Un communiqué de presse destiné à mettre en avant une victoire dans la lutte contre la fraude fiscale a au contraire exposé des millions de dollars en cryptomonnaies confisquées.
Le National Tax Service (NTS) sud-coréen a révélé par inadvertance la phrase mnémotechnique d’un portefeuille matériel Ledger saisi, permettant à un acteur inconnu de transférer environ 4,8 millions de dollars d’actifs numériques.
« Le voleur a d’abord déposé une petite quantité d’Ethereum (ETH) dans le portefeuille afin de payer les frais de transaction (frais de gas) nécessaires au retrait des jetons, puis a fait preuve de minutie en retirant 4 millions de jetons PRTG vers son propre portefeuille en trois étapes », a rapporté le South Korean Maeil Business Newspaper.
Comment l’exposition d’une phrase secrète a permis un vol de 4,8 millions de dollars
Les fonds volés s’inscrivaient dans le cadre d’une vaste campagne de lutte contre la fraude visant 124 contribuables fortunés, au cours de laquelle le National Tax Service (NTS) sud-coréen a confisqué des actifs numériques d’une valeur d’environ 8,1 milliards de wons (soit environ 5,6 millions de dollars US).
Pour faire connaître le succès de l’opération, l’administration a publié des photographies du portefeuille matériel Ledger saisi.
Cependant, les images comprenaient également une phrase de récupération mnémotechnique écrite à la main — la clé maîtresse cryptographique qui donne un accès complet à un portefeuille de cryptomonnaies.
Les portefeuilles matériels tels que les appareils Ledger sont conçus pour sécuriser les clés privées hors ligne et les protéger contre les compromissions à distance.
Cependant, leur sécurité dépend en définitive de la confidentialité de la phrase de récupération, généralement une phrase mnémotechnique de 12 ou 24 mots générée lors de la configuration du portefeuille.
Cette phrase constitue la racine de confiance : toute personne qui la possède peut restaurer le portefeuille sur un autre appareil compatible et transférer les fonds sans avoir besoin du portefeuille matériel d’origine, du code PIN ou de l’autorisation du propriétaire.
Dans le cas présent, les images diffusées publiquement auraient exposé cette phrase de récupération.
Peu après la publication du communiqué de presse, les données de la blockchain ont montré que 4 millions de jetons Pre-Retogeum (PRTG) — évalués à environ 4,8 millions de dollars US à l’époque — avaient été transférés du portefeuille saisi vers une nouvelle adresse.
L’analyse des données on-chain a indiqué que l’attaquant avait d’abord déposé une petite quantité d’Ethereum (ETH) pour couvrir les frais de transaction, puis transféré les jetons en trois transactions distinctes. Le communiqué de presse a depuis été retiré du site du NTS.
Le professeur Cho Jae-woo de Hansung University, qui a examiné l’activité des transactions, a comparé cette erreur au fait de « laisser un portefeuille ouvert et de l’annoncer à toute la nation ».
Il a attribué la perte à une mauvaise compréhension de la sécurité des actifs virtuels, en soulignant que les transactions sur la blockchain sont irréversibles une fois confirmées.
Lorsque des identifiants valides — comme une phrase de récupération — sont utilisés pour autoriser un transfert, aucun mécanisme intégré ne permet d’annuler ou de geler le mouvement des fonds, en l’absence d’une coordination complexe avec les plateformes d’échange et les forces de l’ordre.
Renforcer les pratiques de conservation des cryptomonnaies
À mesure que l’adoption des cryptomonnaies progresse, le risque lié à la mauvaise gestion des clés privées et des phrases secrètes augmente lui aussi.
Contrairement aux systèmes financiers traditionnels, aucune autorité centrale ne peut annuler une transaction sur la blockchain effectuée par erreur ou sans autorisation.
Les organisations comme les détenteurs individuels doivent appliquer des contrôles de sécurité rigoureux afin de protéger les actifs numériques et de réduire le risque de pertes irréversibles.
Pour les organisations qui gèrent des actifs en cryptomonnaies
Les organisations qui saisissent, gèrent ou stockent des actifs numériques devraient mettre en place des contrôles techniques et procéduraux à plusieurs niveaux afin de réduire le risque d’exposition des phrases secrètes et les erreurs opérationnelles.
- Traiter les phrases secrètes et les éléments de clés privées comme des identifiants hautement sensibles en imposant des règles strictes de masquage, de vérification des supports et de contrôle des publications avant de diffuser des images ou des documents.
- Adopter des portefeuilles multisignatures, des solutions de conservation institutionnelles ou des mécanismes de partage de secrets afin d’éliminer les points de défaillance uniques dans le contrôle des actifs.
- Stocker les phrases de récupération dans des environnements physiquement sécurisés et soumis à un contrôle d’accès avec des procédures de double contrôle et des journaux d’accès documentés.
- Mettre en place une surveillance en temps réel de la chaîne de blocs et des alertes afin de détecter les transferts non autorisés et de permettre une intervention rapide.
- Exiger une authentification multifacteur résistante à l’hameçonnage ainsi qu’un accès fondé sur le moindre privilège pour le personnel participant aux opérations de conservation des cryptomonnaies.
- Valider en continu les procédures de conservation et tester les plans de réponse aux incidents au moyen d’exercices sur table simulant des scénarios d’exposition d’une phrase secrète et de migration d’urgence d’un portefeuille.
Pour les détenteurs individuels de cryptomonnaies
Les propriétaires de portefeuilles individuels devraient appliquer des pratiques de sécurité simples mais rigoureuses afin d’éviter la perte irréversible de leurs fonds.
- Ne jamais photographier, numériser, envoyer par e-mail ou stocker des phrases secrètes dans un stockage cloud ou des applications de messagerie.
- Stocker les phrases de récupération hors ligne dans un lieu physique sécurisé et envisager l’utilisation d’une phrase secrète facultative pour une protection supplémentaire.
- Transférer immédiatement les fonds vers un portefeuille nouvellement généré si une phrase secrète est exposée, car modifier le code PIN ou le mot de passe ne remédie pas à la compromission.
- Éviter de stocker des avoirs importants sur un seul appareil ou dans un seul emplacement et envisager des configurations multisignatures pour les soldes plus élevés.
Comme les transactions sur la blockchain ne peuvent pas être annulées, une gestion rigoureuse des clés et des contrôles à plusieurs niveaux sont indispensables pour protéger les actifs en cryptomonnaies contre les pertes irréversibles.
L’incident du NTS montre que, dans les opérations liées aux cryptomonnaies, la sécurité dépend autant des processus que de la technologie.
Les portefeuilles matériels offrent une solide protection, mais celle-ci devient inopérante si les phrases de récupération sont exposées.
Cette réalité incite les organisations à adopter des principes de confiance zéro qui partent du principe qu’une exposition est possible et imposent une vérification continue ainsi que des contrôles d’accès stricts autour des actifs sensibles.