L’entreprise qui vous aide à retrouver votre argent a perdu les clés de tous ses clients
Une entreprise spécialisée dans la recherche de « ce qu’est devenu cet argent » a perdu les clés de tous ses clients. Noms, noms d’utilisateur, hachages de mots de passe et même jetons de connexion encore actifs. Tous les clients, sans exception.
Le vrai problème, ce sont ces quatre derniers mots. Les jetons.
Un hachage de mot de passe doit être calculé ; un jeton, non. C’est un bout de papier que le serveur vous remet au moment où vous vous connectez avec succès : qui le détient, c’est vous. Pas besoin de le casser, ni de le deviner, et il est toujours valide.
Tout s’est passé en octobre. Le premier avis, publié le 30, disait que seules avaient fuité des informations considérées comme non sensibles, comme les identifiants, les noms et les adresses e-mail. Après un week-end d’enquête, l’ampleur de la fuite s’est révélée totale. L’entreprise n’a rectifié le tir que le mercredi.
Pourquoi n’avoir rien dit pendant ces deux jours ? L’entreprise ne l’a même pas expliqué. Elle s’est contentée d’une phrase : le point d’entrée de l’attaque a été identifié et corrigé. Où se trouvait-il ? Personne ne le sait à ce jour. Est-ce que ça suffit comme explication ?
Puis elle a tout simplement suspendu la moitié de ses activités. Page de connexion, tableau de suivi, surveillance des transactions, filtrage des adresses : tout a été arrêté d’un coup. Pour rétablir les services, il faut d’abord inscrire l’adresse IP fixe de l’entreprise sur la liste blanche, puis changer obligatoirement son mot de passe et renouveler ses clés.
Beaucoup pensent que l’analyse on-chain est sûre par nature, puisque le registre est public. Seul le registre est public. Le serveur de connexion, lui, n’est pas sur la blockchain : il se trouve dans une salle informatique, et tout ce qui s’y passe est consigné dans les journaux.
Quand un retrait de cryptomonnaies est bloqué et qu’on vous demande des justificatifs supplémentaires, la décision n’est pas forcément prise entièrement par la plateforme d’échange. Ces entreprises vendent en réalité une base de données d’étiquettes : à qui appartient telle adresse, combien de fois tel montant a transité par des adresses intermédiaires. Si la base s’arrête, tout s’arrête.
Le registre de $BTC est public depuis le premier jour ; n’importe qui peut télécharger toutes les données et faire ses propres calculs. Ce secteur existe précisément parce que le registre est public, tandis que ceux qui l’interprètent ne le sont pas.
Parmi ses clients figurent Microsoft, Barclays, ainsi que la plateforme d’échange $COINB . Ils n’ont rien perdu eux-mêmes : c’est le bout de papier de leur fournisseur qui a disparu.
Bitcoin : 75774. Une journée plutôt calme. Ce genre d’incident ne se voit jamais sur une courbe en chandeliers ; il se retrouve dans la prochaine signature de conformité. À mon avis, ce qui coûte le plus cher, ce ne sont pas les données.
Quand une entreprise vend la promesse « je peux identifier à qui appartient cet argent », son actif le plus précieux, c’est le fait que personne ne soit entré. La base de données n’arrive qu’en deuxième position. Et voilà que cet actif n’a pas de sauvegarde. Impossible de le reconstituer.
Toute activité qui transforme la confiance en produit vendu par une entreprise finira tôt ou tard par connaître ce genre de problème.
Parce que le registre peut être public, mais les clés, elles, doivent rester enfermées dans une seule pièce.
Une entreprise spécialisée dans la recherche de « ce qu’est devenu cet argent » a perdu les clés de tous ses clients. Noms, noms d’utilisateur, hachages de mots de passe et même jetons de connexion encore actifs. Tous les clients, sans exception.
Le vrai problème, ce sont ces quatre derniers mots. Les jetons.
Un hachage de mot de passe doit être calculé ; un jeton, non. C’est un bout de papier que le serveur vous remet au moment où vous vous connectez avec succès : qui le détient, c’est vous. Pas besoin de le casser, ni de le deviner, et il est toujours valide.
Tout s’est passé en octobre. Le premier avis, publié le 30, disait que seules avaient fuité des informations considérées comme non sensibles, comme les identifiants, les noms et les adresses e-mail. Après un week-end d’enquête, l’ampleur de la fuite s’est révélée totale. L’entreprise n’a rectifié le tir que le mercredi.
Pourquoi n’avoir rien dit pendant ces deux jours ? L’entreprise ne l’a même pas expliqué. Elle s’est contentée d’une phrase : le point d’entrée de l’attaque a été identifié et corrigé. Où se trouvait-il ? Personne ne le sait à ce jour. Est-ce que ça suffit comme explication ?
Puis elle a tout simplement suspendu la moitié de ses activités. Page de connexion, tableau de suivi, surveillance des transactions, filtrage des adresses : tout a été arrêté d’un coup. Pour rétablir les services, il faut d’abord inscrire l’adresse IP fixe de l’entreprise sur la liste blanche, puis changer obligatoirement son mot de passe et renouveler ses clés.
Beaucoup pensent que l’analyse on-chain est sûre par nature, puisque le registre est public. Seul le registre est public. Le serveur de connexion, lui, n’est pas sur la blockchain : il se trouve dans une salle informatique, et tout ce qui s’y passe est consigné dans les journaux.
Quand un retrait de cryptomonnaies est bloqué et qu’on vous demande des justificatifs supplémentaires, la décision n’est pas forcément prise entièrement par la plateforme d’échange. Ces entreprises vendent en réalité une base de données d’étiquettes : à qui appartient telle adresse, combien de fois tel montant a transité par des adresses intermédiaires. Si la base s’arrête, tout s’arrête.
Le registre de $BTC est public depuis le premier jour ; n’importe qui peut télécharger toutes les données et faire ses propres calculs. Ce secteur existe précisément parce que le registre est public, tandis que ceux qui l’interprètent ne le sont pas.
Parmi ses clients figurent Microsoft, Barclays, ainsi que la plateforme d’échange $COINB . Ils n’ont rien perdu eux-mêmes : c’est le bout de papier de leur fournisseur qui a disparu.
Bitcoin : 75774. Une journée plutôt calme. Ce genre d’incident ne se voit jamais sur une courbe en chandeliers ; il se retrouve dans la prochaine signature de conformité. À mon avis, ce qui coûte le plus cher, ce ne sont pas les données.
Quand une entreprise vend la promesse « je peux identifier à qui appartient cet argent », son actif le plus précieux, c’est le fait que personne ne soit entré. La base de données n’arrive qu’en deuxième position. Et voilà que cet actif n’a pas de sauvegarde. Impossible de le reconstituer.
Toute activité qui transforme la confiance en produit vendu par une entreprise finira tôt ou tard par connaître ce genre de problème.
Parce que le registre peut être public, mais les clés, elles, doivent rester enfermées dans une seule pièce.
