Fireblocks exhorte ses clients à mettre à jour les logiciels concernés après la compromission de huit certificats d'autorité de certification intermédiaires liés à eMudhra. Dans un mouvement distinct, le fournisseur d'infrastructure d'actifs numériques a lancé une plateforme de trading conçue pour simplifier l'accès à la liquidité en stablecoins pour les entreprises de paiement et les institutions financières.

L'entreprise a déclaré que son enquête n'avait révélé aucune preuve d'utilisation des certificats compromis sur sa plateforme une fois les mesures correctives mises en place, et elle n'a signalé aucun impact sur les actifs, les communications ou les fonds des clients en lien avec cet incident de sécurité.

Huit certificats compromis déclenchent une réponse de sécurité

Dans un article de blog daté du 21 octobre 2026, Fireblocks a indiqué que six des certificats compromis étaient associés à Transport Layer Security (TLS), tandis que deux servaient à la signature de code. Les clés privées exposées pourraient potentiellement permettre à des attaquants de créer de faux certificats HTTPS ou de signer des logiciels malveillants pour des applications qui continuent de faire confiance aux certificats concernés. En tant que certificats intermédiaires, ils se situent sous les autorités racines dans la hiérarchie de l'infrastructure à clés publiques, ce qui explique qu'un seul émetteur compromis puisse avoir des conséquences pour tous les sites et applications qui en dépendent.

Bien que les navigateurs aient bloqué les certificats, les applications et services en arrière-plan qui ne vérifient pas correctement les informations de révocation des certificats peuvent demeurer vulnérables jusqu'à la mise à jour de leurs magasins de certificats de confiance. Le statut de révocation est généralement distribué via des listes de révocation de certificats et le protocole Online Certificate Status Protocol, mécanismes dont l'implémentation est inégale en dehors des navigateurs grand public.

Fireblocks a indiqué qu'on ne savait pas publiquement si des attaquants avaient exploité cette faiblesse contre des clients concernés. L'entreprise a qualifié l'incident de problème de confiance des certificats plutôt que de défaillance de sécurité à l'échelle de la plateforme.

Comme mesures correctives, Fireblocks a conseillé aux utilisateurs de Fireblocks Agent for Key Link de passer à la version 2.4.4, et aux clients utilisant l'ancien Python SDK d'installer la version 2.19.1 ou de migrer vers le SDK actuel. Une nouvelle image Co-Signer datée du 21 octobre n'inclut plus les certificats concernés.

Il a également été recommandé aux clients de mettre à jour les images de systèmes d'exploitation, les systèmes hôtes et les lots d'autorités de certification utilisés par les runtimes des langages de programmation. Fireblocks a cité Python certifi version 2026.10.19 ou ultérieure et Go versions 1.27.3 ou 1.26.10 comme exemples de paquets mis à jour.

L'entreprise a précisé que ses enclaves sécurisées s'appuyaient sur une liste préapprouvée d'autorités de certification qui n'incluait pas eMudhra. Elle contacte également des fournisseurs tiers pour confirmer leur statut de mise à niveau et examine son environnement d'entreprise pour détecter une exposition potentielle. Cette démarche illustre comment la confiance des certificats s'étend à l'ensemble des dépendances logicielles sur lesquelles une plateforme et ses clients s'appuient, et pas seulement aux systèmes qu'ils exploitent directement.

Fireblocks lance Liquidity Market pour les stablecoins

Parallèlement, Fireblocks a lancé Liquidity Market, une plateforme qui permet aux entreprises de paiement et à d'autres sociétés de demander, comparer et exécuter des transactions en stablecoins avec plusieurs fournisseurs de liquidité de gré à gré (OTC) au sein d'un environnement de trading unique. Les stablecoins sont des jetons basés sur la blockchain conçus pour suivre la valeur de monnaies de référence, et les entreprises qui en déplacent en grande quantité font souvent appel à des desks OTC plutôt qu'à des bourses publiques.

Le service intègre la découverte des prix et l'exécution des transactions dans l'environnement Fireblocks, permettant aux clients de comparer des devis concurrents tout en conservant leurs relations existantes, leurs conditions de crédit et leurs dispositifs de règlement avec chaque desk de trading.

Ce lancement répond à un processus d'approvisionnement en liquidité qui obligeait traditionnellement les entreprises à contacter individuellement les desks de trading via des portails séparés, des e-mails et des services de messagerie. Cette approche peut compliquer les comparaisons de prix, notamment lorsque les devis expirent rapidement et que les équipes de trésorerie doivent rapprocher manuellement les limites de crédit, les soldes disponibles et les conditions de trading.

Fireblocks a indiqué que les entreprises OTC et de trading avaient transféré près de 50 milliards de dollars en stablecoins des entreprises de paiement, des sociétés fintech et des institutions financières via son réseau au cours des douze mois précédents.

MoneyGram, OpenPayd, Reap, TapTapSend et Zepz ont participé en tant que partenaires de conception. B2C2 et Zodia Markets étaient disponibles en tant que fournisseurs de liquidité au lancement, tandis que Cumberland, FalconX, GSR, Hercle, Nonco et Wintermute devaient les rejoindre ultérieurement.

Contrôles de trading centralisés sans custody

Liquidity Market consolide les informations de crédit, les exigences de marge et les soldes de l'ensemble des desks de trading connectés. Les clients peuvent exécuter des transactions via la Fireblocks Console ou une interface de programmation, chaque exécution étant enregistrée par rapport au devis à l'origine de la transaction.

La plateforme utilise le Policy Engine de Fireblocks pour appliquer les limites de trading et les permissions d'exécution auprès des fournisseurs connectés. Les connexions de comptes et l'exécution des ordres requièrent une approbation par quorum, ajoutant une couche de gouvernance aux transactions effectuées via le système.

Fireblocks a précisé qu'elle ne prélève pas de spread de trading, ne prend pas de custody des actifs lors de la conversion et ne participe pas au flux de fonds. Les clients règlent en revanche les transactions directement avec les fournisseurs de liquidité de leur choix.

Le service prend en charge les principaux stablecoins contre le dollar américain, l'euro, la livre sterling et d'autres monnaies du Groupe des Dix. Sa disponibilité ne garantit pas que chaque fournisseur ou paire de devises soit accessible dans chaque juridiction.

Ran Goldi, directeur des paiements et du réseau de Fireblocks, a déclaré que la plateforme visait à intégrer la tarification et l'exécution dans le même environnement où de nombreuses entreprises de paiement et leurs contreparties de trading gèrent déjà leurs trésoreries d'actifs numériques.

Sécurité et liquidité restent des priorités clés

Ces deux évolutions répondent à des défis opérationnels distincts auxquels sont confrontées les entreprises d'actifs numériques. L'incident eMudhra souligne l'importance de maintenir à jour les configurations de confiance des certificats dans les logiciels gérés par les clients, tandis que Liquidity Market cible le processus fragmenté d'approvisionnement en stablecoins auprès de multiples contreparties de trading.

Pour les entreprises de paiement qui étendent leurs services transfrontaliers, l'accès à une liquidité compétitive peut influencer les coûts de transaction et la capacité à prendre en charge de nouveaux couloirs de paiement. La nouvelle plateforme vise à rationaliser ce processus tout en préservant le règlement direct entre clients et fournisseurs de liquidité.

Fireblocks a indiqué que d'autres fournisseurs de liquidité seraient ajoutés au fil du temps, tandis que sa réponse de sécurité se poursuivrait avec des mises à jour logicielles et des vérifications impliquant des fournisseurs tiers.

Source : CoinTrust