En 2025, selon Chainalysis : Crypto Crime Mid Year Update, des chiffres mécontents ont été rapportés concernant le montant volé au cours des 6 premiers mois de l’année – 2,17 milliards de dollars. C’est près de 18 % pire que le pic de 2022, et la plateforme suggère que si cette tendance se poursuit, 2025 devrait atteindre la somme incroyable de 4,3 milliards de dollars. Ces chiffres ne sont que des estimations des transferts illicites identifiés. Imaginez combien il reste encore à intercepter.
Ces statistiques ne visent à effrayer personne ici, mais à soulever des questions de sécurité et quelles sont les meilleures pratiques pour protéger votre entreprise contre le piratage ou les pertes financières.
Sans plus tarder, attachez vos ceintures, nous passons aux dernières menaces de sécurité, tendances, hacks et solutions.
Menaces de sécurité dans les services de cryptographie
Si vous gérez un portefeuille cryptographique, une plateforme d'échange ou une plateforme fintech, vous le savez déjà : la sécurité n'est pas facultative. C'est le fondement de tout : la confiance des utilisateurs, la réputation de la marque et la stabilité financière.
Le paysage des menaces est bruyant et, franchement, il peut sembler un peu accablant avec une nouvelle « catastrophe » faisant la une des journaux chaque semaine. Mais si vous essayez de protéger une plateforme, vous ne pouvez pas être partout à la fois. Vous devez passer outre les superflus et vous concentrer sur les risques qui ont réellement le pouvoir de couler le navire.
Les trois grands : piratage, phishing et vulnérabilités du code
1. Les attaques de piratage sont les plus dévastatrices financièrement, car elles entraînent le plus de pertes de liquidités. Il ne s’agit généralement pas de tentatives aléatoires, mais d’opérations organisées par des professionnels visant à voler les clés privées ou à pénétrer dans les portefeuilles cryptographiques. L'un des piratages cryptographiques les plus célèbres et les plus récents a eu lieu le 21 février 2025. Selon la source, 1,4 milliard de dollars d'ETH ont été volés par des pirates nord-coréens, qui ont utilisé la fuite de clés privées dans le système de portefeuille chaud de la plateforme ByBit.
2. Les pirates aiment aussi le phishing car il est plus facile de tromper un humain que de pirater un serveur. Ils utilisent de faux messages pour s'attaquer à vos émotions, en espérant que vous serez négligent et que vous leur donnerez simplement ce qu'ils veulent. Et le fait effrayant ? Au premier semestre 2025, un total de 344 incidents ont causé 2,47 milliards de dollars de pertes. Les organisations illégales deviennent de jour en jour plus intelligentes, créant des répliques parfaites des sites d’échange légitimes. Un mauvais clic et vos informations sensibles ou pire encore, vos clés privées sont compromises.
Une fois, l'équipe ChangeNOW a réussi à intercepter près de 100 000 $ en BTC, après que des pirates ont utilisé des techniques d'ingénierie sociale contre un homme d'affaires prospère qui est tombé dans le piège des escrocs. L’équipe a agi rapidement et de manière proactive, en lançant une enquête interne et en traquant un portefeuille blockchain suspect contenant le BTC volé. L'histoire s'est terminée sur une issue heureuse : le client a récupéré ses fonds. Il faut cependant être réaliste : si les plateformes font tout ce qui est en leur pouvoir pour protéger et aider leurs clients, votre sécurité est une responsabilité partagée. La dernière ligne de défense est toujours de votre côté.
3. Les vulnérabilités du code sont des tueurs silencieux, l'épine dorsale de DeFi – les contrats intelligents, peuvent contenir des bugs que les pirates informatiques n'hésiteraient pas à exploiter. Des millions de personnes peuvent être retirées des plateformes, et l’immuabilité de la blockchain signifie qu’une fois les fonds volés, ils disparaissent définitivement.
Meilleures pratiques de sécurité pour les services cryptographiques
La sécurité n’est pas un heureux hasard. De nombreuses entreprises sont tenues de sécuriser leurs actifs ainsi que leurs utilisateurs pour rester conformes et avoir une réputation sur le marché.
Authentification multifacteur : votre première armure
La plupart d'entre nous sont habitués à cette étape supplémentaire après la saisie d'un mot de passe : le code SMS, le message « oui », la notification push. Il est facile de considérer la 2FA comme une nuisance, mais dans le climat actuel, l’ignorer revient à laisser la porte d’entrée grande ouverte. Lorsqu'il s'agit de contrôle d'accès, il n'y a rien de tel que d'être « trop préparé ».
Cela dit, tous les 2FA ne sont pas égaux. Les codes basés sur SMS sont un bon début, mais ils ont un énorme angle mort : l'échange de carte SIM. Il est étonnamment facile pour un pirate informatique motivé de convaincre un opérateur téléphonique de transférer votre numéro sur son appareil. Pour vraiment verrouiller les choses, vous devez opter pour une sécurité matérielle comme YubiKey ou au moins des authentificateurs basés sur des applications comme Google Authenticator.
Mots de passe forts et politiques de mots de passe
Cela semble basique, mais c’est là que commencent de nombreuses violations. Les mots de passe forts doivent être :
- Unique à chaque compte (ne réutilisez jamais les mots de passe)
- Au moins 12 à 16 caractères
- Un mélange de majuscules, minuscules, chiffres et symboles
- Non basé sur des informations personnelles
Exemple de mot de passe fort : X4jW%)-9!767@T3]
Un conseil de pro ici : utilisez un gestionnaire de mots de passe. Générez et stockez des mots de passe uniques et forts en un seul endroit. Assurez-vous simplement de protéger votre gestionnaire de mots de passe avec un 2FA fort.
Chiffrement : rendez vos données volées inutiles
N'hésitez pas à utiliser la technologie de cryptage pour transformer vos données sensibles en charabia, au cas où des pirates trouveraient un moyen de déjouer vos mesures de sécurité mentionnées ci-dessus. Vous pouvez tout chiffrer, et nous vous recommandons particulièrement de chiffrer vos informations personnelles et votre clé lorsque vous les envoyez ou les conservez quelque part. Cette couche de protection supplémentaire protégera vos données, rendant presque impossible aux intrus d'exploiter les données volées et cryptées.
Mises à jour et correctifs
Les logiciels et les cryptomonnaies disposent d’une base de code, ce qui signifie que les pirates informatiques peuvent trouver des failles et des violations à leur profit. Les développeurs publient de nouvelles mises à jour non pas pour s'amuser, mais pour corriger des problèmes de sécurité et empêcher les criminels de s'introduire.
Créez-vous une routine :
- Déployez immédiatement les correctifs de sécurité critiques
- Tester les mises à jour dans un environnement intermédiaire avant le déploiement en production
- Maintenir un inventaire de tous les logiciels et dépendances
- Configurer des alertes automatisées pour les nouvelles vulnérabilités
Protocoles de transfert de données sécurisés : déplacez vos données en toute sécurité
Lorsqu'il s'agit de déplacer des données, arrêtez de traiter le Wi-Fi public comme s'il était sûr. Se connecter à un service de cryptographie dans un café sans VPN constitue un risque de sécurité critique. Tenez-vous-en au HTTPS, utilisez le cryptage de bout en bout pour toutes les interactions sensibles et gardez à l’esprit que tout réseau non sécurisé est surveillé par quelqu’un que vous ne souhaitez peut-être pas rencontrer.
Solutions de sécurité pour protéger la cryptographie
Lorsqu’il s’agit d’une véritable sécurité dans le monde de la cryptographie, vous avez besoin de plus que de simples pratiques de base : vous avez besoin d’une protection sérieuse.
Modules de sécurité matérielle : les clés de Fort Knox
Les HSM sont la vraie affaire : des dispositifs physiques qui gardent vos clés privées verrouillées en toute sécurité dans un environnement sécurisé et inviolable. Ils constituent votre coffre-fort personnel pour vos clés les plus importantes.
L'importance des HSM ne peut être surestimée : vos clés privées sont ce qui assure la sécurité de vos fonds, et si quelqu'un met la main dessus, vous êtes en grande difficulté. Les HSM garantissent que vos clés restent en sécurité, même lorsqu'elles sont utilisées. Et c’est particulièrement important pour les grandes bourses et les dépositaires qui gèrent de l’argent à grande échelle.
Gestion des identités et des accès : ne laissez pas la porte s'ouvrir
Les systèmes IAM surveillent de près qui fait quoi dans votre organisation. Ils veillent à ce que les employés obtiennent uniquement l'accès dont ils ont besoin, et pas beaucoup plus.
Voici donc ce que vous pouvez attendre des systèmes IAM :
- Autorisations basées sur les rôles : assurez-vous que les bonnes personnes obtiennent le bon accès en fonction du travail qu'elles effectuent
- Une seule connexion pour les gouverner tous : plus besoin de jongler avec plusieurs mots de passe : un seul ensemble d'informations d'identification vous permet d'accéder à tous les systèmes dont vous avez besoin.
- Une trace écrite : gardez une trace étroite de chaque connexion et action à des fins d'audit
- Verrouillez les détails : coupez automatiquement l'accès lorsque les employés partent
C'est une affaire sérieuse : si un pirate informatique s'empare de vos clés ou de vos mots de passe, il s'en donnera à cœur joie. Ils peuvent facilement voler votre crypto s’ils obtiennent l’accès dont ils ont besoin.
Systèmes de détection et de prévention des intrusions : les caméras de sécurité qui verrouillent les portes
Ces systèmes surveillent le trafic réseau comme un faucon, repérant les activités suspectes et bloquant les menaces en temps réel. Ils sont comme des caméras de sécurité, mais avec quelques astuces supplémentaires dans leur sac : ils peuvent même verrouiller automatiquement votre réseau s'ils détectent quelque chose de louche.
Les meilleurs systèmes IDS/IPS utilisent l'apprentissage automatique pour déterminer ce qui est normal et ce qui ne l'est pas, détectant ainsi les menaces que les humains pourraient ignorer. Ils sont à l'affût de tout, des emplacements de connexion douteux aux minuscules changements dans les transactions qui pourraient être le signe d'un piratage de compte.
ChangeNOW : la sécurité en pratique
La théorie est une chose. La mise en œuvre en est une autre. ChangeNOW montre comment ces principes fonctionnent dans le monde réel.
En tant qu'échange non dépositaire, ChangeNOW ne détient jamais les fonds des utilisateurs. En restant non dépositaires, ils ont essentiellement supprimé la « cible » de leur dos : il n'y a pas de coffre-fort central que les pirates peuvent cibler car ils ne détiennent jamais vos fonds. Vos actifs circulent rapidement, ce qui réduit au minimum l’exposition.
Mais il ne s’agit pas seulement de protéger l’utilisateur final ; c'est aussi une énorme victoire pour les partenaires. D'un point de vue B2B, cette configuration change la donne car elle :
- Réduit le risque de contrepartie : Vous n'avez pas à craindre que l'échange lui-même soit épuisé ou compromis.
- Garantit une exécution prévisible : Moins d'événements « cygne noir » signifient que vos intégrations fonctionnent réellement lorsque vous en avez besoin.
- Permet de réduire le nombre d'escalades d'incidents : Votre équipe d'assistance ne sera pas inondée de tickets « où sont mes fonds » en raison de violations à l'échelle de la plateforme.
Non-dépositaire ne signifie pas « ne pas intervenir » : il s'agit d'un choix architectural conscient visant à donner la priorité à la sécurité.
Assistance 24h/24 et 7j/7 : en cas de problème, qu'il s'agisse d'une transaction bloquée ou d'une activité suspecte, les utilisateurs ont immédiatement besoin d'aide. L'équipe d'assistance de ChangeNOW 24 heures sur 24 agit comme un filet de sécurité, fournissant à la fois une assistance technique et une prévention de la fraude.
Sécurité du partenariat : travailler avec les principaux portefeuilles et bourses nécessite la confiance des deux côtés. ChangeNOW aide les partenaires :
- Filtrer les transactions pour détecter toute activité suspecte
- Identifiez et bloquez les fonds illicites
- Répondre aux incidents de sécurité
- Maintenir la conformité aux réglementations en évolution
Surveillance proactive : plutôt que d'attendre que des problèmes surviennent, ChangeNOW surveille activement les menaces et vulnérabilités émergentes. Cela signifie mettre en œuvre les mises à jour de sécurité avant qu’elles ne soient exploitées, et non après.
Les résultats parlent d'eux-mêmes : un fonctionnement cohérent sans incidents de sécurité majeurs dans un secteur en proie à des failles. Cela n’est pas le fruit du hasard : c’est le résultat d’un traitement de la sécurité comme une fonctionnalité essentielle et non comme une réflexion après coup.
L’essentiel : la sécurité est le produit
L’industrie de la cryptographie est actuellement prise dans une lutte acharnée. Nous recevons massivement des fonds institutionnels qui promettent le type de croissance dont nous rêvions auparavant. Mais d’un autre côté, nous sommes confrontés à des syndicats criminels hautement organisés qui passent 24 heures sur 24 et 7 jours sur 7 à chercher une seule fissure dans l’armure.
Quel camp gagne ? Bientôt, nous verrons. L’histoire a tendance à se répéter et des progrès sont réalisés lorsque les leçons sont apprises.
En fin de compte, la sécurité n’est pas une liste de contrôle que vous confiez à un développeur junior. C'est un état d'esprit. Dans cet espace, il n'y a pas de bouton « oups ». Si vous vous trompez de mot de passe ou cliquez sur le mauvais lien dans un DM, votre argent disparaît. Cinq années de travail acharné peuvent disparaître en dix secondes d’inattention. C'est la réalité brutale de l'irréversibilité.
Si vous dirigez une entreprise, arrêtez de traiter la sécurité comme un élément de campagne que vous pouvez supprimer pour économiser quelques dollars. Ce n'est pas un « extra », c'est la base. Si vous n'investissez pas dans des contrôles IAM ou des HSM appropriés, vous construisez simplement une cible très coûteuse à atteindre par quelqu'un d'autre.
Soyons réalistes : ne vous contentez pas de « vérifier » des choses pour cocher une case ou accrocher un certificat au mur. Vous devez réellement tester votre personnel et votre pile dans la nature. Si la sécurité n’est qu’une considération secondaire dans votre budget, vous avez déjà perdu la partie ; vous n'avez tout simplement pas encore ressenti l'impact.
Dans ce secteur, la sécurité est la seule chose qui compte réellement.
Voir l’article original en anglais
