Crypto.com, l'une des plus grandes plateformes d'échange de cryptomonnaies du monde, n'a pas révélé publiquement une violation de sécurité perpétrée par le groupe de hackers Scattered Spider, selon une enquête de Bloomberg. L'attaque impliquait des tactiques d'ingénierie sociale qui compromettaient les identifiants des employés, soulevant de nouvelles inquiétudes concernant les pratiques de transparence des échanges et la surveillance réglementaire dans l'industrie des cryptomonnaies.
À savoir :
- Scattered Spider, un groupe principalement composé d'adolescents, a réussi à infiltrer Crypto.com par des attaques d'ingénierie sociale ciblant les identifiants des employés.
- L'échange n'a pas révélé publiquement l'incident bien que les experts en sécurité affirment qu'une telle transparence est cruciale pour la protection des utilisateurs.
- La violation met en lumière les débats en cours dans l'industrie sur les exigences de collecte de données Know Your Customer et leurs implications en matière de sécurité.
Attaque d'ingénierie sociale ciblant les identifiants des employés
Les attaquants se sont fait passer pour du personnel informatique pour piéger les employés de Crypto.com et les amener à divulguer leurs identifiants de connexion. Des sources familières avec l'enquête ont décrit l'opération comme typique de la méthodologie de Scattered Spider. Le groupe se spécialise dans la manipulation des employés par des tactiques psychologiques plutôt que par des exploits techniques sophistiqués.
Une fois à l'intérieur des systèmes de l'entreprise, les hackers ont tenté d'augmenter leurs privilèges d'accès. Ils ont spécifiquement ciblé les comptes du personnel senior pour étendre leur portée au sein de l'infrastructure de la plateforme.
La violation a touché ce que Crypto.com a qualifié de "très petit nombre d'individus."
Les représentants de Crypto.com ont déclaré à Bloomberg que les fonds des clients sont restés en sécurité pendant l'incident. L'entreprise a refusé de fournir des détails supplémentaires sur l'ampleur ou le calendrier de l'attaque. Les responsables de l'échange n'ont pas répondu aux demandes de commentaires supplémentaires concernant la défaillance de sécurité.
Les experts de l'industrie critiquent la décision de non-divulgation
Les professionnels de la sécurité soutiennent que la décision de Crypto.com de ne pas divulguer la violation compromet la confiance des utilisateurs. Leur réticence à partager des détails sur l'incident laisse les clients incertains quant aux risques potentiels d'exposition des données. Cette opacité empêche également les utilisateurs de prendre des mesures de protection appropriées contre d'éventuelles attaques ultérieures.
La critique est particulièrement pertinente compte tenu des échecs de sécurité précédents des échanges. Coinbase a subi une violation comparable qui a entraîné des pertes de clients dépassant 300 millions de dollars par an. Les observateurs de l'industrie notent que des incidents non divulgués créent des risques systémiques dans l'écosystème des cryptomonnaies.
L'enquêteur on-chain ZachXBT a publiquement accusé Crypto.com de dissimuler délibérément la violation.
Il a souligné que cet incident représente un schéma de défaillances de sécurité non divulguées sur la plateforme. Ses allégations reflètent la frustration plus générale de l'industrie à l'égard des échanges qui minimisent la divulgation des violations pour protéger leurs réputations d'entreprise.
Le cadre réglementaire sous le feu des critiques
L'incident a intensifié les critiques des exigences Know Your Customer qui obligent à la collecte étendue de données. Le chercheur en sécurité pseudonyme Pcaversaccio a soutenu que les systèmes KYC créent des cibles attrayantes pour les cybercriminels. Le chercheur a noté que si les mots de passe peuvent être facilement changés, les documents d'identification personnelle ne peuvent pas être remplacés aussi facilement.
"Vous pouvez facilement changer un mot de passe, mais pas votre passeport et ils le savent très bien," a déclaré Pcaversaccio. "Nous sommes essentiellement les dommages collatéraux dans leur racket de surveillance."
Cette perspective s'aligne sur le scepticisme croissant concernant les approches réglementaires actuelles de la surveillance des cryptomonnaies. Plus tôt cette année, le PDG de Coinbase, Brian Armstrong, a critiqué la Bank Secrecy Act et les réglementations de lutte contre le blanchiment d'argent existantes comme dépassées et inefficaces. Il a soutenu que les entreprises sont obligées de collecter des données sensibles sur les clients contre leurs intérêts commerciaux.
"Nous ne voulons pas les collecter, et nos clients détestent ça," a expliqué Armstrong. "Nous sommes forcés de les collecter contre notre volonté. Et ce n'est même pas efficace pour stopper le crime, si vous regardez les données derrière."
Comprendre les termes clés
Les attaques d'ingénierie sociale reposent sur la manipulation psychologique plutôt que sur des vulnérabilités techniques pour pénétrer les systèmes de sécurité. Les attaquants se font généralement passer pour des figures de confiance comme le personnel de support IT pour convaincre leurs cibles de révéler des informations sensibles. Ces tactiques s'avèrent particulièrement efficaces car elles exploitent la psychologie humaine plutôt que les faiblesses logicielles.
Les réglementations Know Your Customer exigent des institutions financières qu'elles vérifient leurs clients grâce à une documentation étendue. Ces règles visent à prévenir le blanchiment d'argent et le financement du terrorisme en créant des enregistrements détaillés des détenteurs de comptes. Cependant, les critiques soutiennent que les dépôts de données centralisés créent des risques de sécurité qui l'emportent sur leurs avantages en matière de prévention du crime.
Scattered Spider représente une nouvelle génération d'organisations cybercriminelles qui privilégient la manipulation sociale à la sophistication technique. Le succès du groupe démontre que les facteurs humains représentent souvent le maillon faible des chaînes de sécurité des entreprises.
Conclusion
L'incident Crypto.com souligne les défis persistants que rencontre la sécurité des échanges de cryptomonnaies et la conformité réglementaire. La tension entre les exigences de transparence et la gestion de la réputation d'entreprise continue de façonner les pratiques de l'industrie concernant la divulgation des violations.