Les plateformes d'échange crypto Binance et Deribit ont déclaré jeudi avoir révoqué les clés API connectées à SignalPlus, une plateforme de trading de dérivés crypto, par précaution après la divulgation d'une faille de sécurité par l'entreprise. Les deux plateformes ont indiqué que leurs propres systèmes n'étaient pas affectés, mais Deribit a averti que les fonctions de trading, de surveillance et d'automatisation passant par SignalPlus avaient cessé de fonctionner pour ses clients. Les clés API d'une plateforme d'échange permettent à des plateformes tierces d'exécuter des transactions et de surveiller des comptes au nom d'un utilisateur, c'est pourquoi leur révocation interrompt ces flux de travail même lorsque la plateforme elle-même ne montre aucun signe de compromission.

Le cofondateur de Binance, Yi He, a déclaré dans une publication sur X que les plateformes tierces intégrées à la plateforme d'échange devraient revoir leurs contrôles de sécurité et surveiller toute activité suspecte, avertissant que la menace dépassait le cadre d'une seule entreprise.

SignalPlus fournit une infrastructure de trading pour les dérivés crypto, avec un accent particulier sur les options, permettant aux traders professionnels et institutionnels de gérer leurs positions sur plusieurs plateformes d'échange via une seule plateforme.

Selon un communiqué publié par l'entreprise sur X, l'attaque est partie d'un compte Telegram compromis appartenant à un contact chez un fournisseur technologique tiers. L'attaquant s'est fait passer pour ce contact et a envoyé une fausse invitation à une réunion Microsoft Teams à un ingénieur de SignalPlus, compromettant l'ordinateur de l'employé.

L'intrus est ensuite resté dormant sur l'ordinateur compromis avant d'utiliser les privilèges d'accès de l'ingénieur pour cibler le réseau interne de SignalPlus tôt mercredi, a indiqué l'entreprise.

SignalPlus a déclaré avoir détecté et contenu l'intrusion, chiffrant les pertes totales à moins de 82 000 $, et a commencé à rembourser intégralement les utilisateurs concernés. L'entreprise a suspendu temporairement ses services et prévoit de reprendre ses opérations dans les prochains jours après avoir achevé les revues de sécurité et appliqué des correctifs — un calendrier qui détermine quand les clients retrouveront les fonctions de trading, de surveillance et d'automatisation mises hors ligne.

SignalPlus a également reconnu qu'elle n'avait pas exigé de liste blanche d'adresses IP pour l'accès API aux plateformes d'échange. « Nous assumons la responsabilité de cette négligence », a déclaré l'entreprise, ajoutant qu'elle allait durcir les exigences d'accès API et renforcer ses contrôles de sécurité internes. La liste blanche d'adresses IP est une mesure de sécurité qui restreint l'accès API à une liste prédéfinie d'adresses internet approuvées.

À lire aussi : Le fondateur de BitMart affirme que son équipe de sécurité est « gravement sous-effectif » après un nouveau piratage

L'attaque contre SignalPlus fait suite au piratage de 6,3 milliards $ de Binance

L'incident SignalPlus survient quelques jours après que Binance a révélé les détails d'un piratage de 6,3 milliards de dollars le 29 octobre, qui impliquait également des ordinateurs d'employés compromis. Selon le post-mortem de Binance, des attaquants se faisant passer pour des recruteurs ont trompé un ingénieur pour lui faire télécharger un fichier malveillant déguisé en exercice de programmation. Les attaquants ont ensuite utilisé l'ordinateur compromis pour accéder à d'autres systèmes et finir par pénétrer l'infrastructure de portefeuilles de la plateforme d'échange. Prises ensemble, les deux intrusions partagent un point d'entrée commun : un attaquant se faisant passer pour un contact de confiance ou un recruteur afin de compromettre la machine d'un seul employé, puis utilisant cette tête de pont pour s'enfoncer plus profondément dans les systèmes de l'entreprise.

Le cofondateur de Binance, Yi He, a déclaré mardi sur X que la plateforme avait détecté et bloqué 57 cybermenaces présumées liées à la Corée du Nord en 2026, notamment des entretiens d'embauche frauduleux, des paquets logiciels malveillants et des tentatives de vol d'identifiants d'employés.

Source : Cointelegraph