Les défaillances de la sécurité cryptographique exposent les vulnérabilités humaines liées aux failles techniques

Table des matières L'erreur humaine, et non les vulnérabilités du code, a entraîné trois failles majeures de sécurité cryptographique en treize jours en avril 2025. Les incidents ont collectivement entraîné des centaines de millions de dollars de pertes. Chaque cas impliquait une manipulation de personnes plutôt qu’une exploitation de systèmes blockchain. Les analystes affirment que cette tendance révèle une faiblesse structurelle à laquelle l’industrie n’a pas encore remédié. La contrainte majeure en matière de sécurité des actifs numériques n’est plus cryptographique : elle est humaine. Une campagne d'infiltration de six mois a conduit Drift à perdre 285 millions de dollars le 1er avril 2025. Les attaquants se sont fait passer pour des partenaires commerciaux, ont organisé des réunions en personne dans plusieurs pays et ont déposé 1 million de dollars pour renforcer leur crédibilité. Les enquêteurs ont attribué l'opération avec un degré de confiance moyen à UNC4736, un groupe parrainé par l'État nord-coréen. Le même groupe est lié au piratage Bybit de 1,5 milliard de dollars en février 2025. Chainalysis a rapporté que la Corée du Nord a volé 2,02 milliards de dollars de crypto au cours de la seule année 2025. Ce chiffre représente une augmentation de 51 % d’une année sur l’autre, obtenue grâce à une réduction de 74 % des attaques. Le gain d’efficacité est venu d’une tromperie plus raffinée, et non d’outils techniques améliorés. Comme l’a noté le chercheur Shanaka Anslem Perera, la Corée du Nord a cessé d’essayer de briser les mathématiques cryptographiques en 2023. Au lieu de cela, elle a commencé à recruter les personnes assises à côté d’elle. Trois failles de sécurité crypto en treize jours. Tout humain. Aucun technique. Personne ne les connecte. 1er avril : Drift perd 285 millions de dollars. Ce n’est pas un exploit de contrat intelligent. Une campagne d'ingénierie sociale nord-coréenne de six mois. Fausses identités, réunions en personne à travers plusieurs… https://t.co/rv8dqtxDqo pic.twitter.com/DtIeVTrP0i — Shanaka Anslem Perera ⚡ (@shanaka86) 13 avril 2026 CrowdStrike a documenté 304 incidents d'infiltration nord-coréens individuels en 2024. Les campagnes s'accélèrent encore jusqu'en 2025. Kraken a capturé un agent nord-coréen postuler à un emploi interne en mai 2025. L’entreprise a délibérément laissé l’entretien se poursuivre afin d’étudier la tactique utilisée. Cette décision a fourni des renseignements rares sur la façon dont ces opérations sont structurées de l’intérieur. Le 11 avril, le musicien G. Love – légalement Garrett Dutton – a acheté un nouveau MacBook Neo et a recherché Ledger Live sur l'App Store d'Apple. Il a téléchargé un clone qui avait réussi à la fois les analyses automatisées et l'examen manuel. Un faux écran d’erreur l’a incité à saisir sa phrase de départ de 24 mots. En quelques minutes, 5,92 Bitcoins, d’une valeur d’environ 424 000 $, ont disparu. ZachXBT a retracé neuf transactions jusqu'aux adresses de dépôt KuCoin. KuCoin a perdu sa licence EU MiCA en février 2025, ce qui soulève de nouvelles inquiétudes quant aux lacunes en matière de surveillance dans le secteur. L'application a contourné plusieurs couches de sécurité de la plateforme sans exploiter aucun défaut technique. Il reposait entièrement sur une interface convaincante et un utilisateur placé sous pression artificielle. La phrase de départ, une fois saisie, donnait aux attaquants un accès complet et irréversible. Ce type d'attaque ne nécessite aucun code sophistiqué. Cela ne nécessite qu’une réplique crédible et un moment de confiance de l’utilisateur. Le processus d’examen de l’App Store d’Apple, largement considéré comme rigoureux, n’a pas suffi à l’attraper. Le 13 avril, le chef de la sécurité de Kraken a révélé que deux membres du personnel de soutien avaient été recrutés par un groupe criminel. Environ 2 000 comptes clients ont été consultés, ce qui représente 0,02 % du total des utilisateurs. Aucun fonds n'a été volé et aucun système n'a été techniquement piraté. Les criminels ont enregistré des vidéos de panneaux de support internes. Ils utilisent désormais ces images à des fins d’extorsion. Kraken a refusé de payer. L’accès n’a pas été obtenu via un exploit zero-day, mais via une offre d’emploi sur le darknet. Checkpoint Research et ZeroFox ont documenté le tarif en vigueur pour un tel accès fin 2025. Les informations d'identification ou l'accès au panneau sur Coinbase, Binance, Kraken ou Gemini étaient disponibles pour 3 000 $ à 15 000 $, payés en crypto. Ce prix est inférieur à un mois de loyer à San Francisco. L’industrie de la cryptographie a consacré quinze ans et des centaines de milliards à construire une infrastructure techniquement solide. SHA-256 reste ininterrompu. Les signatures des courbes elliptiques restent intactes. Pourtant, en treize jours, les points d’accès humains ont tout contourné. Plus l’industrie renforce ses systèmes techniques, plus le contournement humain devient bon marché en comparaison.