. Bitmart (2021) – L'intrusion dans les portefeuilles chauds à 150 millions de dollars
En décembre 2021, un énorme piratage a eu lieu chez Bitmart, une bourse de bitcoins connue dans le monde entier. De l'argent appartenant aux utilisateurs, d'une valeur de presque 150 millions de dollars, a été volé lors de l'attaque. Les portefeuilles chauds pour les tokens Binance Smart Chain (BSC) et Ethereum (ETH) sur la bourse étaient les points faibles qui ont permis le piratage. Les pirates ont pu faire tout ce qu'ils voulaient avec la cryptomonnaie stockée dans les portefeuilles de Bitmart une fois qu'ils ont mis la main sur les clés de portefeuille de la bourse.
L'un des stratagèmes complexes des attaquants a été la mise en place de retraits automatiques pour de nombreux tokens, tels que Safemoon, Shiba Inu (SHIB), et d'autres.
La société de sécurité PeckShield a été la première à remarquer les transactions étranges et à informer tout le monde à ce sujet. Peu de temps après, le PDG de Bitmart, Sheldon Xia, a confirmé le piratage et a interrompu les retraits et les dépôts sur le site jusqu'à ce qu'ils puissent évaluer les dommages.
Bitmart a rapidement informé ses utilisateurs qu'ils paieraient leurs pertes de leur propre poche.
Comme pour d'autres piratages, le piratage de Bitmart a attiré l'attention sur les problèmes de sécurité majeurs associés au stockage des portefeuilles chauds. Tout ce qui est toujours connecté à Internet est ouvert aux attaques.
Mais il y a plus que cela.
Des attaques comme celle-ci font douter de la fiabilité des échanges centralisés et de leur capacité à protéger les fonds des utilisateurs.
En raison de ce qui s'est passé, beaucoup de gens sont arrivés à la conclusion que la sécurité doit être renforcée et que le stockage de portefeuilles froids doit devenir plus populaire afin que des problèmes similaires ne se reproduisent plus.