23 ans de cavale, 8 ans de vols de Bitcoin : le botnet Sality enfin démantelé
Une adresse presque identique à la vôtre, à un caractère près. Depuis mercredi, ce tour de passe-passe ne fonctionne plus. Un botnet qui piégeait les utilisateurs crypto depuis huit ans vient d’être démantelé par CrowdStrike et la justice américaine. Son nom, Sality. Son âge, 23 ans, dont huit passés à détourner des adresses Bitcoin et Ethereum copiées dans le presse-papiers de ses victimes. Une méthode d’une simplicité déconcertante, qui explique à elle seule sa longévité.
- Un botnet nommé Sality, actif depuis 23 ans, a été démantelé par CrowdStrike et la justice américaine.
- Sality a utilisé une méthode de clipjacking pour détourner des transactions Bitcoin et Ethereum, accumulant un butin de 150 000 dollars.
Sality piégeait le Bitcoin par un simple copier-coller
Le procédé s’appelle le clipjacking, et son nom de code chez les opérateurs de Sality était EggJagger. Son principe tient en trois mots : surveiller le presse-papiers de la machine infectée, repérer tout ce qui ressemble à une adresse Bitcoin ou Ethereum, puis la remplacer discrètement par celle de l’attaquant, sans qu’aucune fenêtre ni aucune alerte ne vienne trahir la substitution.
Personne ne tape une adresse crypto à la main, tout le monde la copie-colle. C’est précisément cette habitude que le malware exploitait depuis huit ans. CrowdStrike évalue le butin confirmé à au moins 12,1 millions de roubles, environ 150 000 dollars, rien que via ce payload. Les avoirs non dépensés liés aux portefeuilles de Sality avaient culminé bien plus haut, autour de 147 millions de roubles début 2025, un pactole que personne n’est jamais venu réclamer.
Un réseau sans chef, difficile à décapiter
Sality existait depuis 2003, bien avant que le Bitcoin n’existe, et avait survécu à plusieurs vagues de nettoyage sans jamais vraiment disparaître.
Sa botte secrète, aucun serveur central à saisir. Les machines infectées communiquaient directement entre elles, en pair-à-pair, et le malware se propageait tout seul en s’attachant aux fichiers exécutables échangés sur les partages réseau et les clés USB. Pas de commandant à arrêter, pas de siège à perquisitionner, pas même de facture d’hébergement à remonter.
Pour en venir à bout, CrowdStrike et les autorités ont dû empoisonner le réseau et rediriger le trafic vers des sinkholes. L’opération, lancée le 31 août et annoncée formellement le 1er septembre, a mobilisé le DOJ, le FBI, le Defense Criminal Investigative Service américain, ainsi que des polices en Bulgarie, en Hongrie et en Roumanie. Elle a permis d’isoler plus de 15 000 machines infectées réparties sur quatre pays.
Vingt-trois ans de survie, huit ans à détourner du Bitcoin sans jamais se faire remarquer, et il aura fallu une coalition internationale pour l’arrêter. Le clipjacking, lui, continuera de fonctionner sur toutes les autres machines qui n’ont jamais entendu parler de Sality, ni de son démantèlement. Vérifier deux fois l’adresse collée avant de valider une transaction ne coûte rien. Ne pas le faire, en revanche, peut coûter cher.
Gabriel Montaut
Geek, passionné de SEO, de crypto et d'IA. Responsable SEO pour Journal Du Coin et consultant SEO freelance, je suis investi dans la diffusion et la compréhension des innovations tech en général et m’attache particulièrement à rendre l’actualité accessible au plus grand nombre.
