BTC-E Fuite de données

Les catégories de données confirmées comprennent les soldes des comptes, les adresses e-mail, les adresses IP, les mots de passe, les noms d’utilisateur et l’activité sur le site. Une adresse e-mail permet d’envoyer des messages ciblés. Un nom d’utilisateur permet de rechercher le même pseudonyme sur d’autres plateformes d’échange, forums ou réseaux sociaux. Les adresses IP peuvent donner des indices sur l’historique des connexions et la localisation régionale approximative. L’activité sur le site peut aider à comprendre comment l’utilisateur se servait de son ancien compte sur la plateforme.

La présence du champ relatif au solde du compte distingue cette fuite de celle d’un simple compte de forum ou de jeu. Les informations sur le solde ne constituent pas nécessairement une preuve directe des actifs détenus aujourd’hui; elles indiquent toutefois clairement à un attaquant que la personne a utilisé un compte de cryptomonnaies par le passé. Lorsque des empreintes de mots de passe et des adresses e-mail sont réunies, des tentatives d’accès fondées sur la réutilisation des mots de passe peuvent avoir lieu. Pour les comptes de cryptomonnaies, la combinaison de mots de passe réutilisés, d’une sécurité insuffisante du compte de messagerie et de l’absence d’authentification à deux facteurs peut exposer l’utilisateur à des risques qui ne se limitent pas à son ancien compte BTC-E, mais concernent aussi ses comptes actuels sur des plateformes d’échange et ceux liés à des portefeuilles.

La date de la fuite indiquée dans cette fiche est le 1er octobre 2014, la date d’ajout confirmée est le 12 mars 2017 et le nombre de comptes concernés est de 568 340. Cette fiche est associée au nom de domaine de BTC-E, et les catégories de données se limitent aux soldes des comptes, aux adresses e-mail, aux adresses IP, aux mots de passe, aux noms d’utilisateur et à l’activité sur le site. Cette description n’affirme pas que des clés privées, des phrases de récupération de portefeuilles, des pièces d’identité officielles, des adresses postales, des numéros de téléphone, des comptes bancaires ou des informations de cartes de paiement ont été exposés; ces champs ne figurent pas parmi les catégories de données confirmées.

BTC-E n’étant plus considérée comme une plateforme d’échange active, les conséquences de cet incident pour les utilisateurs doivent être évaluées au regard des risques que les anciennes données de comptes font peser sur la sécurité des comptes actuels. Une correspondance positive indique que l’utilisateur figure dans ce jeu de données; cela ne signifie pas que son portefeuille est compromis aujourd’hui ni que ses cryptoactifs ont été directement exposés. Le risque réside dans les tentatives d’utilisation des anciennes données de compte sur d’autres services et dans leur exploitation à des fins d’ingénierie sociale.

Les personnes les plus exposées sont celles qui réutilisent l’adresse e-mail ou le mot de passe de leur compte BTC-E sur d’autres services de cryptomonnaies. Les utilisateurs des débuts de Bitcoin, les personnes qui conservent le même nom d’utilisateur sur différentes plateformes d’échange, celles qui utilisent le même pseudonyme sur des forums consacrés aux cryptomonnaies et celles dont les anciennes adresses e-mail sont toujours actives constituent des cibles plus visibles. Le champ relatif au solde du compte peut rendre les messages frauduleux ciblés plus convaincants, car il peut donner l’impression que l’utilisateur a effectué des transactions ou détenu des actifs par le passé.

Pour les personnes ayant investi dans les cryptomonnaies, pratiqué le minage ou l’arbitrage, détenu d’anciens comptes sur des plateformes d’échange ou participé à des forums, le risque ne se limite pas aux tentatives d’utilisation de mots de passe. Des attaquants peuvent envoyer des messages faisant référence à une ancienne inscription sur BTC-E : faux remboursements de soldes, récupération de comptes, vérification de portefeuilles, paiements liés à des procédures judiciaires, réouverture de la plateforme ou notifications de retrait d’actifs. Si vous utilisez la même adresse e-mail sur vos comptes actuels de plateformes d’échange, vous devez examiner ces messages avec une vigilance accrue.

Si une correspondance positive est trouvée, vous devez d’abord sécuriser votre compte de messagerie. Protégez-le avec un mot de passe fort et unique et une authentification multifacteur, puis vérifiez l’adresse de récupération et les sessions ouvertes. Remplacez ensuite tout mot de passe susceptible d’avoir été utilisé à l’époque de BTC-E sur tous les comptes où il a été réutilisé à l’identique ou sous une forme similaire. Cette vérification doit inclure les plateformes d’échange de cryptomonnaies, les services liés à des portefeuilles, les forums, les comptes de réseaux sociaux et les anciens outils d’investissement.

Une vérification par un canal indépendant est nécessaire avant de cliquer sur les liens de messages concernant un solde de compte ou d’anciens relevés boursiers. Les messages demandant des phrases de récupération de portefeuilles, des clés privées, des codes de vérification de plateformes d’échange, des pièces d’identité ou des paiements doivent être considérés comme non fiables. Vous devez également activer les dispositifs de sécurité de vos comptes de cryptomonnaies, tels que les listes d’adresses de retrait autorisées, les notifications de connexion, la gestion des appareils et la validation des transactions. Les comptes partageant un même mot de passe ne peuvent pas être considérés comme sécurisés tant que chacun ne dispose pas de son propre mot de passe.

La protection à long terme des comptes de cryptomonnaies repose sur une adresse e-mail distincte, un mot de passe unique, une authentification multifacteur utilisant un dispositif matériel ou une application, ainsi que des limites de retrait. Même si les anciens comptes sur des plateformes d’échange sont fermés, leurs données peuvent rester dans des listes de cibles. Vous devez dresser l’inventaire des adresses e-mail utilisées sur d’anciennes plateformes d’échange, forums et services de portefeuille, et réserver des adresses et des mots de passe distincts aux comptes sensibles.

L’utilisation d’un gestionnaire de mots de passe et la création d’un mot de passe différent pour chaque compte réduisent le risque lié aux tentatives répétées consécutives à d’anciennes fuites de données de plateformes d’échange. Si vous utilisez des cryptomonnaies, vous devez aussi prendre l’habitude de vérifier systématiquement les messages évoquant des remboursements, des procédures judiciaires, la récupération d’actifs ou la remise en service d’une plateforme d’échange, afin de déjouer les faux messages. Aucun service fiable ne demande une phrase de récupération de portefeuille ou une clé privée. Si les adresses e-mail et les noms d’utilisateur associés à votre ancienne identité BTC-E sont toujours utilisés aujourd’hui, des protections supplémentaires doivent être considérées comme indispensables pour ces comptes.

Un résultat positif pour BTC-E indique que l’adresse e-mail vérifiée a été trouvée dans le jeu de données BTC-E daté du 1er octobre 2014. Ce résultat signifie que des champs tels que le solde du compte, l’adresse IP, le mot de passe, le nom d’utilisateur et l’activité sur le site, ainsi que l’adresse e-mail, peuvent être exposés. Un résultat négatif signifie uniquement qu’aucune correspondance n’a été trouvée dans cette fiche précise; il ne permet pas de conclure que la personne n’a été concernée par aucun autre incident touchant une plateforme d’échange de cryptomonnaies, un forum ou un service de portefeuille.

La démarche à suivre consiste à renforcer la sécurité de votre compte de messagerie, à remplacer l’ancien mot de passe BTC-E sur tous les comptes où il est utilisé, à activer l’authentification multifacteur sur vos comptes actuels de cryptomonnaies, à vérifier les paramètres de sécurité des retraits et des sessions, et à vous méfier des messages faisant référence à BTC-E. Les messages, en particulier ceux qui concernent des remboursements de soldes, la récupération, la vérification et l’ouverture d’anciens comptes, doivent être vérifiés par des canaux indépendants. Les données d’une ancienne plateforme d’échange doivent être prises au sérieux comme un avertissement pour la sécurité de vos comptes actuels.