Deux des plus grandes bourses de crypto-monnaies au monde, Binance et Kraken, auraient repoussé des attaques d'ingénierie sociale visant à compromettre les systèmes internes par le biais de la corruption interne - un vecteur d'attaque qui a récemment réussi à violer Coinbase.
Les tentatives échouées soulignent la sophistication croissante des cybercriminels ciblant les plateformes cryptos centralisées et la fragilité des cadres de sécurité dépendants de l'humain.
Selon des sources citées par Bloomberg, les attaquants ont approché le personnel d'assistance à la clientèle chez Binance et Kraken, proposant des pots-de-vin en échange d'un accès aux systèmes et de données sensibles. Les communications ont été facilitées via Telegram, où les acteurs de la menace ont fourni des instructions et promis des paiements en échange d'un accès aux tableaux de bord internes.
Contrairement à l'incident chez Coinbase, qui a conduit à une grave violation de données et a déclenché une responsabilité potentielle pouvant atteindre 400 millions de dollars, les attaques contre Binance et Kraken ont été interceptées avant que des données utilisateur ne soient exposées. Les incidents soulignent non seulement l'efficacité des mesures de sécurité techniques et basées sur les politiques, mais aussi le risque croissant d'exploitation interne dans le secteur crypto.
Schéma des attaques imite l'incident de Coinbase
La dernière vague d'attaques cybernétiques ciblées sur les insiders semble reproduire les tactiques utilisées dans la récente violation chez Coinbase. Dans ce cas, des mauvais acteurs ont réussi à corrompre des agents de support client outre-mer - qui étaient soit des contractuels soit des employés de niveau inférieur - et ont exploité les permissions internes pour accéder aux données d'identité des clients, y compris les pièces d'identité émises par le gouvernement et les adresses.
Cette violation a conduit à une demande de rançon de 20 millions de dollars et a touché des centaines de milliers d'utilisateurs, dont certains ont ensuite été ciblés dans des campagnes de phishing et de vols d'identité. Coinbase a depuis licencié les employés impliqués et contacté les agences américaines d'application de la loi, mais les répercussions continuent de se faire sentir.
Binance et Kraken ont pu identifier et neutraliser des menaces similaires à l'avance, suggérant que les opérateurs d'échange commencent à s'adapter à la menace croissante de l'ingénierie sociale dans les opérations de support client crypto.
Telegram : le hub de coordination pour les offres de pots-de-vin
Les attaquants ont utilisé des pseudonymes Telegram pour contacter directement le personnel d'échange. Ces comptes partageaient des instructions précises sur la manière de récupérer et d'exfiltrer les données des clients, de contourner la surveillance et d'accepter les paiements en crypto-monnaie.
Les experts en sécurité affirment que Telegram est devenu de plus en plus la plateforme de référence pour coordonner les activités de corruption, de courtage de données et de ransomware dans la crypto. Ses fonctionnalités d'anonymat, sa large base d'utilisateurs et l'absence de modération en font un outil idéal pour la coordination criminelle, surtout lorsqu'il s'agit de cibler l'accès des insiders.
Ce qui distingue ces attaques des phishing traditionnels, c'est l'accent mis sur l'engagement humain direct et la manipulation. Plutôt que d'exploiter des vulnérabilités logicielles, les attaquants misent sur un maillon humain faible - des contractuels mal rémunérés, du personnel de support débordé, ou des employés juniors avec accès à des systèmes sensibles.
Binance et Kraken créditent les défenses automatisées et les limites d'accès
Chez Binance, les systèmes de surveillance internes - certains alimentés par apprentissage automatique - auraient signalé des schémas de communication suspects, y compris des mots-clés liés aux pots-de-vin et des tentatives de contact via Telegram. Les filtres de conversation propulsés par l'IA ont pu intercepter et isoler des interactions risquées avant qu'une escalade ne se produise.
De plus, la politique de Binance consistant à restreindre l'accès aux données clients à moins d'un contact initié par l'utilisateur a aidé à limiter la surface d'exploitation. Selon des initiés de l'entreprise, les agents de support ciblés n'avaient pas les permissions nécessaires pour récupérer des informations sensibles indépendamment, ce qui a neutralisé la stratégie des attaquants.
Kraken a de même utilisé des politiques de contrôle d'accès et de surveillance interne pour stopper la tentative de violation. Bien que les détails soient limités, des sources indiquent que les deux échanges ont pris des mesures proactives au quatrième trimestre 2024 pour resserrer les contrôles d'accès aux données après des avertissements sectoriels sur le risque croissant des insiders.
L'échec de Coinbase souligne les vulnérabilités de l'industrie
La violation de Coinbase, révélée plus tôt ce mois-ci, a jeté une ombre sur les pratiques de sécurité des bourses centralisées. La plateforme fait maintenant face à des coûts potentiels de remédiation et de remboursement pouvant atteindre 400 millions de dollars, ainsi qu'à un examen réglementaire croissant sur sa gestion des données personnelles.
Coinbase aurait reçu des avertissements dès décembre 2024 de la part de plateformes rivales sur une campagne coordonnée ciblant les desks de support. En janvier, les systèmes internes enregistraient une activité de support inhabituelle. Pourtant, l'attaque n'a pas été contenue avant que des dommages significatifs ne soient faits.
Ce retard a soulevé des préoccupations concernant les lacunes dans la communication interne et l'efficacité de la surveillance de la sécurité de Coinbase, surtout à la lumière de son rôle institutionnel croissant - étant le dépositaire de la majorité des ETF Bitcoin et Ethereum spot approuvés par les États-Unis.
Avec Coinbase gérant la garde pour 8 des 11 ETF Bitcoin spot et 8 des 9 ETF Ethereum spot, les critiques affirment que l'entreprise représente un point de défaillance unique dans l'infrastructure cryptographique des États-Unis - une préoccupation maintenant aggravée par sa récente violation.
Une tendance plus large dans l'industrie : la montée des menaces internes
Les événements chez Coinbase, Binance et Kraken reflètent une tendance plus large en cybersécurité : la montée des menaces internes comme vecteur principal de compromission des données. Alors que les bourses se développent rapidement et externalisent des parties de leur support et opérations, elles deviennent plus vulnérables aux attaques qui ne reposent pas sur la rupture des pare-feux - mais plutôt sur la corruption des individus.
Cela n'est pas unique à la crypto. Dans la finance traditionnelle et les grandes technologies, les menaces internes sont depuis longtemps une source de préoccupation. Mais l'ethos décentralisé de la crypto crée souvent des décalages entre les attentes en matière de sécurité et les réalités opérationnelles.
Les échanges promettent la garde, l'anonymat et la sécurité - mais reposent souvent sur des équipes humaines ayant un accès en temps réel aux systèmes, introduisant ainsi un risque inhérent. La fuite de Coinbase était particulièrement dommageable car elle impliquait des données KYC, telles que les adresses et les pièces d'identité gouvernementales, qui ne peuvent pas être annulées ou rééditées comme des mots de passe ou des clés privées.
Les conséquences juridiques et réglementaires
Bien que Binance et Kraken aient évité le pire scénario, les régulateurs sont susceptibles de voir ces incidents comme une preuve supplémentaire de contrôles opérationnels insuffisants dans les cadres de service client crypto. Les agences américaines ont déjà appelé à des règles plus strictes de confidentialité des données, de gestion de l'identité et de protection du client dans tout le secteur.
Alors que la SEC, la CFTC et le FinCEN débattent de la portée de l'application de la loi en matière de traitement des données liées à la crypto, ces menaces internes peuvent servir de point de bascule. Les propositions législatives telles que le projet de loi FIT21 et d'autres lois sur la structure du marché de la crypto en cours d'examen au Congrès peuvent incorporer des mandats de sécurité interne et de responsabilité plus stricts pour les échanges.
Étant donné l'échelle des actifs détenus et le volume de données KYC collectées sur les plateformes centralisées, les régulateurs sont de plus en plus préoccupés par ce qui se passe lorsque la "confiance" dans l'échange devient le maillon le plus faible.
Se protéger contre l'ingénierie sociale interne
Les experts affirment que les défenses les plus efficaces contre l'ingénierie sociale ne sont pas purement techniques - elles sont procédurales et culturelles. Les plateformes doivent investir dans la formation à la sensibilisation des employés, améliorer la vérification des contractuels, réduire les accès privilégiés et mettre en œuvre des alertes plus agressives autour des comportements anormaux de support.
Certaines des meilleures pratiques émergentes des derniers incidents comprennent :
- Architecture d'accès en zéro confiance : supposer que les acteurs internes peuvent être compromis et restreindre l'accès aux niveaux de "moindre privilège".
- Surveillance en temps réel basée sur l'IA : signaler le langage indicatif de corruption, le contact hors plateforme, ou les demandes de données incohérentes avec le comportement des utilisateurs.
- Canaux internes de dénonciation : encourager le personnel de support à signaler les interactions suspects.
- Traçabilité des audits on-chain : utiliser des smart contracts et des journaux automatiques pour les demandes de données, assurant la responsabilité.
- Partage d'intelligence inter-plateforme : coordonner avec d'autres échanges sur les tendances d'attaque et les vecteurs tentés.
Ces types de mesures auraient pu aider Coinbase à contenir sa violation plus tôt - ou à l'éviter entièrement.
Réflexions finales
Les tentatives de corruption échouées chez Binance et Kraken - et la violation réussie chez Coinbase - illustrent un paradoxe troublant dans le secteur de la crypto. Même si les blockchains promeuvent la décentralisation et la sécurité par le code, les plateformes qui soutiennent l'utilisation quotidienne restent vulnérables à des menaces très humaines.
Tant que les échanges centralisés resteront la porte d'entrée à la crypto pour la plupart des utilisateurs - et continueront de stocker des données utilisateur sensibles - la manipulation interne restera une méthode d'attaque privilégiée pour les pirates. Le défi de l'industrie est maintenant de faire évoluer ses modèles de sécurité pour refléter cette réalité, tandis que les régulateurs envisagent de renforcer les protections dans tous les secteurs.
Avec des dommages réputationnels, une responsabilité financière et un examen réglementaire en jeu, l'enjeu pour bien faire les choses n'a jamais été aussi élevé.