Des hackers ont découvert une faille dans une certaine marque de Bitcoin ATM. Ils l’ont bien sûr exploitée. Le montant de leur butin s’élève à 1,5 million de dollars.

Les Bitcoin ATM, ou distributeurs automatiques de cryptomonnaies, sont des guichets automatiques comme les autres, sauf qu’ils permettent de retirer des monnaies virtuelles telles que Ether, Dogecoin ou encore Bitcoin, évidemment. Pour les utiliser, il faut impérativement posséder un portefeuille numérique sur son smartphone, et de l’argent, qu’il s’agisse d’espèce ou d’une carte bancaire. Bien qu’on en trouve peu dans l’Hexagone, les compagnies fabriquant ce genre d’appareil en implantent tous les jours un peu plus dans toutes les grandes villes du monde.

Des hackers ont exploité une faille exposée par les Bitcoin ATM fabriqués par General Bytes, un constructeur de distributeurs de cryptos dont les sièges sont basés en République tchèque et aux États-Unis. La compagnie a révélé avoir été victime d’une attaque apparemment coordonnée sur ses distributeurs. Des hackers ont réussi à voler 1,5 million $ en Bitcoin à la compagnie et à ses clients. Les malfaiteurs auraient exploité une faille zero-day dans la plateforme de gestion du système.

Les pirates ont exploité une faille du système de gestion de chaque distributeur de cryptomonnaies

Si l’on ne sait pas grand-chose du mode opératoire des cybercriminels, la compagnie a admis qu’ils ont exploité une faille jusqu’alors inconnue de leurs distributeurs. Ces derniers permettent en effet d’uploader des vidéos vers le logiciel de gestion en ligne de chaque ATM. C’est par ce biais que les voleurs sont parvenus à exécuter un script Java dans les serveurs de gestion de chaque distributeur.

À lire — Bitcoin : ils réussissent à voler 24 millions de dollars en piratant le presse-papier de Windows

À la fin de ce week-end très fructueux passé à « vider » des Bitcoin ATM, les hackers ont, en tout et pour tout, volé l’équivalent de 56 bitcoins dans les portefeuilles numériques des clients. Ce n'est certes pas le plus gros vol de cryptomonnaies, mais le dommage est irrécupérable, et les utilisateurs floués ne seront jamais remboursés.

Source : Ars Technica