Piratage chez Bitonic : des hackers accèdent à des comptes clients

Le courtier néerlandais en cryptomonnaies Bitonic a annoncé le 26 octobre que des cybercriminels avaient accédé à une partie de ses systèmes via une faille de sécurité. De petits retraits de bitcoins ont été effectués sans autorisation sur trois comptes, et les identifiants de connexion ont été modifiés sur deux comptes. Les clients concernés ont été intégralement remboursés.

Selon Bitonic, les portefeuilles froids n’ont pas été touchés par l’incident. La faille a depuis été corrigée. L’entreprise ne peut toutefois pas encore exclure que des données personnelles d’autres clients aient été consultées, même si aucun élément ne le confirme pour le moment.

En bref :

• Des personnes non autorisées ont eu accès à une partie des systèmes de Bitonic par une faille de sécurité
• Des opérations non autorisées ont été réalisées sur cinq comptes ; tous les clients concernés ont été remboursés
• L’incident souligne l’importance d’une protection solide des comptes chez les courtiers

Les pirates ont accédé au système de connexion de Bitonic

L’attaque a été découverte dimanche soir, après quoi Bitonic est intervenu immédiatement. Les systèmes touchés ont été désactivés et le portefeuille chaud, connecté à Internet, a également été mis temporairement hors ligne. Par précaution, les clients ont aussi été automatiquement déconnectés du site web et de l’application mobile.

Les premiers éléments de l’enquête montrent que l’attaquant a accédé à une partie de l’infrastructure via une faille de sécurité. Des données ont ensuite pu être modifiées dans le système concerné.

De petites quantités de bitcoins ont été retirées à l’insu de leurs propriétaires sur trois comptes. Sur deux autres comptes, les identifiants de connexion ont été modifiés. Bitonic n’a pas communiqué la quantité exacte de bitcoins disparus.

Le courtier précise que la faille de sécurité a été colmatée et que tous les systèmes fonctionnent de nouveau. Les clients peuvent à nouveau utiliser le service, même si les retraits de bitcoins peuvent temporairement prendre plus de temps en raison de contrôles de sécurité supplémentaires.

Des données personnelles d’autres clients pourraient être concernées

Les conséquences de la cyberattaque ne se limitent peut-être pas aux cinq comptes sur lesquels des opérations non autorisées ont eu lieu.

Bitonic ne peut en effet pas encore exclure que l’attaquant ait également consulté les données personnelles d’autres utilisateurs. Aucun indice concret ne le confirme pour l’instant, selon l’entreprise, mais l’enquête technique n’est pas encore terminée.

Il est en revanche établi que l’attaquant a pu modifier des données dans le système touché. L’incident est donc plus large que les seuls retraits de bitcoins non autorisés.

Bitonic cherche à déterminer comment la faille a pu apparaître et quelles informations ont pu être accessibles. Des mesures de sécurité supplémentaires sont par ailleurs mises en place et les autorités de surveillance concernées ont été informées.

Les bitcoins volés intégralement remboursés

Pour les trois clients qui ont perdu des bitcoins, le préjudice financier direct a été réparé. Bitonic a confirmé que la totalité des bitcoins disparus a été remboursée.

L’entreprise n’a pas communiqué de montants exacts ni d’autres détails sur les transactions concernées.

On notera que les portefeuilles froids sont restés hors de portée de l’attaquant. Il s’agit de dispositifs de stockage hors ligne permettant de conserver des bitcoins sans connexion directe à Internet.

L’attaque a précisément visé une autre partie du service, à savoir le système de gestion des comptes clients. L’incident montre ainsi que la sécurité d’une plateforme crypto ne se limite pas à la protection des bitcoins stockés.

Mesures de sécurité pratiques

Bitonic recommande à ses clients et aux utilisateurs d’autres courtiers de mettre en place plusieurs mesures de sécurité. L’utilisation d’un code TOTP dans une application d’authentification est préférable à une authentification à deux facteurs par e-mail ou par SMS. Un mot de passe unique et solide est essentiel, tout comme l’activation d’un blocage des retraits lorsque vous n’en avez pas besoin.

Les courtiers proposent généralement aussi la possibilité de définir une phrase anti-hameçonnage. Il est par ailleurs important de ne pas faire confiance aux messages demandant un mot de passe, des codes de connexion ou des paiements en bitcoins.

Conserver des bitcoins chez un courtier est-il sûr ?

La cyberattaque chez Bitonic remet en lumière un risque bien connu des plateformes crypto centralisées. Même lorsque les réserves de bitcoins sont conservées hors ligne, d’autres parties d’une plateforme peuvent être vulnérables.

Quiconque laisse ses bitcoins chez un courtier dépend des mesures de sécurité, des processus internes et de la disponibilité de ce prestataire. Un incident de sécurité peut donc avoir des conséquences sur l’accès à un compte, même lorsque le stockage de bitcoins sous-jacent n’est pas touché.

Une alternative est la garde autonome (self custody), dans laquelle les investisseurs gèrent eux-mêmes leurs bitcoins via leur propre portefeuille. La dépendance à un courtier pour conserver et envoyer des bitcoins disparaît alors, mais la responsabilité personnelle augmente.

En cas de perte de la phrase de récupération ou des clés privées, l’accès aux bitcoins peut être définitivement perdu. Les utilisateurs doivent aussi prendre eux-mêmes des mesures contre le vol et les accès non autorisés.

Pour l’instant, l’impact financier direct de l’attaque chez Bitonic semble limité. L’enquête sur l’éventuel accès à des données personnelles est toutefois toujours en cours. Ce n’est qu’une fois celle-ci terminée que l’ampleur complète de l’incident de sécurité sera connue.