Le PDG de CoinDCX attribue l’exploit de 44 millions de dollars à une « violation du serveur » ; l’entreprise indienne couvrira les pertes

Un an après qu'un piratage de 230 millions de dollars ait mis hors service la bourse de cryptomonnaies indienne WazirX, une autre bourse indienne de premier plan, CoinDCX, a perdu environ 44 millions de dollars dans un important piratage.

L'attaque a eu lieu tôt samedi matin en Inde et a été identifiée pour la première fois par le détective de la blockchain ZachXBT environ 17 heures après son début. ZachXBT a signalé la violation à ses abonnés après avoir identifié manuellement le portefeuille affecté comme appartenant à CoinDCX. "L'adresse de l'attaquant a été financée avec 1 ETH provenant de Tornado Cash et a ensuite transféré une partie des fonds volés de Solana à Ethereum", a écrit ZachXBT.

Dans les 10 minutes suivant la publication de ZachXBT, le PDG de CoinDCX, Sumit Gupta, a confirmé le piratage dans une publication sur X, imputant la faute à une "violation sophistiquée du serveur" qui a compromis un compte utilisé pour l'approvisionnement en liquidités sur une bourse partenaire. Aucun fonds de client n'a été affecté, a déclaré Gupta, s'engageant à ce que la bourse couvre la perte sur ses propres réserves de trésorerie.

"Nous collaborons avec le partenaire de la bourse pour bloquer et récupérer les actifs, notamment en mettant bientôt en place un programme de primes aux bogues", a écrit Gupta. "Je confirme que les portefeuilles CoinDCX utilisés pour stocker les actifs des clients ne sont pas affectés et sont totalement sûrs."

L'attaque est survenue environ un an après qu'un piratage massif de 230 millions de dollars ait mis hors service WazirX, autrefois la plus grande bourse de cryptomonnaies d'Inde, le 18 juillet 2024. La bourse a cessé ses activités après le piratage et, le mois dernier, un tribunal de Singapour a rejeté son plan de restructuration proposé. Les enquêteurs en chaîne ont finalement désigné le Lazarus Group, parrainé par l'État nord-coréen, comme responsable de l'attaque ; on ne sait pas actuellement si le même groupe est à l'origine du piratage de CoinDCX.

CoinDCX est devenue la première licorne crypto d'Inde en 2021 après avoir levé 90 millions de dollars à une valorisation de 1,1 milliard de dollars ; l'année suivante, elle a levé 135 millions de dollars supplémentaires, doublant presque sa valorisation à 2,15 milliards de dollars, a rapporté The Block précédemment. CoinDCX a acquis la plateforme BitOasis basée à Dubaï en juillet 2024, ouvrant la voie à ses plans d'expansion internationale.

CoinDCX a fait l'objet de plaintes de la part de clients dans le passé en raison de sa position restrictive sur les retraits de cryptomonnaies : les utilisateurs ne sont pas autorisés à retirer des cryptomonnaies de la bourse par défaut, mais peuvent se voir accorder cette possibilité après un examen interne par l'équipe de CoinDCX.

"Les retraits de cryptomonnaies ne sont pas activés par défaut car ils peuvent présenter un risque de mouvement illicite de fonds", a écrit Gupta en mai dans le cadre d'une session de questions-réponses sur Reddit. "Cependant, nous activons cette fonctionnalité pour les utilisateurs qui répondent à notre évaluation interne des risques et à nos critères de diligence raisonnable renforcée, conformément à notre politique de risque."

Interrogé sur le piratage de WazirX sur Reddit, Gupta s'est dit convaincu qu'un incident similaire ne se produirait pas chez CoinDCX. Gupta a souligné le "cadre robuste et multicouche de CoinDCX pour protéger les actifs crypto" avec des fonds répartis sur plusieurs portefeuilles et dépositaires, un fonds mis en place pour indemniser les utilisateurs en cas de violation, les rapports mensuels de preuve de réserves de l'entreprise, ainsi que ses mesures de sécurité et sa conformité réglementaire comme raisons pour lesquelles sa bourse est protégée contre un piratage important.

Le fonds destiné à indemniser les utilisateurs en cas de violation s'élève à environ 7 millions de dollars, selon la publication la plus récente de CoinDCX sur la preuve de réserves. La bourse a déclaré que ses avoirs totaux étaient évalués à 584,2 millions de dollars, avec près de 20 millions d'utilisateurs enregistrés, en juin. [The Block]