Un incident de sécurité datant de 2023 vient de refaire surface et place la célèbre plateforme d'échange de cryptomonnaies Crypto.com dans une position délicate. L'affaire a éclaté suite à un article de Bloomberg, relayé par le célèbre enquêteur blockchain ZachXBT, accusant l'entreprise d'avoir couvert une brèche de sécurité. La réaction ne s'est pas fait attendre, le PDG Kris Marszalek montant au créneau pour dénoncer ce qu'il qualifie de « désinformation ».
L'origine de la polémique
Tout part du procès d'un jeune cybercriminel américain, Noah Urban, membre du groupe de hackers Scattered Spider. Au cours des audiences, il a été révélé que le collectif avait réussi à pirater le compte d'un employé de Crypto.com début 2023 via une technique de phishing. Cette intrusion, jusqu'alors inconnue du grand public, a permis aux pirates d'accéder à certaines informations. C'est l'enquêteur ZachXBT qui a mis le feu aux poudres en partageant l'information sur le réseau social X, estimant que Crypto.com avait « couvert une faille ».
Crédits : Cryptoast
La défense de Crypto.com
Face à la controverse naissante, le PDG de l'entreprise a rapidement pris la parole pour démentir tout manquement. Kris Marszalek a affirmé que l'incident avait bien été signalé aux autorités compétentes, conformément à la loi. « Toute suggestion selon laquelle nous n’aurions pas signalé ou divulgué un incident de sécurité est totalement infondée », a-t-il martelé. Un porte-parole de la société a précisé les faits :
- Il s'agissait d'une campagne de phishing ciblant un seul employé.
- L'incident a été maîtrisé en quelques heures.
- Aucun fonds client n'a été affecté ou mis en danger.
- Seules des « informations personnelles partielles et limitées » d'un « très petit nombre » d'utilisateurs ont été concernées.
Divulgation légale contre transparence publique
Le cœur du problème réside dans la communication de la plateforme. Si Crypto.com affirme avoir respecté ses obligations légales en informant les régulateurs, comme le Nationwide Multistate Licensing System (NMLS) aux États-Unis, la société n'a jamais communiqué publiquement sur cet incident. Cette absence de transparence est vivement critiquée par certains observateurs, qui estiment que les utilisateurs auraient dû être informés. On ignore d'ailleurs toujours si les quelques clients affectés par la fuite de données ont été prévenus directement.
Un air de déjà-vu pour la plateforme
Cette affaire ravive de mauvais souvenirs pour les utilisateurs de Crypto.com. La plateforme n'en est pas à son premier incident de sécurité. En 2022, un piratage d'une tout autre ampleur avait permis à des voleurs de dérober l'équivalent de 29 millions d'euros en cryptomonnaies. Les pirates avaient alors réussi à contourner le système d'authentification à deux facteurs, mettant en évidence des failles bien plus critiques. Ce précédent rend la communauté crypto particulièrement sensible à toute nouvelle question touchant à la sécurité de ses actifs.