Des pirates ont réussi à contourner l’authentification forte pour réaliser des virements frauduleux. En réaction, la place de marché va considérablement muscler son infrastructure de sécurité.
Désormais, pas une semaine ne passe sans qu’il y ait un ou plusieurs vols de cryptomonnaie quelque part. Cette fois-ci, c’est au tour de l’entreprise singapourienne Crypto.com, l’une des principales places de marché en cryptoactifs avec environ 10 millions d’utilisateurs. Durant le week-end dernier, plusieurs utilisateurs s’étaient plaints de voir leurs portefeuilles dévalisés. Le lundi, l’entreprise a gelé sa plateforme technique pendant 14 heures, sans pour autant confirmer un quelconque piratage. Dans un tweet, le PDG avait ensuite rassuré ses utilisateurs en soulignant qu’aucun utilisateur n’avait perdu quoi que ce soit.
L’entreprise vient de donner des détails sur cet incident. En effet, des pirates ont bel et bien dévalisé une partie des fonds stockés par Crypto.com. Ils ont ciblé 483 comptes client et réussi à contourner l’authentification forte pour valider des virements externes. Dans la majorité des cas, ces virements ont pu être bloqués, mais pas tous. Au final, 4 836,26 Eth et 443,93 bitcoins se sont volatilisés. Ce qui représente tout de même une ardoise de plus 29 millions d’euros ! Les fonds volés ont été intégralement remboursés. Aucun client de Crypto.com ne sort donc lésé de cette affaire.
L’entreprise ne donne pas de détails sur la faille qui a permis aux hackers de duper le système. Elle explique avoir révoqué tous les tokens d’authentification forte et d’avoir déjà mise en place « une toute nouvelle infrastructure 2FA » (authentification à double facteur), sans que l’on sache vraiment ce que cela veut dire. Par ailleurs, elle a introduit un délai de sécurité de 24 heures pour l’ajout d’un nouveau compte externe pour les virements. « Les utilisateurs recevront des notifications indiquant que des adresses de retrait ont été ajoutées, afin de leur donner suffisamment de temps pour réagir et répondre », indique l’entreprise. C’est une mesure de bon sens qui existe depuis longtemps dans le monde bancaire traditionnel.
À moyen terme, Crypto.com souhaite abandonner l’authentification à double facteur au profit d’une « véritable authentification multifactorielle ». La place de marché annonce également la mise en place d’un programme de protection spécial qui nécessitera l’activation de cette authentification multifactorielle. L’utilisateur devra aussi s’engager à utiliser un système de protection anti-phishing et à bannir les terminaux « jailbreakés ». En contrepartie de ces efforts, ce programme garantira la restitution de fonds volés à hauteur de 250 000 dollars. Ça commence à devenir compliqué.
Source: Crypto.com
