Sécurité IT – bitcoin : on a vidé le porte-monnaie de Bitstamp

Considérée comme l’une des principales plates-formes d’échanges de bitcoins avec environ 6 % des transactions mondiales, Bitstamp a dû suspendre ses activités en urgence après une attaque informatique qui a touché, au cours du week-end, l’un de ses portefeuilles numériques.

Les circonstances de cet assaut sont d’autant plus confuses que personne ne l’a encore publiquement revendiqué. On en sait toutefois plus sur la somme dérobée : environ 19 000 bitcoins. Si l’on prend en compte le cours de change associé à cette « monnaie virtuelle P2P » (qui associe chiffrement et décentralisation), les malfrats ont pris possession d’un magot équivalent à environ 4 millions d’euros.

D’abord évoquée sur les forums spécialisés après l’analyse de transactions suspectes liées à diverses adresses bitcoin, cette information a été confirmée sur Twitter par Nejc Kodric. Le fondateur et principal dirigeant de Bitstamp a surtout tenu à rassurer les utilisateurs : les pirates n’ont  accédé qu’à un porte-monnaie virtuel ; pas au véritable coffre-fort, déconnecté du site principal… et à partir duquel les bitcoins volés pourront d’ailleurs « être récupérés ».

Au dernier pointage officiel daté de mai 2014, Bitstamp hébergeait près de 200 000 bitcoins, soit environ 100 millions de dollars selon le taux de change en vigueur à l’époque. Par mesure de précaution, il est aujourd’hui recommandé aux utilisateurs de ne plus envoyer d’argent vers des adresses bitcoin créées avant l’attaque de ce week-end. Et Nejc Kodric de réaffirmer son objectif : « conserver au moins 85 % des fonds [dans la partie coffre-fort] »… le reste demeurant exposé à d’autres attaques, tout du moins le temps de trouver une parade.

Conséquence de cet épisode : le cours de la crypto-monnaie a dégringolé, passant brièvement en deçà des 230 euros, contre plus de 600 euros il y a un an. Il avait déjà brusquement chuté en février 2014 après un « cyber-casse » contre une autre plate-forme d’échange de bitcoins : MtGox. Une présumée attaque par déni de service distribué (DDoS) avait fait couler le service géré par la société japonaise Tibanne (hébergement, développement d’applications, gestion système), à la tête de laquelle on trouvait… le Français Mark Karpelès.

850 000 bitcoins – soit environ 450 millions de dollars – avaient été perdus dans l’affaire. MtGox avait déposé le bilan en février, puis s’était successivement réfugiée sous la protection de la loi des faillites au Japon et aux Etats-Unis. Quelques semaines plus tard, elle était placée sous administration judiciaire à Tokyo, avec un passif évalué à environ 6,5 milliards de dollars et près de 127 000 utilisateurs à dédommager.

Un premier braquage avait secoué l’écosystème bitcoin fin 2013 : un montant équivalent à 1,18 million de dollars avait été subtilisé au gestionnaire de porte-monnaie électronique Inputs.io. Les pirates étaient parvenus à prendre le contrôle du compte d’hébergement par un système falsifié de mails et à contourner le système d’authentification forte 2FA par le biais d’une faille présente sur le serveur hosting.

Autant d’incidents qui rappellent les problèmes de sécurité dont souffre encore bitcoin. Du côté des défenseurs de la devise virtuelle, on assure que le concept est sûr et qu’il appartient simplement aux intermédiaires de blinder leurs services. La sécurité est en tout cas au coeur du Bitcoin 2.0, en cours de développement.

—— A voir aussi ——
Quiz ITespresso.fr : que savez-vous de l’argent virtuel ?

Crédit photo : VallaV – Shutterstock.com