Allium piraté : le fournisseur de données on-chain de Visa et Coinbase révoque toutes ses clés API
Encore un prestataire. Après Amplitude chez Coinbase et la messagerie interne de Bithumb, c’est au tour d’Allium d’admettre une intrusion dans ses systèmes. Ce fournisseur de données blockchain affiche Visa et Coinbase parmi ses références commerciales. Il a coupé son explorer dès le 25 octobre et révoqué l’intégralité des clés API de ses clients. L’entreprise n’avait toujours pas dit ce jeudi 29 octobre au matin quelles données ont été consultées.
Points clés
- Allium a détecté le 25 octobre un accès non autorisé à certains de ses systèmes
- Le fournisseur de données on-chain révoque toutes les clés API et impose un nouveau mot de passe
- Allium ne dit ni quelles données ont été consultées ni combien de clients sont concernés
- C’est le quatrième incident chez un prestataire du secteur crypto en une semaine
Allium : quatre jours de panne et une intrusion dont on ne sait presque rien
Dans la nuit du 25 au 26 octobre, heure de Paris, les utilisateurs de l’Allium Explorer tombent sur un écran de maintenance. L’outil ne reviendra que le mercredi 28 en début d’après-midi. Entre les deux, la page de statut évoque une application « mise hors ligne par précaution » le 26 octobre vers 16h40. Pourtant, pas un mot sur la cause.
L’explication tombe le 28 octobre à 16h dans un billet signé Ethan Chan, cofondateur et directeur général. Allium y reconnaît avoir identifié le 25 octobre « un accès non autorisé à certains systèmes ». Ensuite, la société dit avoir restreint les accès et prévenu directement les clients concernés. Un cabinet de cybersécurité indépendant mène l’enquête, et Allium tait son nom. Allium promet un résumé des conclusions une fois le travail terminé, sans échéance.
Ce que le billet ne dit pas pèse plus lourd que ce qu’il dit. Quelles données ont été consultées ? Y a-t-il eu exfiltration ? Par quelle porte l’attaquant est-il entré ? Combien de clients ont reçu l’e-mail de notification ? Aucune réponse. De plus, personne n’avait revendiqué l’attaque au 29 octobre.
Fondé en 2021, Allium indexe plus de 150 blockchains. Le 23 juin 2026, il a levé 40 millions de dollars en série B, dans un tour mené par Amplify Partners. Par ailleurs, Visa s’appuie sur ses données pour son Onchain Analytics Dashboard. Son site affiche aussi les logos de Coinbase, Standard Chartered, l’Autorité monétaire de Singapour et le Boston Consulting Group. Le média crypto.news y ajoute Stripe. Aucune de ces sociétés n’est désignée comme touchée. Allium ne nomme aucun client, et aucune d’elles n’avait communiqué sur le sujet au 29 octobre.
Clés API révoquées et mots de passe à refaire : la facture pour les clients d’Allium
Le retour de l’explorer et de son API le 28 octobre à 14h (heure de Paris) s’accompagne d’un grand ménage. Selon la page de statut d’Allium, toutes les clés API existantes sont révoquées. Ainsi, chaque client doit en générer une nouvelle dans l’application, ou attendre que son contact commercial lui en transmette une. Allium exige aussi un nouveau mot de passe à la première connexion et recommande l’authentification à deux facteurs. Enfin, l’import de fichiers et l’accès aux données déjà importées restent désactivés. Les requêtes qui s’appuient sur ces tables ne tournent donc plus.
Deux services manquaient encore à l’appel le 28 octobre à 16h. L’assistant Allium, qui transforme une question en langage courant en requête SQL, reste coupé. Le serveur MCP aussi. Ce Model Context Protocol est la prise standardisée par laquelle un agent d’intelligence artificielle interroge les données du fournisseur.
Les entrepôts de données des clients privés de mises à jour
Les flux « datashare » ont également souffert. Ce sont les tables qu’Allium pousse directement dans l’entrepôt de données de ses clients, sur Snowflake, Databricks ou BigQuery. Elles ont cessé de recevoir de nouvelles données le 26 octobre vers 23h. La livraison n’a repris que le lendemain soir. Au 28 octobre, les tables Ethereum, Bitcoin, Solana et Base avaient passé les contrôles de fraîcheur sur Snowflake et Databricks. BigQuery attendait encore. Ce jeudi matin, la page de statut annonce une livraison normale sur les trois plateformes. Le rattrapage des données manquantes continue toutefois sur BigQuery, et Hyperliquid reste en cours de traitement. Or un trader institutionnel ou une équipe conformité calcule ses expositions à partir de ces tables. Pour eux, deux jours de données figées ne sont pas un détail.
Prestataires crypto : la porte dérobée du secteur
Allium ne garde aucun bitcoin, ce qui ne règle rien. En effet, en une semaine, la crypto a enchaîné quatre incidents nés chez un tiers plutôt que sur la plateforme elle-même. Dans la nuit du 27 au 28 octobre, Coinbase a confirmé une fuite de coordonnées de clients via son prestataire d’analyse Amplitude. SlowMist évoque plus de 70 000 contacts. Bithumb a signalé le 27 octobre une intrusion dans la messagerie interne de ses salariés. Le même jour, le courtier séoulite Daishin Securities a reconnu le vol des données de 38 490 clients.
Changpeng Zhao a réagi le 28 octobre au matin. Il a compté quatre fuites en une seule journée et demandé aux utilisateurs d’abandonner l’authentification par SMS. Une clé API de fournisseur de données donne accès à des jeux de données, parfois aux fichiers importés par les clients. Elle ne touche en revanche à aucun wallet. Mais une liste de contacts d’entreprises clientes suffit à monter une campagne de phishing crédible, avec le bon nom et le bon prétexte.
Fuite chez un prestataire : les bons réflexes
Vous travaillez chez un client d’Allium, ou chez une société prévenue cette semaine par un prestataire ? Le scénario à redouter arrive par e-mail. Un message vous invite à « régénérer votre clé » ou à « confirmer votre mot de passe » via un lien. Surtout, ne cliquez pas. Générez plutôt la nouvelle clé depuis l’application elle-même et donnez-lui le périmètre minimal. Remplacez le code SMS par une application d’authentification ou une clé physique. Enfin, vérifiez les journaux d’accès des derniers jours. L’intrusion date du 25 octobre, et personne ne sait encore ce qui a été lu.
Allium promet un résumé public de son enquête, sans date. Le compteur de CertiK affichait 2,81 milliards de dollars volés depuis janvier au 12 octobre, en 693 incidents. Le mois d’octobre en était déjà à 116 millions avant même cette série de fuites de données.
Le Journal Du Coin
Un article de la rédaction. Le Journal du Coin, premier média d’actualités francophone sur la cryptomonnaie, Bitcoin, et les protocoles blockchain.