L'échange de crypto-monnaie indien CoinDCX est devenu la dernière cible de premier plan dans une vague croissante de braquages sophistiqués entre chaînes, les enquêteurs en cybersécurité attribuant désormais le vol de 44 millions de dollars du 19 juillet au tristement célèbre groupe Lazarus, un collectif de pirates soutenu par l'État nord-coréen.
L'attaque, qui a compromis l'un des portefeuilles opérationnels de CoinDCX sur Solana, impliquait un siphonage rapide et automatisé de jetons USDT et USDC, et présente une ressemblance frappante avec la violation de WazirX survenue exactement un an plus tôt - le 19 juillet 2023 - entraînant des pertes de 234 millions de dollars.
L'équipe de CoinDCX a confirmé la violation, assurant que les fonds des utilisateurs restent sécurisés et que le portefeuille impacté faisait partie de l'infrastructure opérationnelle de la plateforme plutôt que des comptes de garde des utilisateurs. Cependant, l'ampleur et la méthode de la violation ont suscité de sérieuses préoccupations concernant les vulnérabilités systémiques dans l'infrastructure crypto indienne, en particulier à la lumière des attaques répétées visant les plus grands échanges de la région.
Selon la société de cybersécurité Cyvers Alerts, qui a été la première à signaler l'attaque, le groupe Lazarus a mené une opération méticuleusement coordonnée impliquant une reconnaissance préalable à l'attaque, des transactions de test, et une extraction rapide des actifs. Le groupe aurait initialisé une "transaction de test" de seulement 1 USDT le 16 juillet - probablement pour valider l'accès et surveiller les mécanismes de réponse
- avant d'exécuter sept transactions à grande vitesse le 19 juillet qui ont vidé environ 44,2 millions de dollars en USDT et USDC du portefeuille ciblé. L'ensemble de l'opération a été achevée en moins de cinq minutes.
Les enquêteurs de Cyvers ont décrit la violation comme "alarmante par sa rapidité, sa sophistication inter-chaînes, et son timing". La société a souligné que le même schéma d'exploitation a été utilisé dans la violation de WazirX en 2023, suggérant une campagne persistante et ciblée par Lazarus axée sur l'infrastructure crypto indienne. "Ce ne sont pas des coïncidences, mais des opérations coordonnées visant à tester et exploiter les vulnérabilités des échanges régionaux", a averti Cyvers dans un communiqué public. "Lazarus accélère son attention sur l'Inde, et la prévention des menaces n'est plus optionnelle - c'est la dernière ligne de défense."
Le focus croissant du groupe Lazarus sur l'Asie du sud
Le groupe Lazarus, suivi formellement par les agences américaines de renseignement et de cybersécurité depuis au moins 2014, a été lié à de nombreux braquages majeurs dans le secteur crypto et fintech ces dernières années, notamment :
- Le piratage de 620 millions de dollars de Ronin Bridge (Axie Infinity) en 2022
- Le piratage de 100 millions de dollars d'Harmony Horizon Bridge
- Plusieurs campagnes de vidage de portefeuilles ciblant les utilisateurs particuliers et institutionnels
Les experts pensent que le régime nord-coréen utilise ces fonds volés pour contourner les sanctions internationales et financer son programme d'armes nucléaires. Au cours des deux dernières années, Lazarus a recentré son attention vers les plateformes DeFi, les ponts inter-chaînes et les échanges centralisés en Asie, en particulier en Inde et en Asie du Sud-Est, où la surveillance réglementaire et l'investissement dans la cybersécurité restent inégaux.
Rien qu'en 2023, le groupe a été lié à plus de 1,8 milliard de dollars d'actifs crypto volés, ce qui en fait l'un des acteurs les plus destructeurs dans le domaine des actifs numériques.
Réponse de CoinDCX : Lancement d'un programme de prime de récupération de 11 millions de dollars
En réponse à la violation, CoinDCX a lancé une campagne de récupération et d'enquête agressive, y compris un programme de prime offrant jusqu'à 25 % des actifs récupérés - ce qui pourrait représenter plus de 11 millions de dollars - pour les individus ou les équipes de whitehat qui aident à tracer et récupérer les fonds volés.
Le PDG de CoinDCX, Sumit Gupta, a publié une déclaration publique sur X, s'engageant à poursuivre les responsables et à travailler avec des partenaires à travers l'écosystème pour améliorer la résilience et la détection des menaces.
"C'est plus grand qu'un remboursement - il s'agit de s'assurer que cela ne se reproduise plus, pour nous ou pour quiconque dans l'industrie", a déclaré Gupta. "Nous nous battrons pour cela et nous veillerons à ce que la communauté crypto indienne en ressorte plus forte."
Gupta a souligné que la transparence et la coopération intersectorielle seront essentielles pour prévenir les futurs incidents et a réaffirmé l'engagement de la plateforme à compenser les opérations affectées sans puiser dans les fonds des utilisateurs.
Appels croissants à la coordination de la défense nationale en matière de cybersécurité
L'attaque contre CoinDCX a ravivé les appels des dirigeants de l'industrie pour une coordination centralisée en matière de cybersécurité, incluant un potentiel centre d'intelligence sur les menaces blockchain indien, pour surveiller les exploitations, les vulnérabilités des échanges et les acteurs de menace en temps réel.
Les échanges de crypto en Inde opèrent actuellement dans un environnement réglementaire en évolution avec des normes de conformité fragmentées et un investissement inégal dans la sécurité de l'infrastructure. Les analystes soutiennent que cette approche décentralisée les rend de plus en plus vulnérables à des adversaires bien dotés de ressources, soutenus par des États, comme Lazarus.
"L'économie crypto de l'Inde est en plein essor, mais sa posture de sécurité ne suit pas", a déclaré Anshul Arora, chercheur en sécurité numérique, qui conseille plusieurs entreprises fintech. "Nous avons besoin d'un cadre de réponse conjoint qui inclut les échanges, les forces de l'ordre, et la branche cybersécurité du gouvernement. Lazarus n'opère pas isolément, et nous ne pouvons pas le faire non plus."
Les échanges indiens tels que CoinDCX et WazirX traitent des milliards en volume de transactions annuelles et servent des millions d'utilisateurs à l'intérieur et à l'extérieur du pays. Alors que l'adoption des crypto-monnaies en Inde augmente, sa visibilité - et sa vulnérabilité - sur la scène mondiale grandit également.
Implications pour la régulation crypto en Inde
L'incident pourrait également raviver les débats politiques en Inde, où la régulation des crypto-monnaies reste incertaine malgré la poussée de la Banque de réserve de l'Inde (RBI) pour des contrôles plus stricts. Bien que le ministère des Finances ait précisé que les actifs crypto seront soumis à la taxation et aux règles anti-blanchiment, il n'existe pas de loi spécifique sur la sécurité des crypto-monnaies ou d'exigence de cybersécurité spécifique aux échanges.
Les experts en sécurité pensent que le moment est venu pour l'Inde d'introduire des audits obligatoires de l'infrastructure crypto, y compris :
- Normes de porte-monnaie multi-signatures et MPC
- Exigences de surveillance en temps réel des chaînes
- Simulations d'attaques whitehat obligatoires (test de pénétration)
- Réponse rapide aux incidents et règles de divulgation
Sans de telles mesures proactives, ils préviennent, l'écosystème Web3 en pleine croissance de l'Inde pourrait devenir une cible privilégiée pour les acteurs d'État-nations.
Réflexions finales
Malgré la gravité du piratage, CoinDCX semble adopter une position proactive, se concentrant sur la maîtrise, la transparence, et la collaboration avec l'écosystème. L'entreprise travaillerait avec des sociétés d'analytique de chaînes, des agences de forces de l'ordre, et des partenaires de sécurité internationaux pour tracer les fonds volés, qui ont peut-être déjà été transférés vers plusieurs réseaux et mélangés à travers des outils de confidentialité.
Pendant ce temps, la communauté crypto indienne a largement soutenu la réponse de CoinDCX, reconnaissant la complexité croissante et la nature géopolitique des menaces en cybersécurité dans le secteur Web3.
Alors que les enquêtes se poursuivent, cette dernière violation sert de signal d'alarme - non seulement pour les échanges indiens mais aussi pour les plateformes crypto des marchés émergents dans le monde entier.
La dernière opération du groupe Lazarus réaffirme que la sécurité Web3 est désormais une question d'intérêt national, et que la prévention, pas seulement la réaction, doit devenir la nouvelle norme.