Voici une énigme que je trouve plus utile que n'importe quel tutoriel sécurité.
Un coffre numérique contient plus de 400 000 ETH. Pour l'ouvrir, il faut trois signatures, données par trois personnes différentes, chacune avec son propre appareil de signature physique (un petit boîtier qui garde la clé privée hors d'internet). Personne n'a perdu de clé. Personne n'a trahi. Les trois ont signé une opération qu'ils avaient vérifiée à l'écran.
Et pourtant, le coffre s'est vidé en quelques minutes.
C'est ce qui est arrivé à Bybit le 21 février 2025 : environ 1,5 milliard de dollars, le plus gros vol de l'histoire de la crypto. Le FBI l'a attribué cinq jours plus tard au groupe nord-coréen surnommé TraderTraitor (souvent rattaché à Lazarus). Je vous donne la solution en trois indices. Essayez de deviner avant de lire le suivant.
INDICE 1 : la serrure n'a pas été forcée
Le coffre était un « multisig » : un portefeuille qui exige plusieurs signatures au lieu d'une seule. Ici, il en fallait 3. L'idée est solide, comme un coffre de banque qui demande deux clés tournées en même temps. Et la serrure a parfaitement fonctionné : elle a reçu trois signatures valides, elle a obéi. Le problème n'était pas la serrure.
INDICE 2 : l'écran mentait
Pour préparer l'opération, les signataires utilisaient l'interface web de Safe{Wallet}, un outil très répandu pour gérer ces coffres. D'après les enquêtes de Sygnia et Verichains publiées par le PDG de Bybit, Ben Zhou, les attaquants avaient d'abord piégé l'ordinateur d'un développeur de Safe (une manœuvre d'ingénierie sociale qui a duré près de trois semaines), puis glissé du code malveillant dans les fichiers du site, le 19 février.
Ce code ne s'activait que pour l'adresse de Bybit. À l'écran, les signataires voyaient un transfert banal, du portefeuille froid vers un portefeuille chaud. Mais ce qui partait vers leurs boîtiers de signature était autre chose.
INDICE 3 : ils n'ont pas signé un virement, ils ont changé la serrure
La transaction réellement signée utilisait une fonction appelée delegatecall. En une phrase : elle permet au coffre d'exécuter le code d'un autre programme comme si c'était le sien. Les attaquants s'en sont servis pour remplacer la logique du coffre par la leur. Une fois la serrure changée, plus besoin de trois signatures : 401 346 ETH sont partis, plus d'autres jetons. Deux minutes après, le code piégé était retiré du site pour effacer les traces.
La solution de l'énigme tient donc en une ligne : les trois personnes ont signé ce qu'elles voyaient, pas ce qu'elles signaient.
C'est ce qu'on appelle la « signature à l'aveugle » (blind signing) : le boîtier affiche une suite de caractères techniques illisibles, et on fait confiance à l'écran de l'ordinateur pour savoir ce que ça veut dire. Or c'est précisément cet écran qui était compromis.
Pourquoi je raconte ça à quelqu'un qui n'a pas 400 000 ETH ? Parce que le mécanisme est exactement le même, en petit, quand on clique « Confirmer » sur un site qu'on croit être le bon. Que tu aies un portefeuille ou dix signataires, la question à se poser est la même : est-ce que je lis l'opération sur un appareil que je contrôle, ou sur une page qu'un inconnu a pu modifier ?
Mon avis, un peu impopulaire : multiplier les signatures donne un sentiment de sécurité qui peut endormir. Trois personnes qui regardent le même écran truqué, ce n'est pas trois vérifications, c'est une seule, répétée trois fois. La vraie protection, c'est un deuxième chemin pour lire la transaction : un appareil qui affiche en clair le destinataire et le montant, ou un autre ordinateur, ou un outil indépendant qui décode les données avant de signer.
Bybit, de son côté, a comblé le trou en quelques jours grâce à des prêts et des rachats d'ETH, et la plateforme a continué de fonctionner. L'argent volé, lui, a en grande partie été dispersé et blanchi dans les semaines suivantes.
Et toi, la dernière fois que tu as validé une opération avec $ETH ou autre chose, tu as lu quoi exactement : le détail sur ton appareil, ou juste le bouton vert ?
Sources : rapport intérimaire Sygnia/Verichains pour Bybit (février 2025), BlockSec, blog Ledger, communiqué du FBI du 26 février 2025.
Ceci n'est pas un conseil financier.