- 05/05/2025
Si elles attirent de plus en plus d’investisseurs, les cryptomonnaies sont également devenues une cible de choix pour les cybercriminels. Phishing, faux sites d’échanges, malwares... Les méthodes de piratage se multiplient, et les erreurs courantes sont souvent fatales. Comment protéger au mieux ses actifs numériques ?
Catégorie
🗞
NewsTranscription
00:00Alors ce talk est consacré au piratage des cryptos, on va parler des techniques qui sont utilisées par les pirates et aussi on va écouter les conseils des experts.
00:13Avec nous Olivier Lorelly, pardon, bonjour, je vais y arriver, c'est le pseudo en fait qui me perturbe, j'ai jamais envie de dire boutouf et je me suis emmêlée les pinceaux.
00:23Bonjour, consultant sécurité web, vous êtes actif au sein des communautés de hackers françaises et européennes, sur X vous traquez me semble-t-il avec force les arnaques aux cryptos, vous êtes également le fondateur du site Reflet Info où vous publiez des articles sur la sécurité mais aussi la liberté numérique.
00:42Merci beaucoup d'être avec nous et puis on est connecté à distance avec Margot Eccle, bonjour, vous êtes senior investigator chez China la 6, je vais y arriver aussi avec mon anglais magnifique, spécialisé dans la criminalité financière liée aux crypto-monnaies.
00:58Alors juste pour rappeler votre entreprise, c'est une entreprise américaine d'analyse de blockchain qui accompagne le secteur financier, les acteurs de la crypto et les forces de l'ordre dans l'identification et la protection contre les criminels du web.
01:11Déjà je voulais commencer par une petite mise au point parce que pour comprendre pourquoi il y a des piratages, pourquoi leur nombre explose et les montants dérobés s'envolent, il faut s'intéresser à où le bas blesse.
01:23Or quand on parle de crypto-monnaie, on parle d'une technologie qui s'appuie sur la blockchain qui est censée donc être une sécurité très résistante, résiliente au piratage.
01:35Donc qu'en est-il de cette sécurité de la blockchain et comment peut-elle être piratée ? Avec qui je commence ?
01:42Allez Bluetooth, Olivier.
01:43Alors bon, c'est un vaste sujet. Très souvent ce qu'il faut comprendre c'est que ce ne sont pas les blockchains elles-mêmes qui sont attaquées, mais ce sont les utilisateurs et la mauvaise hygiène informatique dont ils font preuve.
01:53Typiquement c'est sur les réseaux sociaux que vous allez trouver le plus grand nombre d'arnaques, vous allez trouver des bots ou des personnes qui vont vous aborder en vous proposant d'investir dans un même coin qui vient de sortir.
02:02Tout ça évidemment c'est des arnaques quand on contacte en principe pour des cryptos, c'est forcément des arnaques, en particulier quand vous pensez que c'est votre influenceur favori, ce n'est pas lui.
02:12Très souvent en fait c'est une autre personne. Là on est vraiment sur du bas niveau. Après on peut monter sur des choses beaucoup plus compliquées, beaucoup plus complexes, beaucoup plus organisées comme les supply chain attack.
02:22On en a eu une il n'y a pas longtemps, je pense qu'on a en parlé avec Margot, un piratage en 1,5 milliards de dollars.
02:29Donc il y a le piratage encore.
02:30On parle en milliards de dollars à chaque fois quand même.
02:32Alors normalement on est plutôt habitué à parler en centaines de millions, ce qui est déjà pas mal.
02:36Mais au total à l'année on parle de milliards de dollars.
02:39A l'année on parle de milliards effectivement oui.
02:41Donc tout simplement pourquoi il y a de l'attrait pour la cybercriminalité dans ce milieu c'est tout simplement parce qu'il y a de l'innovation.
02:47A partir du moment où vous avez de l'innovation, vous avez des arnaques. C'est plutôt bon signe en principe.
02:50Donc voilà pour cette première question.
02:54Bon alors Margot, vous êtes d'accord avec ça ? On peut dire quand même que la blockchain c'est une technologie robuste ?
03:00Oui oui oui tout à fait. Je pense qu'il y a une mauvaise conception du manque de sécurité qui entoure la blockchain.
03:06Parce qu'en fait si on en revient en pourcentage du volume total lié à la cybercriminalité,
03:11donc si on prend le rapport annuel de Chainalysis sur la criminalité liée aux crypto-monnaies,
03:17on voit que seulement 0,14% de toute transaction blockchain est liée à une certaine forme d'activité illicite.
03:25Donc en fait en termes de proportion par rapport à l'activité globale qui se passe dans cet écosystème,
03:30la criminalité est vraiment très très limitée.
03:32Et je rajouterais à cela qu'avec tout ce qui a trait à la blockchain ou aux crypto-monnaies,
03:38il y a une opportunité énorme du fait qu'elle est transparente.
03:42Il y a une idée préconçue qui est que la blockchain est anonyme.
03:45Ce n'est pas vraiment le cas au final.
03:47Il est possible de tracer des fonds volés, il est possible de comprendre
03:51comment ces acteurs criminels interagissent sur la blockchain en temps réel.
03:56Donc c'est véritablement une opportunité pour lutter contre ce genre d'activité.
04:01Mais donc ça veut dire quoi ?
04:03Si le nombre de piratage augmente, c'est parce qu'il y a plus d'investisseurs en crypto
04:09et donc proportionnellement plus de risques ?
04:12Oui, oui, tout à fait.
04:12Il faut savoir que vous avez plus en France d'investisseurs crypto
04:15que d'investisseurs dans les actions en bourse.
04:18Non, déjà rien que ça.
04:19Vous avez un autre élément qui est la relative jeunesse des investisseurs crypto.
04:24Bon, c'est vrai que des fois on est vraiment bien formé,
04:28des fois on l'est un petit peu moins.
04:29Et il y a quand même de nouvelles menaces qui sont réellement liées aux cryptos.
04:35Alors, rentrons dans les types d'attaques.
04:36Vous disiez, bon, il y a des bas niveaux vraiment de type phishing.
04:40Quelles sont ces attaques plus sophistiquées dont il faut se méfier ?
04:44Alors, celles dont je parlais tout à l'heure visant Bybit,
04:47il n'y a à peu près aucune chance que vous en essuyez une.
04:50C'est vraiment pour des très gros montants.
04:52C'est une attaque ciblée qui a mérité énormément de travail derrière,
04:56qui a nécessité énormément de travail.
04:58Et puis après, il faut les blanchir, tous ces fonds.
05:01Donc, le vrai problème, il est plutôt au niveau de votre hygiène informatique standard.
05:05C'est-à-dire que déjà, si vous commencez par avoir une stratégie de conservation de vos cryptos,
05:10c'est déjà bien.
05:11C'est-à-dire que vous avez...
05:12Conserver comment ?
05:12Vous les conservez comment ?
05:13Alors, en crypto, on a ce qu'on appelle la self-custody.
05:15C'est-à-dire que, contrairement à une banque, vous n'avez pas d'intermédiaire,
05:17vous pouvez conserver vos clés de chiffrement duquel dépendent vos cryptos.
05:21Et dans ces cas-là, vous avez une petite phrase avec 24 mots qu'il va falloir sécuriser.
05:25Alors, il n'y a pas de monde à dire que vous pouvez, par exemple,
05:27la laisser dans un coffre-fort en banque.
05:28Ça coûte entre 100 et 300 euros par an.
05:30C'est plutôt une bonne idée.
05:32Évitez de garder ça chez vous si vous avez des gros montants.
05:34On a vu des gens qui se sont fait enlever.
05:36Il y a des attaques physiques, maintenant, sur les détenteurs de cryptos,
05:39notamment quand vous êtes des personnalités publiques.
05:42Et de toute façon, si vous conservez vos cryptos,
05:45la première des choses à faire, c'est de disposer d'un wallet physique.
05:48C'est-à-dire un cold wallet.
05:49Et d'éviter de connecter à Internet.
05:51Séparez vos activités.
05:52Si vous avez du long terme, vous gardez vos bitcoins sur du long terme.
05:56Vous les gardez sur une clé Ledger qui ne se connecte pas à Internet.
05:59Et vous pouvez faire de la DeFi et d'autres choses avec un autre wallet.
06:03Donc ça, la segmentation, c'est vraiment déjà le premier truc
06:05qui peut vous sauver la face.
06:07Ok, intéressant.
06:08Je vous relance, Margot, sur les techniques d'attaque.
06:11Qu'est-ce que vous voyez le plus fréquemment passer ?
06:13Et quelles sont les techniques les plus perfectionnées
06:14dont il faut commencer à apprendre à se méfier ?
06:18Oui, je pense qu'en termes de type d'attaque que l'on peut voir,
06:21ou en tout cas, ce qu'on a vu très régulièrement au cours de l'année dernière,
06:24je les catégoriserai en trois grands groupes.
06:26Tout d'abord, tout ce qui a trait aux rançons JCL ou le ransomware,
06:30donc vraiment le vol de données qui sont ensuite utilisées
06:34pour extorquer une rançon aux victimes ciblées.
06:39Il y a également tout ce qui est fraude et escroquerie,
06:41donc ça, ça a tendance à impacter plus les particuliers.
06:45Donc un exemple de ce genre d'attaque sont les types de pick butchering,
06:50qui sont des situations où en fait un attaqueur va construire
06:55une relation de confiance avec une victime
06:56et l'amener à investir dans des projets frauduleux.
07:00Et finalement, Olivier parlait de buy bit,
07:03donc vraiment tous ces hacks, donc ces attaques de fond volé
07:06qui sont dans énormément de circonstances menées par des groupes étatiques.
07:12Et donc les raisons pour lesquelles vraiment, à notre sens,
07:15ces trois types d'attaques sont extrêmement importantes
07:17et il faut se focaliser dessus,
07:19c'est parce que ce sont des groupes qui deviennent de plus en plus organisés
07:23et qui de plus en plus utilisent des technologies avancées
07:26comme l'intelligence artificielle pour mener à bien leurs opérations.
07:30Donc cela amène à une ampleur qui est complètement...
07:35Ça, c'est du jamais vu, quoi.
07:36Oui, c'est sûr qu'il y a l'IA qui vient s'ajouter à ça.
07:39Alors je disais que sur X, Olivier, vous traquiez les influenceurs,
07:43les faux influenceurs, enfin bon, les arnaqueurs, pour dire vite.
07:45Mais je me posais la question des plateformes d'échange.
07:50Elles-mêmes, est-ce qu'elles sont suffisamment sécurisées ?
07:52Parce que parfois, on peut s'en remettre à une plateforme et avoir de mauvaises surprises, non ?
07:56Alors, il y a eu d'énormes progrès qui ont été faits.
07:59Depuis l'époque du piratage de MT Gox, qui était l'échangeur au Japon,
08:04tenu par un Français, qui s'est vu vider tous ses bitcoins.
08:07Et aujourd'hui, il y a eu quand même énormément de choses qui ont été faites au niveau des échanges.
08:12Donc ce qu'on appelle du proof of reserve, c'est-à-dire que les échanges ont montré
08:16qu'ils détiennent bien en fait en propre les cryptos que les gens achètent sur les échanges.
08:21Mais même là, on se rend compte que ce sont des cibles de choix, si vous voulez,
08:25parce que c'est là que se concentrent quelques milliards.
08:27Donc du coup, oui, comme on l'a vu malheureusement avec Bybit,
08:30eux aussi peuvent être la cible de ça, et de manière très directe ou indirecte.
08:34Et puis, de temps en temps, sur des choses plus décentralisées,
08:37donc hors des échanges centralisés, vous avez des projets eux-mêmes
08:41qui vont monter des smart contracts sur lesquels vous allez pouvoir déposer des fonds,
08:45faire de la DeFi.
08:47Et là, vous pouvez également vous faire vider vos fonds
08:50s'il y a de vulnérabilité dans le smart contract.
08:52Voilà, il faut être sûr que quand vous déposez des fonds,
08:55le truc a été bien audité, qu'il y a une équipe à peu près sérieuse derrière,
08:58que le projet est legit, donc qu'il faut faire ses devoirs tout simplement
09:01avant de déposer des sous quelque part.
09:03Oui. Vous diriez quoi sur les plateformes d'échange aujourd'hui, Margot ?
09:06Elles sont suffisamment sécurisées ?
09:09Alors, il y a eu de grands progrès qui ont été faits sur ces quelques dernières années.
09:14Je dirais que, donc Olivier parle beaucoup en fait de la responsabilité de l'individu
09:19quand il interagit avec ce genre de plateforme.
09:21Et c'est un facteur essentiel pour justement s'assurer de la sécurité de ces fonds.
09:28Il y a également une responsabilité de la part de l'échange
09:32ou de la plateforme décentralisée à partir du moment où elle peut le faire,
09:37de mettre en place, comme il le disait, des audits réguliers,
09:41des systèmes de sécurité robustes qui sont régulièrement mis à jour
09:44pour justement pallier à l'évolution constante des menaces cyber.
09:48Et donc, ce genre de structures peuvent notamment être amenées par des régulations diverses
09:54comme la régulation MICA qui a été mise en place récemment dans l'UE.
10:00En Europe ? Oui, tout à fait.
10:01C'est-à-dire, vous dites qu'il faut privilégier les plateformes européennes ?
10:04Alors, oui.
10:05Oui ?
10:05Si vous le pouvez, en fonction des cryptos que vous allez acheter,
10:08parce qu'elles ne sont pas toutes disponibles sur tous les exchanges,
10:10oui, évidemment, privilégier les plateformes qui sont PSAN,
10:13donc prestataires de services sur actifs numériques.
10:16Vous avez une liste sur le site de l'AMF, vous avez une blacklist aussi sur le site de l'AMF,
10:20donc ça l'a évité.
10:21Bon, c'est des blacklists et des...
10:23Enfin, il faut comprendre un truc.
10:24C'est vraiment...
10:26Quand vous allez postuler pour être PSAN,
10:30vous allez obtenir un papier, mais ça ne veut pas dire que vous êtes invulnérable.
10:34Vous avez des plateformes qui ne sont pas PSAN
10:35et qui ont des niveaux de sécurité tout à fait satisfaisants.
10:39Alors, qu'est-ce qu'il faut aller regarder ?
10:40Comment on peut faire sa propre enquête ?
10:44C'est très compliqué, d'autant plus que si vous prenez les plus gros,
10:47prenez Binance, par exemple, on sait qu'il y a eu des fuites de données personnelles.
10:50Il n'est pas rare que vous receviez un coup de fil d'une personne
10:53qui se fait passer pour l'équipe de Binance
10:54et vous demande de signer un smart contract pour obtenir un airdrop,
10:58donc à obtenir des cryptos.
11:00Là encore, une fois, c'est des arnaques.
11:02Et ne faites jamais rien dans la précipitation,
11:06surtout quand vous êtes appelé au téléphone,
11:08comme ça, il y a des choses qui arrivent assez sales, comme ça, malheureusement.
11:12Est-ce que le jeu en vaut la chandelle, Margot ?
11:14Finalement, on se dit que c'est quand même d'énormes prises de risques.
11:18Mais alors, est-ce qu'on peut gagner beaucoup d'argent, à contraire ?
11:20Alors, sans nécessairement parler sur les opportunités d'investissement,
11:26ce que je souhaiterais rajouter à ce que vous disiez,
11:28c'est que finalement, je ne pense pas qu'on puisse arriver à une situation
11:32où en fait, on évite complètement le crime ou juste l'arnaque.
11:38Et donc, en fait, dans ce genre de situation,
11:40il faut mettre en place des procédures
11:41qui permettent de limiter l'impact sur la victime.
11:45Et donc, je pense que d'une certaine...
11:46Enfin, d'un côté, il y a une nécessité de continuellement améliorer
11:51notre visibilité de ce qui se passe sur la blockchain
11:54pour être justement capable de suivre cette activité criminelle en temps réel.
12:00Mais il y a également une nécessité de passer d'un modèle réactif,
12:03donc un modèle réactif étant une attaque qui est arrivée maintenant,
12:06essayant de retrouver les fonds, identifier le criminel, etc.,
12:09à une approche un peu plus préventive,
12:12où on essaye d'identifier ce genre d'activité, ce genre d'acteurs,
12:16avant qu'ils aient eu un impact trop conséquent sur des victimes visées.
12:19Et donc, c'est quelque chose qu'on essaye de mettre en place,
12:22notamment au sein de Chainalysis.
12:24Justement, un exemple étant l'acquisition de deux sociétés
12:28qu'on a fait au cours de l'année dernière, Exagate et Alteria,
12:31qui sont en fait des plateformes qui utilisent des technologies comme l'IA
12:34pour identifier des acteurs, identifier des attaques
12:38avant qu'elles aient eu un impact trop conséquent.
12:41Et donc, je pense que voilà, dans cette situation
12:42où la criminalité existera toujours,
12:44il faut mettre en place des mesures pour mitiger les conséquences
12:49et l'impact financier sur les victimes.
12:52Alors, j'ai vu aussi passer récemment...
12:55Alors, je vous éloigne un peu des crypto-monnaies,
12:56mais je vous amène vers les NFT.
12:59C'est un autre problème.
13:00Voilà. J'ai vu passer une petite capture d'écran
13:03d'un acheteur de NFT qui s'était retrouvé plus rien d'un seul coup.
13:06Il a perdu l'objet virtuel qu'il avait acheté.
13:09Alors là, il y a une technique qui est redoutable, malheureusement,
13:12qui consiste à spammer un utilisateur,
13:16un wallet d'utilisateurs,
13:17avec des transactions, des petites transactions,
13:19des fois des NFT sans aucune valeur,
13:22des fois, enfin, voilà,
13:23mais pour qu'il y ait une interaction avec une adresse
13:24qui va être générée par le pirate
13:26et qui va ressembler à une adresse
13:27sur laquelle vous avez l'habitude d'interagir.
13:29Et si malheureusement,
13:31vous allez prendre votre adresse dans votre historique,
13:33vous allez tomber sur l'adresse du pirate
13:34qui va récupérer tous vos fonds.
13:36Ah, donc c'est ça ce qui s'est passé en l'occurrence ?
13:38C'est probablement ça.
13:39C'est quelque chose de très, très classique.
13:41ou quelque chose de s'en approchant, du moins,
13:43mais c'est quelque chose, malheureusement, très classique.
13:45Donc, ce n'est pas la plateforme
13:45qui, d'un seul coup, a fait disparaître le NFT.
13:47C'est un vol avéré ?
13:48Oui, c'est un vol avéré.
13:49Tout à fait, oui.
13:50D'accord.
13:51Pareil, Margot, les NFT,
13:53est-ce que c'est un univers un petit peu plus risqué,
13:55encore, que celui des crypto-monnaies ?
13:58Alors, je pense que les risques, en fait,
14:01sont similaires, finalement,
14:03parce que l'attaque dont parlait Olivier,
14:04c'est quelque chose que l'on voit également
14:05dans le domaine des crypto-monnaies.
14:07Donc, si vous avez l'habitude d'envoyer des fonds régulièrement
14:11à une adresse, il est tout à fait possible
14:13qu'à travers ce genre d'attaque,
14:15vous envoyiez des crypto-monnaies aux mêmes attaqueurs.
14:18Ce que j'aurais tendance à dire,
14:19c'est que les NFT, comme les cryptos, sont traçables.
14:23On voit à qui elles sont reliées.
14:26Et donc, encore une fois,
14:27il y a cette possibilité d'agir et de prévenir.
14:31Qu'est-ce qu'on peut conseiller à ceux qui nous écoutent
14:36et ceux qui nous regardent
14:37s'ils ont été victimes de fraude ?
14:39Il y a des recours ?
14:39On peut récupérer son argent ?
14:41Alors, malheureusement, c'est très compliqué de recours.
14:43On envoie un message à Bluetooth pour...
14:45Non, la première des choses à faire,
14:46c'est réellement d'aller porter plainte, déjà,
14:48qu'il y ait une trace
14:49et qu'il y ait un minimum d'enquête dessus.
14:52Mais malheureusement, les fonds cryptos,
14:53une fois volés, c'est très, très difficile à récupérer.
14:56Vraiment très difficile à récupérer.
14:57Et je crois, sans me tromper,
14:59d'ailleurs, c'est quelque chose qui a été consigné
15:00dans le rapport de Channel Analysis,
15:01qui était que les investissements
15:03qui sont faits, même au niveau européen et au mondial,
15:06dans la lutte contre la cybercriminalité
15:09sur ces actifs numériques,
15:11est bien plus importante en investissement
15:13que ce qu'on peut récupérer.
15:15Donc, on finance à perte, quelque part,
15:18des mesures un peu complexes à mettre en place.
15:20C'est parfois ce qu'on me dit sur la réglementation, d'ailleurs.
15:24Margot, même question sur des conseils
15:26que vous pourriez donner aux personnes
15:28qui ont été victimes de piratage de cryptos ?
15:31Oui, je pense exactement ce que disait Olivier.
15:33C'est vrai que malheureusement,
15:34en termes de recouvrement de fonds,
15:37c'est très limité par rapport à la quantité,
15:40en termes absolus, de volume qui sont volés.
15:44Par contre, c'est pour cela
15:46qu'on essaye de plus en plus de collaborer
15:49avec le secteur public
15:50dans ce côté préventif, justement.
15:53Parce que dans une situation
15:54où il est extrêmement difficile
15:55d'identifier et de récupérer des fonds volés,
16:01le recours le plus important,
16:02c'est vraiment d'empêcher cette attaque
16:05d'arriver en premier lieu.
16:07On peut se retourner contre la plateforme d'échange ?
16:10Il faudrait vraiment qu'il y ait une faute de la plateforme,
16:12mais a priori, c'est assez compliqué.
16:14Pas facile de prouver la responsabilité aussi ?
16:15Déjà, d'une part,
16:16si on compte que certaines entités
16:17de certaines plateformes,
16:18des fois, quand elles sont papsanes,
16:19c'est un peu compliqué de les joindre
16:20parce qu'on ne sait pas trop bien
16:21où elles sont localisées géographiquement
16:22ou dans des paradis fiscaux.
16:25Donc, c'est vraiment très, très compliqué.
16:27Donc, c'est vraiment la prévention
16:28qui est nécessaire,
16:29bonne hygiène numérique,
16:30comme dans tous nos usages du numérique,
16:32finalement, mais peut-être
16:33avec encore plus de vigilance
16:34quand on parle d'investissement financier.
16:36Voilà.
16:37Margot, un mot de la fin ?
16:38Peut-être qu'on a 10 secondes.
16:39Oui, je pense juste
16:41une prise de conscience
16:42un peu plus collective
16:43de tout individu
16:44qui veut se lancer dans la crypto
16:45et juste être conscient des risques
16:47avant d'investir.
16:49Ce n'est pas qu'un risque boursier.
16:51Je suis entièrement d'accord avec Margot.
16:53Un risque numérique.
16:54Si ça vous brûle les mains
16:55d'aller investir sur des cryptos,
16:57c'est que c'est trop tôt.
16:58Passez deux mois
16:59à étudier les risques et tout ça,
17:00regardez comment ça fonctionne,
17:01qu'est-ce que c'est qu'un exchange,
17:02comment on manipule une ledger,
17:04par exemple,
17:05avant d'envoyer vraiment des fonds dessus.
17:07Merci beaucoup à tous les deux.
17:08Merci Margot Eccl
17:09d'avoir été avec nous,
17:10senior investigateur
17:11chez Tchanalysis
17:12et Olivier Lorély,
17:14consultant sécurité web
17:15et cofondateur de Reflet.info.
17:17Merci encore.
Recommandations
15:50
2:46
2:25
1:06
1:43:40