Une faille critique de BTCPay Server permet de voler des bitcoins
Une vulnérabilité majeure a été découverte dans BTCPay Server, un service de paiement en cryptomonnaie. Cette faille a permis à des hackers de siphonner des fonds, notamment des bitcoins, de plusieurs utilisateurs. Les attaques ont été facilitées par une campagne de phishing ciblant les utilisateurs du portefeuille matériel Trezor.
Contexte factuel
Les cybercriminels ont utilisé une publicité sponsorisée sur Google pour diriger les victimes vers une page Trezor contrefaite, hébergée sur Google Sites, qui apparaissait en tête des résultats de recherche. Un utilisateur, identifié sous le nom de David sur une plateforme sociale, a rapporté avoir perdu toutes ses économies après avoir saisi sa phrase de récupération sur cette fausse page. Au total, l’adresse malveillante a récupéré 24,04 bitcoins, soit environ 1,4 million d’euros au taux actuel. Les pirates ont ensuite transféré presque la totalité de cette somme vers d’autres portefeuilles, laissant seulement 0,04 bitcoin sur l’adresse d’origine.
Le fabricant Trezor a confirmé que ses appareils n’avaient pas été compromis, précisant que la phrase de récupération avait été saisie en dehors du portefeuille matériel. Ce modus operandi rappelle une attaque similaire survenue en mai dernier contre des utilisateurs d’Uniswap, où environ 346 000 euros avaient été détournés via un faux site.
Données ou statistiques
BTCPay Server et Trezor fonctionnent selon le principe de l’auto-garde, où aucun opérateur central ne détient les fonds au nom de l’utilisateur. Contrairement à des plateformes centralisées comme Crypto.com, qui avaient promis la restitution des fonds volés lors d’un piratage en janvier 2022, aucune garantie similaire n’est disponible pour les utilisateurs de BTCPay Server ou de Trezor touchés par cette attaque.
Conséquence directe
La situation laisse les utilisateurs dans l’incertitude, attendant que Google retire la page frauduleuse et espérant que les opérateurs de BTCPay Server appliquent rapidement les mises à jour nécessaires pour limiter l’ampleur des pertes.
Source : Clubic, BeinCrypto.
