Au petit matin du 2 novembre, Mercado Bitcoin, la plus grande plateforme d’échange du Brésil, s’est fait dévaliser. Entre 3 h 19 et 3 h 53, heure de São Paulo, les fonds ont été transférés par lots depuis les portefeuilles chauds de 17 blockchains, en 34 minutes. Arkham estime le montant à environ 46,3 millions de dollars, Chainalysis à environ 49 millions. La plateforme, elle, a avancé un chiffre inférieur : d’abord environ 38 millions, puis 36,3 millions de dollars. Elle a déjà gelé 12,9 millions de dollars. Les estimations varient d’une source à l’autre ; je retiens celle d’Arkham comme référence principale.

Cette attaque n’a rien à voir avec une faille de contrat intelligent. Selon des sociétés de sécurité, les pirates ont simplement effectué des transferts ordinaires pour vider les portefeuilles chauds, transaction après transaction. Les principaux actifs dérobés sont 106 bitcoins et 2 852 ethers, d’une valeur d’environ 8,24 millions et 6,52 millions de dollars. Les 10 700 solanas, 6,7 millions de lumens et plus de 5 millions de dollars en stablecoins ont également été emportés ; les jetons de moindre valeur ont, eux, été échangés 287 fois. Les fonds ont été envoyés vers de nouvelles adresses tout juste créées. La plateforme n’a toujours pas indiqué comment les pirates s’y sont introduits.

Chainalysis a reçu l’appel d’un dirigeant de la plateforme d’échange à 2 h 30 du matin. En une demi-heure, l’entreprise avait transmis aux autorités les adresses pouvant être gelées. Avant l’aube, 4 millions de dollars de stablecoins étaient bloqués ; à la fin de la journée, près de 10 millions. Tether, à lui seul, en a gelé plus de 4,5 millions. Les stablecoins peuvent être gelés parce que leurs émetteurs ont un interrupteur. Une fois convertis en bitcoin ou en ether, ils ne peuvent plus l’être. Si les pirates se sont empressés de convertir les fonds, c’est qu’ils voulaient profiter de cette fenêtre.

Le même jour, une autre plateforme d’échange a été touchée. Le 3 novembre, le fondateur de BitMart a reconnu sur X que sa plateforme avait également été piratée le 2 novembre. Le montant était modeste : Bitquery l’a estimé à environ 391 000 dollars. L’attaque a eu lieu 53 minutes avant celle de Mercado Bitcoin, et les fonds ont fini sur une adresse contrôlée par le même groupe. Deux plateformes d’échange, le même jour, le même groupe : seulement 53 minutes d’écart.

La plateforme affirme que les utilisateurs ne subiront aucune perte et qu’aucune donnée n’a été perdue ; elle prendra elle-même les pertes en charge. J’en crois la moitié. La plateforme peut rembourser les sommes sur le papier, mais les dépôts et les retraits sont suspendus depuis le 2 novembre, et aucune date de reprise n’a été annoncée. Elle indique que le site rouvrira d’abord le 9 novembre pour permettre de consulter les comptes : on pourra regarder, mais pas retirer. Les cryptos sont toujours inscrites sur ton compte, mais tu ne peux pas les retirer. Pour l’instant, ce ne sont que des chiffres à l’écran.

Pour les petits investisseurs, cette affaire n’a rien à voir avec le piratage d’un contrat. Si tes cryptos sont sur une plateforme d’échange, le risque ne vient pas du code sur la blockchain, mais des contrôles internes de la plateforme. Le portefeuille chaud sert aux opérations courantes de la plateforme : les fonds y entrent et en sortent constamment. Si les contrôles internes sont contournés, tout peut se jouer en quelques dizaines de minutes. La plateforme promet de couvrir les pertes, c’est une bonne chose, mais c’est la rapidité de l’indemnisation et la date de reprise qui détermineront si ton argent est vraiment en sécurité.

Mon avis tient en une phrase : ne demande pas seulement à la plateforme si elle va te rembourser, demande aussi quand tu pourras retirer tes fonds.

Les cryptos que tu as laissées sur la plateforme sont-elles encore dans son portefeuille chaud, ou les as-tu déjà retirées pour les garder toi-même ?

#MercadoBitcoin #交易所安全 #被黑复盘 #热钱包 #SuiviOnChain

— Xiaokai, petit investisseur Web3

Cet article reflète uniquement une opinion personnelle et ne constitue pas un conseil en investissement. Sources des données : Chainalysis, Arkham, Decrypt et Cointelegraph. Les montants sont des estimations de différentes sources ; les prix correspondent aux valeurs relevées au moment de la publication. Les cours évoluent à tout moment : évaluez les risques par vous-même.