Le casino en ligne et site de paris sportif Stake, vient d’être la cible d’un braquage de 40 millions de dollars en crypto. Le site sur lequel le rappeur Drake lance régulièrement des paris d’un million de dollars, est la dernière victime de pirates informatiques.
L’attaque a été initialement rendue publique via X (Twitter) par la société de sécurité numérique Cyvers Alerts. Cette dernière a révélé que le piratage était dû à une fuite de clé privée, ajoutant qu’il était capable de surveiller le piratage en temps réel.
Le vol aurait touché uniquement les avoirs des bailleurs de fonds , et non les fonds des joueurs. Cependant, Stake.com qui est interdit en France, a désactivé les retraits peu de temps après avoir pris connaissance de l’attaque, les rétablissant quelques heures après.
Plusieurs piratages à la suite sur Stake
Le compte qui a retiré les fonds a été qualifié de « Stake.com Hacker » par Etherscan. Le premier vol a eu lieu lundi 4 septembre peu avant 13 heures. Les pirates transféraient alors environ 3,9 millions de dollars de stablecoin Tether (USDT). Ensuite, deux autres transactions pour 6 001 Ethereum (ETH), soit environ 9,8 millions de dollars, ont eu lieu.
Le ou les pirates ont continué à retirer des jetons avec une facilité déconcertante. Ils ont récupéré 1 million de dollars en USD Coin (USDC), 900 000 $ en Dai (DAI) et 333 Stake Classic. Après avoir vidé les fonds, le (ou les) pirate(s) les ont répartis sur différents comptes.
Un rapport de Beosin, une société de sécurité, a estimé la perte totale à 41,3 millions de dollars. Le rapport note 15,7 millions de dollars sur la blockchain Ethereum et 7,8 millions de dollars sur Polygon. 17,8 millions de dollars supplémentaires provenant de la Binance Smart Chain ont également été perdus.
Stake.com a repris ses services pour les utilisateurs environ cinq heures après l’arrêt de son activité. La société a déclaré sur les réseaux sociaux que les portefeuilles Bitcoin, Ripple et Litecoin n’étaient pas affectés.
Récupérer les fonds de Stake
Plusieurs “cyber-détectives” et sociétés de sécurité ont immédiatement identifié les transactions. De ce fait, il est possible que Stake.com soit en mesure de récupérer au moins une partie des fonds volés.
La plupart des cryptomonnaies fonctionnent sur des blockchains publiques, ce qui signifie que toutes les transactions sont enregistrées sur un registre décentralisé et transparent. Bien que ces transactions soient anonymes, elles peuvent toujours être retracées grâce à l’utilisation d’adresses.
Les bourses et les sociétés d’analyse de blockchain utilisent des techniques sophistiquées pour regrouper plusieurs adresses, souvent appelées « regroupement d’adresses ». Cela les aide à déterminer quelles adresses sont contrôlées par la même entité, en analysant les modèles de transaction, la propriété commune des entrées et d’autres heuristiques.
Tracer l’argent volé sur Stake.com
Les sociétés d’analyse de blockchain, telles que Chainalysis et Elliptic, fournissent des outils et des services spécialisés pour tracer les transactions de cryptomonnaie. Ils rassemblent et analysent des données provenant de diverses sources pour suivre le mouvement des fonds volés. Ces outils peuvent découvrir des modèles, des points communs et des connexions potentielles entre les adresses impliquées dans le piratage.
Dans certains cas, les pirates peuvent utiliser des cryptomonnaies axées sur la confidentialité, comme Monero, ou recourir à des services de mixage pour masquer l’origine des fonds volés. Même si cela rend le traçage plus difficile, ce n’est pas impossible. Certains outils d’analyse de blockchain s’adaptent pour suivre les pièces de confidentialité, et les forces de l’ordre se concentrent de plus en plus sur ce domaine.
La société de cybersécurité Beosin a récemment rapporté que 656 millions de dollars en crypto avaient été volés/piratés au cours du premier semestre. Cependant, 45,5 % des actifs ont déjà été récupérés.
Un accord pour récupérer les fonds ?
Il existe différentes manières pour Stake.com de récupérer les fonds. En plus des capacités accrues permettant de retracer les portefeuilles jusqu’aux individus, il est possible que l’entreprise tente de conclure un accord.
Certes, elle peut compter sur les arrestations des hackers. Ainsi, en 2016, la plateforme d’échanges crypto Bitfinex avait subi un piratage d’un montant de 72 millions de dollars (valeur 2016).
Plus tôt cette année, elle a récupéré une partie des fonds suite aux arrestations aux Etats-Unis des hackers impliqués. Ils ont conduit les enquêteurs vers les portefeuilles utilisés par les criminels, qui ont ensuite été saisis.
L’échange décentralisé Curve Finance a lui aussi perdu 73,5 millions de dollars lors d’un piratage plus tôt cette année. Cependant, la société a préféré conclure un accord avec les hackers. Cela lui a permis de récupérer 52,3 millions de dollars.
En échange de l’abandon de toute tentative de poursuite, Curve Finance a accepté de verser aux pirates une « prime aux bugs » de 10 %. Il s’agit des frais que certaines entreprises proposent de payer à quelqu’un qui découvre une faille de sécurité dans leurs systèmes.