Une campagne de phishing sur Google conduit au vol d'environ 24,04 BTC
Des pirates ont réussi à faire apparaître dans les résultats de recherche une page Trezor falsifiée, hébergée sur Google Sites, et l'ont mise en avant via une publicité sponsorisée. Sur cette fausse page, un utilisateur a saisi sa phrase de récupération. En l'espace de 80 transactions, l'adresse compromise a reçu 24,04 bitcoins — soit environ 1,4 million d'euros au cours actuel — avant que la quasi-totalité des fonds ne soit relayée vers d'autres portefeuilles. Il reste environ 0,04 BTC sur l'adresse d'origine.
BTCPay Server corrige une faille critique mais l'impact est encore incertain
En parallèle, BTCPay Server, solution open source de paiement en bitcoin utilisée par des milliers de commerçants et basée sur le principe d'auto-garde, a publié en urgence une version correctrice suite à la découverte d'une vulnérabilité critique. Des acteurs malveillants ont exploité cette faille pour dérober des fonds, selon les premiers signalements. Contrairement aux plateformes centralisées, ni BTCPay ni Trezor ne détiennent les clefs au nom des utilisateurs : il n'existe donc pas d'interlocuteur capable de garantir la restitution des actifs.
Un schéma d'attaque connu et toujours efficace
Le mode opératoire rappelle une campagne passée qui visait des utilisateurs d'Uniswap et qui avait abouti à des détournements par de faux sites. Ici, l'utilisation d'une page frauduleuse placée au-dessus du site officiel dans les résultats de recherche illustre que la menace ne se limite pas à une panne technique : elle combine ingénierie sociale, publicité en ligne et abus des services d'hébergement gratuits.
- Montant volé : 24,04 BTC (≈1,4 M€).
- Nombre de transactions : 80 pour recevoir les fonds sur l'adresse initiale.
- Reste sur l'adresse compromise : environ 0,04 BTC.
- Vecteur principal : page Trezor contrefaite hébergée sur Google Sites et promue via une annonce sponsorisée.
Conséquences pour les commerçants et les utilisateurs d'auto-garde
Les utilisateurs qui conservent eux-mêmes leurs clefs ne disposent d'aucun recours centralisé : la promesse de remboursement qui peut suivre un piratage d'une plateforme centralisée (rappelée par l'exemple de Crypto.com en 2022) ne s'applique pas aux services d'auto-garde. La capacité des victimes à récupérer leurs avoirs dépendra donc du suivi des fonds par la blockchain, d'éventuelles erreurs des voleurs et du temps nécessaire à Google pour retirer la page frauduleuse.
| Élément | Valeur |
|---|---|
| BTC reçus | 24,04 BTC |
| Équivalent en euros (cours actuel) | ≈ 1,4 M€ |
| Transactions initiales | 80 |
| BTC restants sur l'adresse | ≈ 0,04 BTC |
Que faire pour limiter les risques ?
Sans surprise, la principale faille exploitée ici est humaine : la saisie d'une phrase de récupération sur un site usurpé. Les bonnes pratiques restent indispensables :
- Ne jamais entrer une phrase de récupération sur un site web ; les portefeuilles matériels demandent la phrase uniquement sur l'appareil.
- Vérifier l'URL et privilégier les marque-pages pour les sites sensibles.
- Activer les protections publicitaires et signaler les annonces suspectes à la régie concernée.
- Appliquer rapidement les mises à jour fournies par BTCPay Server et autres outils d'infrastructure.
En l'état, il reste à déterminer combien d'opérateurs de BTCPay Server ont installé la mise à jour à temps et quelle portion des pertes est directement liée à l'exploitation de la faille versus le phishing via la page contrefaite. Les autorités et les acteurs privés doivent aussi évaluer la responsabilité des plateformes publicitaires dans la diffusion de ces annonces malveillantes.
En conclusion : cette affaire rappelle que la sécurité des cryptomonnaies repose autant sur des composants techniques solides que sur la vigilance des utilisateurs et la fiabilité des canaux d'information. Les montants impliqués et la méthode employée montrent que, malgré les leçons passées, les attaques combinées d'ingénierie sociale et d'abus des services en ligne restent efficaces et coûteuses.
