Les clés privées n’ont pas été perdues, mais l’argent, si : l’indemnisation de 950 000 dollars de Bloom mérite davantage d’attention que l’attaque elle-même
Bloom Trading a publié aujourd’hui les résultats de son enquête : 9 utilisateurs, 49 portefeuilles et 9 408 SOL (environ 947 000 dollars). L’attaque a exploité une vulnérabilité RCE dans un module tiers ; les clés privées n’ont été ni consultées ni divulguées.
Ces deux affirmations mises côte à côte forment le rapprochement qui mérite le plus qu’on s’y arrête aujourd’hui : vous pouvez protéger votre phrase de récupération avec le plus grand soin, quelqu’un peut quand même s’introduire par un petit module dont vous dépendez et transférer votre argent.
Ce n’est pas un cas isolé. Le rapport du troisième trimestre de Hacken contient un chiffre révélateur : au troisième trimestre 2026, le secteur des cryptomonnaies a perdu 1,18 milliard de dollars à cause de piratages, dont 77 % (environ 906 millions de dollars) provenaient directement de fournisseurs tiers compromis, d’outils de développement, de correctifs non déployés ou de composants non audités. Autrement dit, le secteur consacre l’essentiel de son budget de sécurité à l’audit de ses propres contrats, mais l’argent disparaît à cause de « modules appartenant à d’autres ».
La réaction de Bloom est un autre aspect de cette affaire qui mérite d’être souligné : l’entreprise a promis un remboursement intégral, mis le système hors ligne avant de lancer l’enquête, puis exigé des utilisateurs qu’ils vérifient de nouveau leur identité après le rétablissement du service. Dans un secteur où « nier d’abord, enquêter ensuite et présenter de profonds regrets à la fin » est presque devenu un réflexe, reconnaître sa responsabilité et suspendre le service le jour même constituent en soi un atout rare.
La comparaison avec un autre cas survenu le même jour est encore plus parlante. CoinDCX a reconnu une perte de 15,99 millions d’USDT, mais son PDG qualifiait encore ces informations de « fausses » sur X trois jours plus tôt. L’entreprise a finalement reconnu les faits après la défaillance de son service de consolidation automatique, qui avait laissé les fonds bloqués à une ancienne adresse déjà piratée en juillet 2025. Bloom a clairement annoncé le jour même qu’elle allait « rembourser » ; CoinDCX a d’abord dit « non », puis « oui » trois jours plus tard.
À retenir : avant la prochaine autorisation que vous accorderez, ne vous contentez pas de vérifier l’adresse du contrat. Prenez aussi dix secondes pour vous demander qui maintient ce module, s’il a été modifié récemment et quand il a été mis à jour pour la dernière fois. La sécurité des clés privées est le strict minimum ; au-delà, il y a toute une chaîne de dépendances que vous ne voyez peut-être pas.
$SOL #安全 #BinanceSquare
Bloom Trading a publié aujourd’hui les résultats de son enquête : 9 utilisateurs, 49 portefeuilles et 9 408 SOL (environ 947 000 dollars). L’attaque a exploité une vulnérabilité RCE dans un module tiers ; les clés privées n’ont été ni consultées ni divulguées.
Ces deux affirmations mises côte à côte forment le rapprochement qui mérite le plus qu’on s’y arrête aujourd’hui : vous pouvez protéger votre phrase de récupération avec le plus grand soin, quelqu’un peut quand même s’introduire par un petit module dont vous dépendez et transférer votre argent.
Ce n’est pas un cas isolé. Le rapport du troisième trimestre de Hacken contient un chiffre révélateur : au troisième trimestre 2026, le secteur des cryptomonnaies a perdu 1,18 milliard de dollars à cause de piratages, dont 77 % (environ 906 millions de dollars) provenaient directement de fournisseurs tiers compromis, d’outils de développement, de correctifs non déployés ou de composants non audités. Autrement dit, le secteur consacre l’essentiel de son budget de sécurité à l’audit de ses propres contrats, mais l’argent disparaît à cause de « modules appartenant à d’autres ».
La réaction de Bloom est un autre aspect de cette affaire qui mérite d’être souligné : l’entreprise a promis un remboursement intégral, mis le système hors ligne avant de lancer l’enquête, puis exigé des utilisateurs qu’ils vérifient de nouveau leur identité après le rétablissement du service. Dans un secteur où « nier d’abord, enquêter ensuite et présenter de profonds regrets à la fin » est presque devenu un réflexe, reconnaître sa responsabilité et suspendre le service le jour même constituent en soi un atout rare.
La comparaison avec un autre cas survenu le même jour est encore plus parlante. CoinDCX a reconnu une perte de 15,99 millions d’USDT, mais son PDG qualifiait encore ces informations de « fausses » sur X trois jours plus tôt. L’entreprise a finalement reconnu les faits après la défaillance de son service de consolidation automatique, qui avait laissé les fonds bloqués à une ancienne adresse déjà piratée en juillet 2025. Bloom a clairement annoncé le jour même qu’elle allait « rembourser » ; CoinDCX a d’abord dit « non », puis « oui » trois jours plus tard.
À retenir : avant la prochaine autorisation que vous accorderez, ne vous contentez pas de vérifier l’adresse du contrat. Prenez aussi dix secondes pour vous demander qui maintient ce module, s’il a été modifié récemment et quand il a été mis à jour pour la dernière fois. La sécurité des clés privées est le strict minimum ; au-delà, il y a toute une chaîne de dépendances que vous ne voyez peut-être pas.
$SOL #安全 #BinanceSquare
