Plus de 500 portefeuilles Ethereum vidés lors d’une attaque coordonnée, fonds blanchis via ThorChain

Plus de 500 portefeuilles Ethereum, inactifs depuis des années pour beaucoup d’entre eux, ont été vidés lors d’une attaque coordonnée, entraînant environ 800 000 dollars de pertes, tandis que les fonds dérobés ont ensuite été blanchis via le protocole inter-chaînes ThorChain, d’après des enquêteurs on-chain. L’incident se distingue par l’ancienneté des portefeuilles touchés, certains étant restés inactifs jusqu’à sept ans. Les analystes ont noté que l’attaquant ciblait des portefeuilles sans activité récente, ce qui suscite des inquiétudes concernant des vulnérabilités latentes liées à de vieilles pratiques de gestion des clés ou à des identifiants déjà compromis.

Attack Targets Dormant Wallets at Scale

Les données on-chain indiquent qu’un ensemble coordonné d’adresses a vidé systématiquement des fonds provenant de centaines de portefeuilles sur une courte période. Les portefeuilles concernés détenaient de l’ether et d’autres tokens, bien que les soldes individuels aient généralement été modestes.

Les chercheurs ont observé que beaucoup des portefeuilles compromis avaient été créés entre quatre et huit ans auparavant, suggérant que des méthodes de stockage plus anciennes ou des clés privées exposées auraient pu jouer un rôle. Dans certains cas, des utilisateurs touchés ont déclaré n’avoir eu aucune interaction récente avec des applications décentralisées ou des contrats suspects, ce qui renforce l’incertitude sur la manière dont l’accès a été obtenu.

L’attaquant n’a pas entièrement vidé chaque portefeuille, ce qui a conduit les analystes à envisager si l’opération impliquait un ciblage sélectif en fonction de seuils de solde ou de stratégies d’extraction conçues pour éviter la détection.

Unclear Attack Vector

L’un des aspects les plus marquants de l’incident est l’absence de point d’entrée confirmé. Contrairement aux vidages de portefeuilles couramment liés à des liens de phishing ou à des validations malveillantes, cette attaque n’a pas encore été associée à un mécanisme d’exploit spécifique.

Des chercheurs en sécurité ont suggéré plusieurs explications possibles, notamment des clés privées compromises, des vulnérabilités dans des logiciels de portefeuille obsolètes, ou des identifiants exposés lors de brèches de données historiques, qui n’auraient été exploités que récemment.

Le ciblage de portefeuilles dormants intensifie les inquiétudes, car ces adresses sont souvent considérées comme plus sûres en raison de leur absence d’interaction avec des protocoles récents. L’événement remet en question cette hypothèse et met en évidence les risques liés au stockage à long terme sans rotation périodique des clés.

Funds Routed Through ThorChain to Obscure Trail

Après le vol, l’attaquant a fait transiter les fonds via ThorChain, un protocole décentralisé de liquidité inter-chaînes qui permet des échanges d’actifs entre plusieurs blockchains sans intermédiaires centralisés. Les enquêteurs ont indiqué que des portions de l’ether dérobé ont été converties en d’autres actifs afin de compliquer les efforts de traçage. L’utilisation d’une infrastructure inter-chaînes et d’échanges d’actifs est une tactique courante dans les exploits liés au crypto, car elle fragmente les traces des transactions et réduit la traçabilité.

Security Implications and Recommendations

L’incident met en lumière des vulnérabilités persistantes dans les systèmes de self-custody, en particulier pour les portefeuilles créés lors de phases antérieures de l’écosystème crypto. À mesure que l’industrie évolue, les portefeuilles plus anciens peuvent s’appuyer sur des hypothèses de sécurité dépassées ou sur des outils qui ne sont plus considérés comme une bonne pratique.

Des analystes en sécurité ont averti que les portefeuilles dormants peuvent devenir des cibles si les clés privées ont été exposées via une entropie faible, des appareils compromis ou des fuites historiques. Le dernier événement souligne l’importance de mesures de sécurité proactives, notamment le transfert des fonds vers des portefeuilles nouvellement générés et la mise à jour des pratiques de stockage.

Bien que l’impact financier soit relativement limité par rapport aux plus grands exploits DeFi, la nature de l’attaque a attiré une attention significative en raison de sa stratégie de ciblage inhabituelle et de sa cause technique peu claire. Pour les acteurs du marché, l’incident renforce l’importance de l’hygiène des portefeuilles et de la gestion des clés alors que les attaquants continuent de faire évoluer leurs méthodes.

Les enquêteurs continuent d’analyser les schémas de transactions afin de déterminer la cause racine. Une compréhension plus claire de l’exploit pourrait alimenter de futures recommandations en matière de sécurité et aider à prévenir des incidents similaires. L’attaque rappelle que l’inactivité, à elle seule, ne garantit pas la sécurité en crypto, et que même des actifs restés longtemps sans mouvement peuvent devenir des cibles dans un environnement de menaces de plus en plus complexe.