Fuite de données chez GateHub

Les données les plus sensibles dont la présence a été vérifiée dans cette fuite sont les phrases mnémoniques et les clés chiffrées. Une phrase mnémonique peut jouer un rôle essentiel dans la récupération d’un portefeuille; son utilisation incorrecte peut avoir de graves conséquences pour la sécurité des actifs numériques. La présence de clés chiffrées ne signifie pas directement que des clés privées en clair ont été divulguées. Le risque augmente néanmoins lorsque ces données sont associées à un mot de passe faible, à une protection défaillante ou à des identifiants réutilisés sur d’autres systèmes. Une correspondance trouvée ne doit donc pas être considérée comme un risque limité au compte de messagerie.

Le stockage des mots de passe sous forme d’empreintes bcrypt offre une protection plus forte que leur stockage en clair. Néanmoins, si le même mot de passe a été utilisé pour d’autres comptes de cryptomonnaies, de messagerie, de plateformes d’échange, de réseaux sociaux ou de services cloud, des attaquants peuvent tenter de se connecter à différents services en réutilisant ces identifiants. Les adresses e-mail peuvent également servir à des escroqueries prenant la forme de fausses notifications de portefeuille, de demandes de récupération, de mises à jour de sécurité ou d’occasions d’investissement. Dans ce cas, le risque d’ingénierie sociale est particulièrement élevé en raison du contexte financier des données concernées.

Le nombre vérifié pour cette fiche doit rester fixé à 1 408 078. Cette valeur correspond au nombre d’enregistrements contenus dans l’archive de comptes divulguée; il ne faut pas supposer que chaque enregistrement correspond à une personne réelle distincte. Les premières déclarations de l’entreprise évoquaient un périmètre plus restreint, mais un ensemble plus vaste de données de comptes a ensuite été observé en ligne. La reconnaissance de l’incident en juin 2019 et le partage de l’archive en octobre 2019 doivent donc être présentés dans le texte comme deux contextes distincts.

Les catégories de données vérifiées sont les adresses e-mail, les phrases mnémoniques, les clés chiffrées et les mots de passe. Il convient de préciser que le champ du mot de passe contient une empreinte bcrypt. Les clés maîtresses chiffrées, les clés de récupération chiffrées et les phrases mnémoniques sont des données sensibles pour la sécurité des portefeuilles. En revanche, les clés privées en clair, les mots de passe en clair, les comptes bancaires, les cartes de paiement, les numéros de téléphone, les adresses postales ou les données d’identification officielles ne doivent pas être ajoutés à cette fiche sans vérification. Cette limite évite de donner une fausse impression de certitude, sans minimiser le risque.

Le risque est le plus élevé pour les utilisateurs qui réutilisent le mot de passe de leur compte GateHub sur d’autres comptes financiers ou de cryptomonnaies. Comme la messagerie, les mots de passe et les procédures de récupération sont étroitement liés pour les portefeuilles et les comptes de plateformes d’échange, la réutilisation de ces informations offre des possibilités supplémentaires aux attaquants. Si plusieurs services d’actifs numériques sont utilisés avec la même adresse e-mail, les messages d’hameçonnage ciblés peuvent devenir plus convaincants.

Les utilisateurs qui disposent de phrases mnémoniques ou de données de clés chiffrées doivent également faire preuve de prudence. Ces champs ne sont pas de simples informations de profil; ils peuvent être liés à la récupération du portefeuille et à la sécurité des fonds. Même si un ancien compte GateHub n’est plus utilisé, le risque persiste si les mêmes informations de récupération, le même schéma de mot de passe ou la même adresse e-mail sont conservés sur d’autres services. Les détenteurs de cryptoactifs doivent évaluer non seulement la sécurité de la connexion aux comptes, mais aussi la récupération des portefeuilles et les décisions de transfert d’actifs.

Si votre adresse e-mail figure dans ces données, assurez-vous que l’ancien mot de passe de votre compte GateHub n’est plus utilisé sur aucun autre compte. Si vous avez utilisé le même mot de passe, ou un mot de passe similaire, pour des comptes de messagerie, de plateformes d’échange de cryptomonnaies, de portefeuilles, de services cloud ou de réseaux sociaux, remplacez-le immédiatement par un mot de passe long et unique. L’utilisation d’un gestionnaire de mots de passe réduit le risque de réutilisation. Le fait que le mot de passe soit stocké sous forme d’empreinte bcrypt ne rend pas sa réutilisation sûre.

Activez l’authentification multifacteur sur les comptes liés aux cryptoactifs et vérifiez les adresses e-mail de récupération ainsi que les paramètres de sécurité. Si vous soupçonnez que votre phrase mnémonique ou vos informations de récupération de portefeuille ont pu être compromises, évaluez la nécessité de transférer vos fonds vers un nouveau portefeuille sécurisé. Cette démarche doit être effectuée à l’aide d’applications et d’adresses vérifiées, sans précipitation et sans passer par de faux liens. Examinez avec une grande prudence les faux messages d’assistance, les liens de récupération et les offres d’investissement.

L’incident GateHub montre que, dans les services d’actifs numériques, la sécurité des comptes et celle de la récupération des portefeuilles doivent être envisagées ensemble. Utilisez des mots de passe distincts pour vos comptes de cryptomonnaies, de messagerie et de plateformes d’échange, activez l’authentification multifacteur partout où cela est possible et ne stockez pas vos phrases de récupération en ligne. Examinez régulièrement vos anciens portefeuilles et comptes. Fermez les comptes inutilisés ou, à défaut, isolez-les en leur attribuant des informations de sécurité uniques.

Pour les fournisseurs de services, la principale leçon est que les données sensibles liées aux portefeuilles doivent être stockées en limitant au strict minimum les droits d’accès, avec un chiffrement robuste et selon des principes de cloisonnement. Lorsque des données de clés et de récupération, des empreintes de mots de passe et des adresses e-mail peuvent être exposées lors d’un même incident, les conséquences pour les utilisateurs sont plus importantes. Les notifications d’incident doivent distinguer clairement les champs chiffrés des champs en clair et indiquer précisément aux utilisateurs les mesures à envisager pour assurer la sécurité de leurs fonds.

Lors d’une vérification dans les données de la fuite GateHub, le résultat indique si l’adresse e-mail saisie figure dans cet ensemble de données vérifié. Si le résultat est positif, l’adresse e-mail, la phrase mnémonique, les clés chiffrées et l’empreinte bcrypt du mot de passe doivent être considérées comme étant à risque. Si le résultat est négatif, cela signifie qu’aucune correspondance n’a été trouvée dans cet ensemble précis de données; cela ne prouve pas que la personne n’a pas été touchée par d’autres fuites ni qu’elle est totalement à l’abri d’autres risques liés aux portefeuilles.

La bonne démarche consiste à abandonner définitivement l’ancien mot de passe, à modifier les mots de passe réutilisés sur toutes les plateformes, à activer l’authentification multifacteur sur les comptes de messagerie et de cryptomonnaies, à conserver les informations de récupération hors ligne et en lieu sûr, et à évaluer les risques d’accès aux portefeuilles avec une rigueur professionnelle. Méfiez-vous tout particulièrement des messages qui se présentent comme provenant d’équipes d’assistance frauduleuses ou qui proposent des outils de récupération. En raison du contexte financier de cette fiche, une réaction rapide, mais maîtrisée, est nécessaire pour renforcer la sécurité.