CrowdStrike et les autorités américaines démantèlent un botnet russe utilisé pour voler des cryptomonnaies

Traders Union
Toutes les actualités
Cryptomonnaies
Démanteler le botnet russe

Toutes les actualités

À la une

Sélection de la rédaction

Actions

Cryptomonnaies

Économie

Devises

Matières premières

Business & Wealth

Voix du marché

Hlib Chabaniuk

02.09.2026

CrowdStrike et les autorités américaines démantèlent un botnet russe utilisé pour voler des cryptomonnaies — Botnet russe voleur de cryptomonnaies démantelé après 8 ans.

CrowdStrike, en collaboration avec les forces de l'ordre américaines, a démantelé le botnet Sality lié à la Russie, utilisé pour voler des cryptomonnaies depuis huit ans. Le malware surveillait les adresses de portefeuilles Bitcoin et Ethereum copiées et les remplaçait discrètement par des adresses contrôlées par les attaquants.

Cet article a été traduit de l'original. Lisez la version originale de notre correspondant ici.

Selon un communiqué de presse, Sality existe depuis 2003, mais ses opérateurs ont ensuite ajouté un composant destiné à intercepter les transferts de cryptomonnaies. CrowdStrike a nommé cette partie du malware EggJagger.

L’attaque exploitait la pratique courante des utilisateurs de crypto qui consiste à copier de longues adresses de portefeuilles plutôt que de les saisir manuellement. Une fois l’ordinateur infecté, le malware surveillait en continu le presse-papiers à la recherche de chaînes ressemblant à des adresses de portefeuilles crypto.

Le malware volait des cryptomonnaies via le presse-papiers

Lorsqu’un utilisateur copiait une adresse pour envoyer du Bitcoin ou de l’Ethereum, EggJagger la remplaçait par une adresse contrôlée par l’attaquant. Si la victime ne vérifiait pas l’adresse après l’avoir collée et confirmait la transaction, la cryptomonnaie était envoyée à l’attaquant sans possibilité d’annuler le transfert.

Selon CrowdStrike, les opérateurs du système ont reçu au moins 12,1 millions de roubles, soit environ 150 000 $ au moment des transferts, sur huit ans. Une grande partie des cryptomonnaies volées est restée intacte, et sa valeur avait grimpé à environ 1,35 million de dollars début 2025 avec la hausse du marché crypto.

Le montant reste relativement faible pour une opération cybercriminelle ayant duré plusieurs années, mais le système ne nécessitait pas d’attaque sophistiquée contre une blockchain ou un portefeuille crypto. Un ordinateur infecté et l’absence de vérification de l’adresse du destinataire par l’utilisateur suffisaient à dérober les fonds.

Il est conseillé aux utilisateurs de vérifier au moins les premiers et derniers caractères d’une adresse de portefeuille après l’avoir collée, avant de confirmer chaque transaction. Cela peut permettre de détecter un remplacement d’adresse avant qu’un transfert de cryptomonnaie irréversible ne soit validé.

Plus de 15 000 ordinateurs infectés isolés

Sality ne pouvait pas être démantelé simplement en fermant un serveur central de commande et de contrôle.

Le botnet utilisait une architecture peer-to-peer, les ordinateurs infectés communiquant directement et vérifiant environ toutes les 40 minutes si les pairs connus étaient toujours disponibles.

Sality ne disposait pas non plus d’authentification supplémentaire pour les nœuds se connectant au réseau. CrowdStrike a exploité cette faiblesse en remplaçant les adresses des pairs légitimes du botnet par des adresses contrôlées par ses propres serveurs, isolant ainsi plus de 15 000 appareils infectés du réseau.

L’opération a été menée lors d’une démonstration à la conférence Day Zero de CrowdStrike à Las Vegas, avec la participation des forces de l’ordre fédérales. Le département de la Justice américain a indiqué que les opérateurs de Sality étaient liés à la Russie.

Cet incident survient dans un contexte de série d’attaques majeures contre l’infrastructure des cryptomonnaies. Plus tôt, la blockchain Cronos, étroitement associée à Crypto.com, a été complètement arrêtée suite à une faille exploitant Tectonic, le plus grand protocole de prêt de son écosystème, avec des pertes préliminaires estimées à environ 75 millions de dollars.

Cronos fonctionne depuis 2021 et permet de proposer des transactions à moindre coût sur les produits Crypto.com, tandis que le CRO reste l’un des actifs clés de l’écosystème. L’attaque contre Tectonic a mis en lumière une autre source de risque pour les détenteurs d’actifs numériques : les vulnérabilités au sein même de l’infrastructure des protocoles DeFi.

Nous avons également rapporté que des portefeuilles liés au groupe Lazarus de Corée du Nord ont déplacé environ 30 millions de dollars d’actifs numériques via Hyperliquid. Ces transferts ont été identifiés par les analystes de la plateforme d’intelligence blockchain Arkham.

Ce matériel peut contenir des opinions de tiers, aucune des données et informations sur cette page web ne constitue un conseil en investissement selon notre Avertissement. Bien que nous respections une stricte Intégrité Éditoriale, ce post peut contenir des références à des produits de nos partenaires.

Cet article vous a plu ?