Une vague de panique secoue la communauté crypto suite à l’annonce d’une faille de sécurité majeure touchant CoinStats, l’application populaire de gestion de portefeuilles de cryptomonnaies. Les utilisateurs ayant créé des portefeuilles directement dans l’app sont priés de transférer leurs fonds de toute urgence pour éviter de se faire dérober leurs précieux actifs numériques.
CoinStats victime d’un piratage ciblé
Le 22 juin, les équipes de CoinStats ont révélé qu’un incident de sécurité affectait les portefeuilles générés au sein même de l’application. Heureusement, les wallets connectés de l’extérieur ainsi que les comptes liés à des plateformes d’échange centralisées ne seraient pas compromis d’après les premières constatations.
Face à cette situation critique, CoinStats a immédiatement conseillé à tous les utilisateurs disposant de clés privées exportées de déplacer leurs fonds vers des adresses sécurisées, le plus rapidement possible. Un appel à la mobilisation relayé sur le compte Twitter officiel de la société :
Nous faisons actuellement face à un incident de sécurité touchant les portefeuilles créés directement dans CoinStats ; cela n’impacte pas les portefeuilles connectés de l’extérieur. Si vous avez exporté votre clé privée, déplacez vos fonds dès que possible.
@CoinStats, 22 juin 2024
Moins de 2% des portefeuilles touchés
D’après un premier bilan dressé par CoinStats, seuls 1590 portefeuilles seraient concernés par cette faille, soit environ 1,3% du total hébergé sur la plateforme. Si des évolutions restent possibles au fil de l’enquête, l’entreprise ne s’attend pas à des changements significatifs de l’ampleur de l’attaque.
Pour circonscrire l’incident et mener les investigations nécessaires, CoinStats a décidé de suspendre temporairement les activités de son application mobile. Les utilisateurs sont donc pour le moment dans l’impossibilité de gérer leurs portefeuilles, le temps que toute la lumière soit faite sur les circonstances exactes du piratage.
Une attaque bien préparée
Si le mode opératoire précis employé par les pirates n’a pas encore été dévoilé, on en sait un peu plus sur la façon dont les utilisateurs ont été bernés. Les malfaiteurs ont réussi à envoyer de fausses notifications sur les smartphones iOS et Android, promettant des récompenses alléchantes en échange d’une connexion au portefeuille CoinStats AirScout.
En cliquant sur le lien contenu dans ces messages et alertes frauduleuses, les victimes étaient en réalité redirigées vers un site malveillant destiné à siphonner les fonds. Un stratagème bien rodé qui soulève des questions sur la sécurité du stockage des clés privées sur les serveurs de CoinStats et l’intégrité du générateur de portefeuilles intégré.
Agir vite pour limiter les dégâts
Afin d’aider les utilisateurs concernés à réagir rapidement, CoinStats a partagé un document référençant toutes les adresses de portefeuilles compromis lors de l’attaque. Si votre wallet y figure, il est impératif de transférer vos fonds vers une nouvelle adresse sécurisée en utilisant votre clé privée exportée.
Les équipes de CoinStats s’activent pour déterminer le montant exact des cryptomonnaies dérobées et s’engagent à communiquer régulièrement sur l’avancée de l’enquête. Une transparence saluée par la communauté, même si la confiance envers l’application de gestion est forcément ébranlée.
Des incidents de sécurité à répétition
Cette faille chez CoinStats n’est malheureusement pas un cas isolé dans un écosystème crypto encore fragile face aux cybermenaces. Début juin, CoinGecko révélait qu’une fuite massive avait exposé les données personnelles de près de 2 millions de ses utilisateurs suite au piratage de sa solution d’emailing.
La sécurité, talon d’Achille des cryptos
- CoinGecko piraté en juin, 1,9M de comptes exposés
- 23 723 mails de phishing envoyés aux utilisateurs
- Risque de vol de clés privées et d’actifs
- Multiplication des arnaques type “rug pull” ou Ponzi
Si CoinGecko assure que les mots de passe sont restés inviolés, les pirates ont pu dérober de nombreuses informations sensibles comme les noms, emails, adresses IP ou encore l’historique de navigation des membres. Des données exploitables pour lancer des campagnes de phishing et tenter de dérober les clés privées des portefeuilles.
Les investisseurs en cryptomonnaies doivent aussi se méfier des nombreuses escroqueries qui gangrènent le secteur. Les “rug pull”, où un développeur disparaît subitement avec les fonds, et autres arnaques pyramidales continuent de faire des victimes. Preuve que la route est encore longue avant que les cryptos ne gagnent pleinement la confiance du grand public.
Si CoinStats se veut rassurant sur sa capacité à résoudre rapidement cet incident de sécurité majeur, il n’en reste pas moins que la vigilance est plus que jamais de mise pour protéger ses précieux actifs numériques. Car dans le monde impitoyable des cryptomonnaies, une simple faille peut rapidement tourner au cauchemar.
