Crypto hacks : le top 8 des plateformes de change piratées en 2019

Alors que les plateformes d’échange de cryptomonnaies ont été piratées pour une valeur de 1,7 milliard de dollars en 2018, 2019 aura été également une année riche en hacks. Voici un top 8 des crypto exchanges hackés en 2019 !

1) QuadrigaCX (Canada) : entre 162 et 190 millions de dollars début 2019

Faits : en décembre 2018, on apprenait la mystérieuse disparition de Gerald Cotten, CEO de QuadrigaCX, le plus important crypto exchange canadien en termes de volume. Début février 2019, on apprenait finalement la mort de Gerald Cotten en décembre 2018 en Inde, des suites de complications liées à la maladie de Crohn. Problème : seul lui connaissait les clés privées pour accéder aux cold wallets où était stockée la grande majorité des cryptomonnaies appartenant aux utilisateurs de la plateforme.

Conséquences : un rapport du cabinet E&Y nous apprendra que Gerald Cotten se serait servi des crypto-actifs des clients de QuadrigaCX pour faire du trading (en les transférant vers d’autres crypto exchanges) : entre 2016 et 2019, 9 450 bitcoins (BTC), 387 738 ethers (ETH) et 239 020 litecoins (LTC) auraient été sortis de QuadrigaCX par son CEO. Selon le rapport d’E&Y, QuadrigaCX doit un total de 162.7 millions de dollars à ses utilisateurs (106.5 millions de dollars en crypto-actifs, et 56.2 millions de dollars en monnaies fiduciaires).

Sources : voici ces articles 1 et 2 du Journal du Coin pour en savoir plus sur les multiples rebondissements de l’affaire QuadrigaCX, ainsi que le rapport d’Ernst & Young.

2) UPbit (Corée du Sud) : 50 millions de dollars en novembre 2019

Faits : le 27 novembre, le plus important crypto-exchange sud coréen UPBit annonçait le vol de 342,000 ethers (soit une valeur d’environ 50 millions de dollars au moment du hack) depuis son hot wallet.

Conséquences : UPBit a tout de suite annoncé que la plateforme couvrirait la totalité des pertes de ses utilisateurs suite à ce hack.

Source : voici un article de Cointelegraph pour en savoir plus sur le hack d’UPBit.

3) Binance (Hong Kong) : 42 millions de dollars en mai 2019

Faits : le 7 mai 2019, la plus grosse plateforme d’échange de cryptomonnaies au monde, Binance, s’est faite pirater 7,000 BTC (soit plus de 40 millions USD au cours du moment qui était à 5,700$). Le hack concernait uniquement les bitcoins stockés sur les hot wallets de Binance, ces 7,000 BTC représentaient 2% du montant total en BTC détenu par le crypto exchange le plus utilisé au monde au moment du hack. Aucun lien (a priori) avec cette histoire, mais début août 2019, Binance étudiait une possible fuite de données KYC (données sensibles de ses utilisateurs) suite à une rumeur circulant sur un groupe Telegram.

Conséquences : Binance, qui a réalisé un bénéfice de 78 millions de dollars au premier trimestre 2019, a simplement indemnisé tous ses utilisateurs.

Source : voici un article du Journal du Coin pour en savoir plus sur le hack de Binance.

Bitpoint (Japon) : 28 millions de dollars en juillet 2019

Faits : le 12 juillet 2019, Bitpoint, crypto exchange japonais, annonçait une « une sortie non autorisée de monnaie numérique » depuis ses hot wallets. Les cryptos concernées ? 1 125  BTC, 11 169 ETH, 5108 LTC, 1 985 BCH et 28 106 363 XRP. En 2018, un autre crypto exchange japonais, Coincheck, avait été hacké pour un montant total de 400 millions de dollars.

Conséquences : un hack d’une valeur de 3,02 milliards de yens pour Bitpoint, soit environ 28 millions de dollars. RemixPoint (propriétaire du crypto exchange Bitpoint) a assuré au moment des faits faire son possible pour dédommager au plus vite les utilisateurs touchés par le hack : une partie des fonds appartenait aux utilisateurs et une autre partie à la plateforme elle-même. Pour cela, RemixPoint travaillerait en collaboration avec un consortium d’auto-régulation constitué de 16 crypto-exchanges japonais (la Japan Virtual Currency Exchange Association), affaire à suivre.

Sources : voici un article de The Block pour en savoir plus sur le hack de Bitpoint ainsi qu’un communiqué de presse publié par RemixPoint sur les montants réellement volés.

4) Bithumb (Corée du Sud) : 19 millions de dollars en mars 2019

Faits : fin mars 2019, le plus crypto exchange sud coréen Bithumb a été piraté pour un montant total de 19 millions de dollars : 3 millions d’EOS (environ 12.7 millions de dollars au moment des faits) et 20 millions de XRP (environ 6.2 de dollars au moment des faits). Selon les déclarations de Bithumb qui ont suivi ce hack, des “insiders” — autrement dit du personnel de la plateforme — seraient impliqués.

Conséquences : au moment des faits, Bithumb a déclaré que les cryptomonnaies volées appartenaient à la plateforme et non aux utilisateurs, en expliquant que les fonds de ses utilisateurs sont stockées sur des cold wallets. Ce hack n’a donc a priori pas eu d’impact sur les utilisateurs de la plateforme.

Source : voici un article de The Block pour en savoir plus sur le hack de Bithumb.

5) Cryptopia (Nouvelle Zélande) : 16 millions de dollars en janvier 2019

Faits : le dimanche 13 janvier 2019 démarrait le hack du crypto exchange néo-zélandais Cryptopia (où l’on retrouvait des “shitcoins” en tout genre mais pas seulement). Le lundi 14 le trading était suspendu sur la plateforme, puis le mardi 15 la plateforme communiquait enfin sur ce hack. Finalement, le hack des fonds a duré jusqu’au jeudi 17 janvier 2019 ! Au final, 76,000 wallets Ethereum d’utilisateurs ont été ciblés. A priori, le hack n’a pu être stoppé car Cryptopia aurait perdu l’accès aux wallets concernés.

Conséquences : Après avoir réouvert quelques jours en mars, Cryptopia a depuis définitivement fermé ses portes. Cryptopia est en cours de liquidation judiciaire, la perte suite au hack est évaluée à 16 millions de dollars. Les dernières nouvelles concernant la liquidation judiciaire (réalisée par le cabinet Grant Thornton) peuvent être consultées sur le site de Cryptopia. Adam Clark, co-fondateur, a depuis lancé un nouveau crypto-exchange appelé Assetylene.

Sources : voici un rapport détaillé d’Elementus pour en savoir plus sur le hack de Cryptopia. Voici également un article intéressant du Journal du Coin qui relate la vision des fondateurs de Cryptopia sur ce hack, accusant directement leur ex-actionnaire d’en être à l’origine.

6) Gatehub (Slovénie ?? et Royaume-Uni) : 10 millions de dollars en juin 2019

Faits : le 6 juin 2019, la plateforme Gatehub annonçait la perte d’environ de 10 millions de dollars en XRP, le token de Ripple (soit l’équivalent de 23.2 millions de XRP). Le hacker aurait eu accès aux clés privées des wallets des utilsateurs concernés pour leur dérober leurs XRP.

Conséquences : une bonne partie des XRP volés auraient été sortis et blanchis via des crypto exchanges comme Kucoin, Huobi et Changelly ainsi que des services de mixage. Etant donné que Gatehub n’est pas un exchange centralisé classique mais un exchange décentralisé (DEX), la question suivante reste ouverte : il y a-t-il une différence de responsabilité entre être en charge de la custody (garde) des fonds de ses utilisateurs et être en charge de la garde des clés privées des wallets de ses utilisateurs ? Affaire à suivre pour les utilisateurs victimes du hack, on leur souhaite de la patience et du courage.

Sources : voici plusieurs articles pour approfondir le hack de Gatehub : Forbes, Coolwallet et Journal du Coin.

7) DragonEx (Singapour) : 7 millions de dollars en mars 2019

Faits : le 25 mars, DragonEx annonça sur son canal officiel Telegram qu’un hack avait eu lieu la veille, et qu’il concernait une vingtaine de cryptomonnaies dont Bitcoin, Ether, Litecoin, XRP, EOS et Tether. Les fonds transférés par le hacker sur des crypto exchanges comme Huobi et Gate.io ont été bloqués par ces derniers.

Conséquences : dès le communiqué officiel, DragonEx annonçait avoir retrouvé une partie des fonds volés, et espérait retrouver la partie restante. Le crypto exchange annonçait également négocier un plan de compensation et que les crypto-actifs volés seraient convertis en Tether (USDT) ou en Dragon Token (DT), le governance token de DragonEX, selon le choix de ses utilisateurs.

Sources : voici un article de CoinDesk et un autre article de CryptoNews pour en savoir plus sur le hack de DragonEx.

8) Bitrue (Singapour) : 5 millions de dollars en juin 2019

Faits : le 26 juin 2019, le crypto exchange Bitrue a reconnu avoir subi une attaque visant une partie des crypto-actifs stockés sur son hot wallet. Le montant du préjudice s’élève à 5 millions de dollars : 9.3 millions de XRP (Ripple) et 2.5 millions d’ADA (Cardano).

Conséquences : Bitrue a déclaré que les utilisateurs ayant perdu leurs crypto-actifs (ils seraient 90) seraient indemnisés par la plateforme, qui s’est excusée au passage d’avoir initialement communiquée auprès de leurs utilisateurs l’interruption de son service pour des raisons de maintenance.

Source : pour en savoir plus sur le hack de Bitrue, voici un article de Cointelegraph.

Bonus 1: les rumeurs d’exit scam du CEO d’IDAX (Mongolie) en novembre 2019

Faits : le 24 novembre, la plateforme IDAX déclarait se retirer du marché chinois suite au changement de la réglementation vis-à-vis des services relatifs aux cryptomonnaies. Quelques jours plus tard, le CEO est introuvable et la rumeur selon laquelle il aurait emporté avec lui les clés privées des cold wallets n’est pas démentie par la plateforme.

Conséquences : sans CEO à son bord, l’équipe d’IDAX a alors pris la décision de restreindre l’accès aux colds wallets pour assurer la sécurité des fonds de ses utilisateurs. Les dépôts et retraits ont ainsi été bloqués par la plateforme. Un mois après la disparition de son CEO, la plateforme est toujours opérationnelle et les dépôts/retraits semblent de nouveau réalisables, la lumière n’a toujours pas été faite sur cette mystérieuse affaire.

Source : pour en savoir plus sur les rumeurs d’exit scam d’IDAX, voici un article du Journal du Coin.

Bonus 2 : le mystère Coinbene (Singapour) depuis mars 2019

Faits : le 26 mars 2019, Coinbene suspendait les opérations sur sa plateforme pendant une heure, prétextant une maintenance de leurs services. La veille, alors que la plateforme DragonEx venait de se faire pirater, environ 105 millions de dollars en Ethereum et autres cryptomonnaies quittaient les hot wallets de Coinbene vers des DEX (plateformes d’échange décentralisées) et quelques plateformes d’échange centralisées pour être revendus. Coinbene balaya les accusations de hacks (estimés à potentiellement 45 millions de dollars).

Conséquences : plusieurs mois après cet épisode, le mystère reste entier. Coinbene essaie de taire cette histoire tandis qu’une théorie émerge : Coinbene aurait essayé de considérablement faire baisser la valeur du token UDOO, token présent en grande quantité dans les fonds qui ont quitté le hot wallet de la plateforme, et ce afin de pouvoir couvrir ses pertes.

Sources : pour en savoir plus sur le potentiel hack, voici des articles de Cointelegraph, de CryptoGlobe, du Journal du Coin et de The Next Web.

Bonus 3: la fermeture de Liqui (Ukraine) en février 2019

Faits : certains ont d’abord pensé qu’il s’agissait d’un exit scam après que l’exchange Liqui ait soudainement délisté certains crypto-actifs. La plateforme qui a ouvert ses portes en 2016 a finalement annoncé le 28 janvier 2019 que ses utilisateurs avaient 30 jours pour retirer leur crypto-actifs, date après laquelle Liqui fermerait définitivement ses portes. La raison ? Un manque de liquidité et de volume. La plateforme enregistrait un volume d’échange moyen journalier de 3.9 millions de dollars le 30 décembre 2018 avant de dégringoler jour après jour pour finalement atteindre les 180,000 dollars le 12 janvier 2019.

Conséquences : encore une victime du bear market de 2018. A priori, les utilisateurs qui ont retiré leurs fonds à temps (et même ceux qui les ont retiré après ?) n’ont pas rencontré de problème. Cet épisode rappelle le crypto exchange néerlandais Blockport qui, après une STO (Security Token Offering) qui n’avait pas atteint son objectif, avait annoncé en mai 2019 fermer sa plateforme jusqu’à nouvel ordre.

Sources : voici un article de Cointelegraph et un autre article de The Block sur la fermeture de Liqui, ainsi qu’un autre article de Cointelegraph sur la fermeture du crypto exchange hollandais Blockport.

Les plateformes d’échange de cryptomonnaies hackées en 2018 ?

Pour visualiser les principaux hacks de crypto-exchanges qui ont eu lieu en 2018 et avant, vous pouvez visualiser cette infographie réalisée par Ledger :

Infographie disponible sur : https://www.ledger.com/academy/crypto/hacks-timeline/

Si vous avez plus d’informations concernant les hacks cités ou entendu parler d’autres piratages de crypto-exchanges, n’hésitez pas à poster un commentaire !

Et, on ne le répétera jamais assez, conservez vos crypto-actifs en cold storage (je pense notamment à un hardware wallet) lorsque vous ne les tradez pas !

Disclaimer : il est possible que certaines informations de cet article ne soient plus à jour depuis sa publication en décembre 2019.