Une campagne de phishing ciblant Trezor a siphonné 1,6 million de dollars en Bitcoin, tandis qu’une faille critique de BTCPay Server est activement exploitée. Ces deux incidents, survenus à 24 heures d’intervalle, n’ont pas touché le protocole Bitcoin lui-même : ils ont visé les interfaces logicielles et les utilisateurs qui entourent l’actif.
Au programme
- 24,04 BTC volés par une publicité Google frauduleuse imitant Trezor, dont la seed phrase a été saisie sur un faux site.
- Mise à jour d’urgence pour BTCPay Server : la version 2.4.2 corrige une faille déjà exploitée, avec renouvellement obligatoire des macaroons et des wallets exposés.
- Deux rappels sur la sécurité en auto-garde : ne jamais divulguer sa phrase de récupération en ligne et appliquer sans délai les correctifs des serveurs auto-hébergés.
Une publicité sponsorisée frauduleuse sur Google redirigeait les utilisateurs vers un faux site Trezor, récoltant les phrases de récupération. Ce type de phishing exploitant le référencement n’est pas nouveau. En parallèle, BTCPay Server a déployé un correctif d’urgence pour une vulnérabilité déjà exploitée. Aucun des deux incidents n’a compromis le matériel Trezor ni le protocole Bitcoin, mais ils exposent les maillons faibles de l’auto-garde : l’humain et le logiciel non mis à jour.
Comment une publicité Google a-t-elle siphonné 1,6 million en Bitcoin ?
La victime, identifiée sous le pseudonyme David sur X, a signalé avoir perdu toutes ses économies après avoir saisi sa phrase de récupération sur une page Trezor contrefaite. Cette page, hébergée sur Google Sites, apparaissait en tête des résultats sponsorisés pour la requête “Trezor wallet”, au-dessus du site officiel.
Les données on-chain montrent que le wallet de l’attaquant a reçu 24,04 BTC via 80 transactions. La quasi-totalité des fonds a déjà été déplacée, ne laissant qu’environ 0,04 BTC. Le cours du Bitcoin avoisinait alors 65 172 $.
Le mode opératoire rappelle une attaque de phishing Uniswap qui avait siphonné 400 000 dollars en mai. Trezor, dont des fuites de données avaient déjà alimenté des campagnes similaires par le passé, a transmis l’affaire en interne et fait retirer la page frauduleuse. Le hardware wallet n’a jamais été compromis : l’attaque repose entièrement sur la divulgation de la seed en dehors de l’appareil.
Pourquoi la faille BTCPay Server est-elle critique pour les serveurs marchands ?
BTCPay Server a confirmé qu’une vulnérabilité critique est activement exploitée. Le projet open-source, qui permet aux marchands d’accepter des paiements Bitcoin en auto-hébergement, a exhorté tous les opérateurs à mettre à jour vers la version 2.4.2 ou à éteindre leur serveur.
La correction ne suffit pas. Les opérateurs doivent renouveler les macaroons : les jetons d’accès des nœuds Lightning : et les chaînes d’authentification des backends. Toute personne ayant généré un hot wallet via BTCPay doit transférer ses fonds et en créer un nouveau. L’outil d’indexation NBXplorer nécessite également une mise à jour vers la version 2.6.10.
Ce n’est pas la première fois qu’un logiciel d’infrastructure Bitcoin est pris pour cible. La sécurité des bridges et des serveurs auto-hébergés reste un vecteur d’attaque privilégié lorsque les correctifs ne sont pas appliqués assez vite.
Les failles humaines et logicielles menacent-elles l’auto-garde ?
Le phishing publicitaire exploite la confiance dans les résultats sponsorisés de Google. La faille BTCPay exploite un code non corrigé. Les deux attaques contournent le modèle de sécurité de Bitcoin en ciblant les pratiques et les logiciels qui l’entourent.
Le phishing reste la menace la plus coûteuse de l’écosystème. En janvier, les vols crypto ont atteint 400,3 millions de dollars, dont plus de 70 % attribués à une seule campagne de hameçonnage. L’affaire Ledger et Trezor avait déjà montré comment les données utilisateur alimentent ces campagnes. Les techniques de phishing exploitent désormais le référencement et l’hébergement cloud pour paraître légitimes.
La rapidité du retrait de la publicité Trezor et le nombre d’opérateurs BTCPay ayant appliqué le correctif détermineront l’étendue réelle des pertes. Google n’a pas encore expliqué comment cette publicité malveillante a passé ses systèmes de vérification.
Lecture CryptoActu
Ces deux incidents illustrent une règle constante : la sécurité du Bitcoin repose moins sur le protocole que sur l’humain. Saisir sa seed sur un site web et négliger une mise à jour logicielle restent les portes d’entrée les plus exploitées, quelle que soit la robustesse du code sous-jacent.
À retenir
Une publicité Google frauduleuse a siphonné 24,04 BTC via un faux Trezor, pendant qu’une faille BTCPay Server exposait les fonds des serveurs marchands. Le protocole Bitcoin n’est pas en cause, mais ces incidents rappellent que maîtriser sa seed phrase et maintenir ses logiciels à jour restent les deux piliers de l’auto-garde.
Questions fréquentes
Pourquoi un hardware wallet Trezor ne protège-t-il pas contre le phishing ?
Un hardware wallet stocke la clé privée hors ligne, mais il ne peut pas empêcher un utilisateur de saisir sa phrase de récupération sur un faux site. L’attaque décrite concerne un phishing Trezor où la victime a volontairement divulgué sa seed, ce qu’aucun appareil ne peut bloquer.
Quels sont les risques si je ne mets pas à jour BTCPay Server ?
Un serveur non mis à jour expose des macaroons et des chaînes d’authentification exploitables. Les fonds des hot wallets générés via BTCPay peuvent être siphonnés, comme lors d’incidents antérieurs touchant des infrastructures DeFi.
Comment repérer un faux site Trezor dans les résultats Google ?
Les URLs légitimes commencent par trezor.io. Les faux sites utilisent des variantes ou des domaines Google Sites. Vérifiez toujours l’URL avant de saisir une information sensible, même sur une page sponsorisée.
-
GUIDESQu'est-ce qu'Anthropic ?
