Le piratage de la carte bancaire : une leçon sur comment le stockage “froid” cesse d’être froid

Entre 16h29 et 18h34 le 15 septembre.Un script automatisé a épuisé environ 2 millions d’XRP – soit une valeur d’environ 2,5 à 2,8 millions de dollars – sur 1 552 adresses de portefeuille mobile.En quelques heures, une grande partie de ce contenu s’est déplacée vers les exchanges. Ce n’était pas une attaque contre le réseau XRP, et ce n’était pas non plus une tentative d’hackage d’un grand exchange. L’attaque a touché Dcent.Application de portefeuille basée en Corée du Sud, développée par la société de cybersécurité IoTrust.Et cela affecte un sous-ensemble spécifique de ses utilisateurs. Si vous possédez des XRP – ou si vous hésitez à les garder – la question qui vaut la peine d’être posée n’est pas « Les XRP sont-ils sûrs ? ». C’est plutôt : « De quel type de portefeuille les ai-je réellement en ma possession ? »

Car cette distinction constitue presque toute l’histoire. L’annonce du fabricant a établi une ligne claire entre deux produits très différents qui partagent son nom.Le compromis affecte l’« App Wallet ».C’est un portefeuille logiciel qui se trouve sur votre téléphone : il génère ou importe des clés de sécurité dans ce portefeuille, et les maintient connectées à Internet. Il n’a pas touché le portefeuille physique, un dispositif physique indépendant qui conserve vos clés privées hors ligne. Selon les données comptables de Dcent, ceux qui ont perdu de l’argent étaient ceux qui utilisaient le portefeuille numérique, ou ceux qui avaient entré la même phrase de récupération tant dans l’application que sur le portefeuille physique. Ceux qui utilisaient un portefeuille physique et ne mettaient jamais en place la phrase de récupération sur le portefeuille numérique ont été informés, en fait, qu’ils étaient en sécurité.

C’est là que tout se joue. Il est nécessaire de préciser quelques termes, car les mots jouent ici un rôle important. Dans le domaine des cryptomonnaies, vos devises ne se trouvent jamais dans une portefeuille traditionnel – elles se trouvent sur une blockchain. Le portefeuille ne fait que protéger la clé privée qui permet de transférer ces devises. Un portefeuille “chaud” stocke cette clé sur un appareil connecté à Internet, ce qui est pratique, mais qui rend l’appareil vulnérable aux attaques. Un portefeuille “froid” (matériel) stocke la clé sur un appareil qui n’est pas connecté à Internet, afin qu’un hacker ne puisse pas y accéder de manière dématérialisée. Toute la promesse de “gestion autonome” – le slogan “pas vos clés, pas vos devises” – repose sur cet espace de sécurité entre le portefeuille et Internet.

L’exemple Dcent montre que l’espacement entre les différents éléments est réel uniquement en fonction d’une seule règle : la phrase de sécurité, la liste des mots qui servent à générer les clés privées, doit se trouver dans un seul endroit. Si vous entrez votre phrase de sécurité dans une application mobile, vous n’avez pas déplacé vos pièces d’argent dans un lieu plus sûr – vous avez simplement copié la clé principale sur un appareil connecté à Internet. Les deux portefeuilles partagent désormais les mêmes clés, donc toute violation de l’application constitue également une violation du portefeuille physique. Dcent l’a bien expliqué aux utilisateurs : si la même mnémonique est utilisée à la fois dans l’application et sur le portefeuille physique,Le portefeuille matériel n’était pas isolé des risques..

Cette erreur exacte s’est produite auparavant, et il est utile de savoir qu’il s’agit d’une tendance générale, et non d’un cas isolé. En octobre dernier, un…Un retraité de la Caroline du Nord a déclaré à CoinDesk qu’il avait environ 3 millions de dollars en XRP.Presque toutes ses économies de retraite ont disparu de ce que il pensait être un portefeuille froid. L’explication donnée par le fabricant du portefeuille est la suivante : il a importé la phrase de sécurité du portefeuille dans une application mobile, ce qui a permis de transformer son portefeuille froid en portefeuille chaud. Le point important est que les portefeuilles physiques ne sont pas des arnaques ; mais leur protection disparaît dès que vous utilisez cette phrase de sécurité ailleurs qu’où elle devrait être.

Il y a également des éléments forensiques dans l’affaire Dcent qui indiquent la même direction, et cela permet de éviter que le XRP soit lui-même blâmé. L’analyse sur la chaîne blockchain des 1 552 portefeuilles vidés révèle que l’ordre d’utilisation des clés par l’attaquant reflète plus l’âge du portefeuille que son solde – ce qui indique qu’il s’agit d’une personne qui utilise une liste pré-préparée de clés, plutôt que de chercher des cibles riches sur la chaîne network. Et le détail le plus important est :Aucun compte de victime n’a été créé après mars 2024.En d’autres termes, il s’agit d’une mise à jour liée à une époque particulière dans le fonctionnement de l’application ; cette mise à jour est appliquée dans une version ultérieure, et non pas une modification qui continue d’entraîner des pertes pour les nouveaux utilisateurs. Les directives du développeur sont donc similaires…Il ne marque que les versions d’applications avant v8.1.0.Cependant, le chemin exact par lequel les clés ont été volées n’est pas confirmé, et l’enquête est en cours. Cette incertitude est importante : cela signifie que aucun investisseur ne devrait interpréter « les comptes anciens étaient la cible » comme une certitude totale.

Aucune de ces choses n’a influencé le prix du XRP en lui-même. Pour un débutant, c’est la situation la plus calme au sein du puzzle. Le prix a augmenté le jour même, et il est environ un quart plus élevé au cours des deux derniers mois. La plage de prix sur 52 semaines se situe entre environ 0,99 $ et 3,18 $. Donc, le token est bien loin de ses plus hauts niveaux, mais aussi bien loin de ses plus bas niveaux. Le registre n’a pas été compromis ; l’attaque était spécifique aux fournisseurs de services. Les prix sur le marché reflètent cela. Lorsqu’on voit un grand article sur une volée importante de crypto-monnaies, sans que le prix du token correspondant ne change, cette distinction est elle-même une information importante : les marchés interprètent cela comme une histoire concernant une seule entreprise de paiement, et non concernant le réseau en général.

Alors, que devrait faire un détenteur potentiel ou actuel de XRP à partir de cela ? Ce n’est pas une raison pour vendre la monnaie. C’est plutôt une occasion d’être honnête sur l’endroit où se trouve physiquement son argent. Si la réponse est “un compte sur un exchange”, le risque vient de l’exchange et de sa gestion des fonds, et non de votre clé secrète – c’est un problème différent, et bien connu. Si la réponse est “un portefeuille hardware”, la sécurité est assurée tant que cette clé secrète n’a jamais été saisie, copiée ou photographiée en quelque chose d’autre – qu’il s’agisse d’une application, d’un message sur le téléphone, ou d’une sauvegarde en cloud. Si vous n’êtes pas sûr, la solution la plus simple est…Le site lui-même recommande de déplacer le solde dans une carte de paiement basée sur une phrase de sécurité complètement nouvelle.Et gardez cette graine en un seul endroit hors ligne.

Je pense que c’est une leçon durable, et elle est plus importante que tout le reste. L’industrie des cryptos a passé des années à vendre l’idée de la garde autonome des clés comme solution pour éviter les échecs des exchanges – « Pas tes clés, pas tes devises ». Ce qui se révèle ces jours-ci, c’est que la garde autonome des clés est en soi un risque, avec ses propres modalités d’échec. Il n’y a aucune banque qui puisse vous indemniser en cas d’erreur. Garder ses propres devises est plus sûr que faire confiance au registre de quelqu’un d’autre, à condition de savoir quel portefeuille on utilise et où se trouvent ses clés. Ce n’est pas une raison de paniquer, ni même de trop réfléchir. C’est simplement quelques minutes de discipline dans la configuration du système qui permettent à un investisseur ordinaire d’éviter une perte réelle.