【Un faux e-mail de “fausse administration” qui a volé les flux en bitcoins des clients🔓】
Rejoignez le groupe de fans de M. X sur la page d’accueil🔥
La banque numérique européenne Revolut admet qu’un e-mail se faisant passer pour une administration gouvernementale a réussi son processus de vérification. Elle a transmis des données clients à la volée, sans détecter la moindre anomalie tout au long du parcours. La plateforme compte plus de 80 millions d’utilisateurs enregistrés ; la société ne précise pas combien de personnes ont été touchées. Dans la liste divulguée figurent des copies de passeports, des relevés bancaires, ainsi que des numéros d’adresse de portefeuille Bitcoin et des enregistrements complets de transactions on-chain.
D’abord, clarifions ce qui a réellement été exposé lors de cette fuite. La divulgation de noms et d’adresses peut, au maximum, augmenter le nombre d’appels importuns. Les clés privées, les mots de passe de connexion et les numéros de carte complets n’ont pas été emportés : c’est déjà une marge de sécurité. Mais les numéros de portefeuille Bitcoin et l’historique des transactions, c’est autre chose. Les transferts on-chain ne sont normalement liés qu’à des adresses : on ne sait pas à qui elles appartiennent. Ce document a, lui, relié les adresses à l’identité réelle.
Ce qui mérite surtout d’être examiné, c’est la façon dont l’arnaque a abouti. L’expéditeur n’a pas utilisé un faux domaine : il s’est servi du domaine officiel d’une institution gouvernementale. Il a contourné la vérification grâce à une erreur de configuration et a obtenu des identifiants valides. Une fois ces éléments repérés lors d’un contrôle interne, l’entreprise les a traités comme une demande officielle. L’enquêteur on-chain ZachXBT a publié le 11 septembre des notifications aux clients : selon lui, le périmètre paraît limité, mais la fraude pourrait s’être focalisée sur des comptes disposant de moyens. Le Bureau de la Commission de l’information du Royaume-Uni rappelle que les fuites répondant aux critères doivent être signalées dans les 72 heures ; à ce stade, on ne sait pas si la plateforme l’a fait. La sécurité n’a pas été “percée” : c’est le processus qui a, lui-même, laissé la porte ouverte.
Pour la cryptographie, l’adresse du portefeuille a toujours été une couche de protection, aussi fine soit-elle. Le grand livre public permet à chacun de consulter les transferts, mais pas d’identifier qui les a effectués. Dès que l’adresse et le dossier d’état civil sont regroupés puis envoyés, cette protection disparaît. Les victimes du vol ne sont pas encore apparues, mais les personnes ciblées figurent déjà sur la liste. La plateforme vient de recevoir l’accord initial pour une licence bancaire aux États-Unis, et elle a aussi émis sa propre stablecoin en euros : l’état civil ne fera alors que s’accumuler. À l’avenir, pour échanger des montants importants, il faudra d’abord évaluer si l’autre partie vous reconnaît.
Pensez-vous que cette fuite est une erreur fortuite des procédures bancaires, ou que le coût du système d’identification finit tôt ou tard par être payé ? Discutez-en dans les commentaires.
Rejoignez le groupe de fans de M. X sur la page d’accueil🔥
La banque numérique européenne Revolut admet qu’un e-mail se faisant passer pour une administration gouvernementale a réussi son processus de vérification. Elle a transmis des données clients à la volée, sans détecter la moindre anomalie tout au long du parcours. La plateforme compte plus de 80 millions d’utilisateurs enregistrés ; la société ne précise pas combien de personnes ont été touchées. Dans la liste divulguée figurent des copies de passeports, des relevés bancaires, ainsi que des numéros d’adresse de portefeuille Bitcoin et des enregistrements complets de transactions on-chain.
D’abord, clarifions ce qui a réellement été exposé lors de cette fuite. La divulgation de noms et d’adresses peut, au maximum, augmenter le nombre d’appels importuns. Les clés privées, les mots de passe de connexion et les numéros de carte complets n’ont pas été emportés : c’est déjà une marge de sécurité. Mais les numéros de portefeuille Bitcoin et l’historique des transactions, c’est autre chose. Les transferts on-chain ne sont normalement liés qu’à des adresses : on ne sait pas à qui elles appartiennent. Ce document a, lui, relié les adresses à l’identité réelle.
Ce qui mérite surtout d’être examiné, c’est la façon dont l’arnaque a abouti. L’expéditeur n’a pas utilisé un faux domaine : il s’est servi du domaine officiel d’une institution gouvernementale. Il a contourné la vérification grâce à une erreur de configuration et a obtenu des identifiants valides. Une fois ces éléments repérés lors d’un contrôle interne, l’entreprise les a traités comme une demande officielle. L’enquêteur on-chain ZachXBT a publié le 11 septembre des notifications aux clients : selon lui, le périmètre paraît limité, mais la fraude pourrait s’être focalisée sur des comptes disposant de moyens. Le Bureau de la Commission de l’information du Royaume-Uni rappelle que les fuites répondant aux critères doivent être signalées dans les 72 heures ; à ce stade, on ne sait pas si la plateforme l’a fait. La sécurité n’a pas été “percée” : c’est le processus qui a, lui-même, laissé la porte ouverte.
Pour la cryptographie, l’adresse du portefeuille a toujours été une couche de protection, aussi fine soit-elle. Le grand livre public permet à chacun de consulter les transferts, mais pas d’identifier qui les a effectués. Dès que l’adresse et le dossier d’état civil sont regroupés puis envoyés, cette protection disparaît. Les victimes du vol ne sont pas encore apparues, mais les personnes ciblées figurent déjà sur la liste. La plateforme vient de recevoir l’accord initial pour une licence bancaire aux États-Unis, et elle a aussi émis sa propre stablecoin en euros : l’état civil ne fera alors que s’accumuler. À l’avenir, pour échanger des montants importants, il faudra d’abord évaluer si l’autre partie vous reconnaît.
Pensez-vous que cette fuite est une erreur fortuite des procédures bancaires, ou que le coût du système d’identification finit tôt ou tard par être payé ? Discutez-en dans les commentaires.
