Paolo Ardoino nie la fuite de données de Bitfinex

Paolo Ardoino, directeur technique de Bitfinex, a exprimé son scepticisme quant aux informations faisant état d'une éventuelle fuite de données utilisateur de l'échange de crypto-monnaie.

Tout le monde panique face à une potentielle violation de la base de données sur Bitfinex.
Tldr : cela semble faux.

Les pirates présumés ont publié 2 mégaliens avec des exemples de données contenant 22,5 000 enregistrements d'e-mails et de mots de passe.
— nous ne stockons pas les mots de passe en clair, ni les secrets 2FA en texte clair.
— seulement 5 000 sur 22,5 000…

– Paolo Ardoino 🍐 (@paoloardoino) 4 mai 2024

Le 26 avril, des pirates informatiques de FSOCIETY ont annoncé avoir piraté Bitfinex et obtenu 2,5 To d'informations et de données personnelles de 400 000 utilisateurs. Ils ont exigé un « montant important » d’ici une semaine pour éviter une « fuite catastrophique » de ces données.

«Les pirates présumés ont publié deux liens avec des exemples de données contenant 22 500 enregistrements d'e-mails et de mots de passe. Nous ne stockons pas les mots de passe ou 2FA en texte clair. Seules 5 000 des 22 500 adresses e-mail correspondent aux utilisateurs de Bitfinex. Si cela fait partie de notre base de données, nous nous attendons à une correspondance à 100 % », a écrit Ardoino.

Selon lui, les pirates informatiques présumés n'ont pas contacté la bourse pour demander une rançon.

« Les pirates ont compilé une base de données d’e-mails et de mots de passe, probablement issus de divers hacks cryptographiques. Malheureusement, la plupart des utilisateurs utilisent les mêmes adresses e-mail et mots de passe sur plusieurs sites. Nous effectuons une analyse approfondie de nos systèmes et actuellement aucune fuite n’a été détectée », a ajouté le CTO de Bitfinex.

Ardoino a également partagé un message d'un chercheur anonyme en cybersécurité qui affirme que c'est ainsi que des pirates présumés font la publicité d'un outil de piratage.

Voici un message d'un chercheur en sécurité (qui, au lieu de paniquer, essaie d'approfondir un peu la question).

« Je crois que je commence à comprendre ce qui se passe et pourquoi ils envoient ces messages prétendant que vous avez été piraté.
Le message dans la capture d'écran du ticket provenait d'un… pic.twitter.com/YjwG2eeXw2

– Paolo Ardoino 🍐 (@paoloardoino) 4 mai 2024

« Créer un battage médiatique sur le piratage réussi d'entreprises bien connues fait la promotion de la qualité de leur outil, ce qui incite d'autres à l'acheter et à gagner des millions de dollars en piratant des entreprises avec », a expliqué le spécialiste.

Le CTO Bitfinex doutait que les pirates informatiques qui ont piraté l'échange de crypto-monnaie vendent des instruments pour 299 $. Il a également demandé au public :

« Si quelqu'un collecte une base de données de 100 000 adresses e-mail appartenant clairement à des personnes du secteur de la cryptographie (collectées lors de précédents piratages cryptographiques), quelle est la probabilité que 20 % d'entre elles soient des adresses e-mail valides sur certains échanges cryptographiques ? »

Question pour la communauté CT : si quelqu'un compile une base de données de 100 000 e-mails appartenant clairement à des personnes crypto (collectés lors de tous les hacks crypto précédents), quelle est la probabilité que 20 % d'entre eux soient des e-mails valides sur un échange crypto ?

– Paolo Ardoino 🍐 (@paoloardoino) 4 mai 2024

Rappelons qu'à la suite d'un piratage en août 2016, Bitfinex a perdu près de 120 000 BTC (71,8 millions de dollars au taux de change de l'époque, plus de 7,6 milliards de dollars au prix actuel) et a suspendu ses opérations pendant un certain temps.

Au 1er février 2022, 94 643 BTC sont entrés en circulation. Le même mois, les autorités américaines ont arrêté Ilya Lichtenstein, 34 ans, et Heather Morgan, 31 ans, pour blanchiment de 119 754 BTC volés à Bitfinex. En août 2023, ils ont plaidé coupable.