Des clients de BitMEX exposés suite à un incident de messagerie

Les victimes de cette fuite sont désormais vulnérables aux piratages et aux attaques de phishing ciblées, et la réputation de cette plateforme d'échange déjà controversée en a pris un coup.

23 000 courriels ou plus

BitMEX reconnaît que ses procédures internes ont « défailli », exposant ainsi des milliers d'utilisateurs à des risques pour la confidentialité de leurs données. Dans un article de blog publié lundi, la plateforme explique que son opération d'envoi massif d'e-mails a échoué, ce qui a eu pour conséquence que les adresses électroniques de « la plupart des utilisateurs de BitMEX » ont été exposées via la copie carbone (CC).

On ignore le nombre exact d'adresses électroniques divulguées, mais un lot de 23 000 adresses circule sur Twitter, soit environ le même chiffre que le nombre de traders qui utilisent le site chaque jour, selon la société d'analyse de données Skew.

D'après Larry Cermak, analyste chez The Block, une liste de 30 000 adresses e-mail issues de la fuite est déjà en vente sur le darknet. Son analyse d'une partie de ces adresses révèle que 64 % d'entre elles sont des adresses Gmail, tandis que le service de messagerie chiffrée ProtonMail n'en représente que 3.2 %.

Plusieurs adresses électroniques ont été retracées jusqu'à des résidents américains, qui n'ont absolument pas le droit d'effectuer des transactions sur cette plateforme. Il s'agissait principalement d'adresses .edu appartenant aux universités américaines de NYU, Berkeley et Michigan.

« Le nombre de personnes qui utilisent le format prénom.nom ou des domaines uniques est incroyable », a tweeté Cermak . « À vue d'œil, j'estime qu'environ 70 % des personnes peuvent être victimes de doxxing à partir de leur seul courriel. »

Cette exposition aux courriels signifie que les utilisateurs de BitMEX sont susceptibles de devenir la cible d'escroqueries impliquant des pages d'hameçonnage — qui ressemblent aux pages de connexion de services en ligne populaires mais visent à voler vos données — et des courriels d'hameçonnage ciblés, envoyés par des criminels se faisant passer pour des membres des équipes de support client.

De plus, les adresses électroniques fournissent aux cybercriminels un élément clé du puzzle pour voler une identité en ligne complète.

En comparant les courriels égarés aux listes d'identifiants piratés disponibles sur le darknet, les cybercriminels peuvent potentiellement identifier les mots de passe nécessaires pour obtenir un accès complet aux comptes BitMEX et aux comptes sur d'autres plateformes d'échange de cryptomonnaies où la personne aurait pu utiliser la même adresse électronique.

Plusieurs pirates informatiques affirment comparer les courriels divulgués avec des bases de données existantes de données piratées afin d'alerter les victimes potentielles avant qu'il ne soit trop tard.

« J'ai fait une recherche rapide sur les adresses e-mail de Bitmex dans une de mes bases de données et j'ai trouvé pas mal de résultats », a déclaré l'utilisateur Twitter TheMask . « Pensez-vous que je devrais contacter par e-mail les personnes dont j'ai trouvé les mots de passe ? »

Parallèlement, des groupes de pirates informatiques ciblant BitMEX sont déjà apparus sur Telegram, où des cybercriminels diffusent davantage la fuite et partagent leurs succès dans le vol de bitcoins sur des comptes compromis.

Un autre coup dur pour BitMEX

Quelques heures après l'envoi du courriel erroné de Bitmex, des pirates informatiques ont apparemment pris le contrôle du compte Twitter de BitMEX, envoyant un tweet inquiétant avertissant les utilisateurs de « prendre leurs BTC et de s'enfuir ».

Le tweet, rapidement supprimé, serait les derniers mots du responsable de la communication mécontent à l'origine de l'incident lié aux courriels, ajoutant ainsi une deuxième gaffe publique embarrassante à cet échange.

Dans un communiqué, BitMEX a déclaré avoir identifié « la cause première du problème » et a conseillé aux utilisateurs de se méfier des tentatives d'hameçonnage, de créer des mots de passe forts et uniques et de s'assurer que l'authentification à deux facteurs est activée.

Mais même si cela peut contribuer à protéger les utilisateurs, le mal est déjà fait pour la réputation de BitMEX.

En partageant des données personnelles sans le consentement du client, la plateforme pourrait enfreindre des réglementations telles que le Règlement général sur la protection des données (RGPD) et s'exposer à d'éventuelles poursuites pour violation de la confidentialité.

Un examen plus approfondi de la part des autorités de réglementation ne pouvait guère tomber plus mal pour BitMEX, qui a été placé sous enquête par la Commission américaine du commerce des contrats à terme sur les matières premières (CFTC) en juillet pour avoir prétendument permis à des Américains de négocier sur la plateforme sans licence.

La fuite des adresses électroniques d'utilisateurs américains constitue une preuve accablante pour cette enquête réglementaire en cours et, comme l'ont souligné d'autres commentateurs tels que Dovey Wan , pourrait également aider les autorités gouvernementales, comme le service des impôts, à mener leurs propres enquêtes.

Parallèlement, l'érosion de la confiance envers BitMEX menace sa position dominante sur le marché des produits dérivés crypto. La plateforme Binance Futures, lancée récemment, propose désormais un effet de levier encore plus important que BitMEX (125x), et d'autres concurrents émergents comme ByBit et Deribit continuent d'attirer de plus en plus de traders.