Ce que l’attaque a réellement contourné
Il vaut la peine d’être précis sur ce cas, car le montant annoncé a occulté le mécanisme. Le portefeuille froid de Bybit n’a pas été forcé au sens où on l’imagine habituellement — personne n’a deviné une clé ni n’en a extrait une d’un dispositif matériel. On a montré une chose aux signataires et ils en ont approuvé une autre.
Cette distinction compte pour quiconque gère une trésorerie. Les dispositifs de multisignature et les portefeuilles matériels reposent tous deux sur une hypothèse rarement mise à l’épreuve : que la transaction affichée pour approbation est bien celle qui sera exécutée. Dès lors que l’interface qui produit cet affichage peut être influencée, le nombre de signataires n’a plus d’importance. Chacun approuve la même représentation trompeuse.
Pourquoi cette catégorie de défaillance revient
La compromission de l’interface de signature est apparue à plusieurs reprises dans les grands incidents de conservation, et elle met en échec des contrôles qui paraissent solides sur le papier. Un matériel de clés stocké hors ligne ne vaut que ce que vaut la chaîne qui construit et affiche ce qui est signé. La vérification indépendante — décoder la charge utile brute sur un appareil distinct, simuler l’appel et confirmer la destination par un canal séparé — est le contrôle qui répond à ce risque, et il est assez coûteux sur le plan opérationnel pour être souvent négligé.
Attribution
Conisec n’attribue pas les attaques sur la base de sa propre analyse. L’attribution présentée ici est celle du FBI, publiée le 26 février 2025 dans un avis public IC3 désignant la Corée du Nord et l’ensemble d’activités que le Bureau appelle TraderTraitor. Cet avis a également publié les adresses détenant les actifs. Lorsque vous voyez une attribution sur Conisec, c’est qu’un organisme officiel l’a formulée, et nous précisons lequel.
Conséquences pour les clients
Bybit a déclaré être restée solvable, avoir couvert le déficit au moyen de ses propres réserves et d’un prêt-relais, et avoir maintenu les retraits pendant l’incident. Conisec rapporte cela comme une déclaration de l’entreprise, car c’est ce dont il s’agit ; la source de référence sur ce qu’a vécu un compte donné reste la communication de Bybit elle-même.
Chronologie
Ajout seulement. Les corrections sont ajoutées sous la forme d'une entrée datée distincte ; les entrées antérieures ne sont jamais réécrites.
- Bybit détecte un mouvement non autorisé d'ETH depuis un portefeuille froid lors d'un transfert de routine et confirme publiquement l'incident. Bybit
- Le FBI attribue publiquement le vol à des acteurs nord-coréens, désignant cette activité sous le nom de « TraderTraitor », et publie les adresses détenant les actifs volés. FBI IC3
Ce qu'il faut vérifier
Lisez l'avis public du FBI IC3 pour l'attribution officielle et la liste d'adresses publiée. La chronologie de l'incident et les mises à jour de statut publiées par Bybit constituent la source de référence sur les conséquences pour les clients.
Conisec n'héberge ni ne relaie d'outils de récupération, de révocation ou de « vérification ». Après un incident public, les attaquants diffusent systématiquement ce type de liens en utilisant les noms des publications qui couvrent l'affaire. Utilisez le canal officiel du projet concerné, indiqué ci-dessus, et rien d'autre.
Sources
- FBI Internet Crime Complaint Center, North Korea Responsible for $1.5 Billion Bybit Hack (PSA 250226) (26 Fév 2025)
- Bybit, Bybit Security Incident: Timeline of Events and FAQs (21 Fév 2025)
Pas un conseil. Ceci est un résumé de faits publiés, et non un conseil juridique, fiscal ou de sécurité. Vérifiez auprès des sources primaires indiquées ci-dessus.
Dernière vérification par Conisec Staff.
