Menace de piratage : la plateforme sud-coréenne GOPAX suspend retraits et transactions

La plateforme sud-coréenne d'échange de cryptomonnaies GOPAX a annoncé vendredi 6 novembre avoir suspendu les retraits et les transactions « à titre de mesure d'urgence », après des menaces de piratage, a rapporté l'agence Yonhap. Selon l'entreprise, les retraits ont été arrêtés à 14 h 55, puis les transactions vers 15 h 53. GOPAX a précisé qu'elle transférait la plus grande partie des actifs conservés dans ses portefeuilles dits « chauds », reliés à Internet, vers des portefeuilles « froids », qui ne le sont pas.¹

Les dépôts d'actifs virtuels ont aussi été suspendus temporairement, et les retraits habituels par le site internet et l'application mobile de la plateforme ont été désactivés, a indiqué la société. Tous les ordres en attente ont été annulés quand les transactions ont été suspendues. Ce qui signifie que, pour les clients, l'interruption ne bloque pas seulement l'accès à leurs fonds : les opérations qu'ils avaient programmées sont annulées et devront être passées de nouveau quand le service reprendra.¹

The Korea Herald a publié le même jour un article qui ne mentionne que la suspension des retraits. On y retrouve l'heure de 14 h 55, le transfert vers les portefeuilles froids et l'absence de perte d'actifs signalée. La version de Yonhap, présentée comme une mise à jour, ajoute l'arrêt des transactions vers 15 h 53. À ce stade, ces deux récits ne se contredisent pas : le second rapporte une mesure prise moins d'une heure après la première.^1,2

Une menace que l'entreprise n'a pas encore pu vérifier

GOPAX a déclaré n'avoir pas encore vérifié si la menace était crédible et avoir agi par précaution, pour protéger les actifs de ses clients. « Nous avons reçu un courriel d'un groupe qui affirme avoir piraté la plateforme, mais nous n'avons pas encore vérifié si la menace est réelle », a dit à Yonhap un responsable de l'entreprise qui a demandé à ne pas être nommé. « Nous donnons la priorité à la protection des actifs des clients, même si cela cause des désagréments aux utilisateurs. »¹

Il faut donc séparer ce qui est établi de ce qui est revendiqué. Les suspensions, leurs horaires et l'annulation des ordres ont été annoncés par l'entreprise elle-même. L'intrusion, elle, n'est à ce stade affirmée que par le groupe auteur du courriel, que la matière disponible ne nomme pas. Quant à l'absence de perte d'actifs, c'est GOPAX qui l'affirme, et aucune autre source ne la confirme pour l'instant. Reste à savoir si un examen des systèmes confirmera ou écartera une intrusion, et combien de temps il faudra avant que les retraits et les transactions reprennent : l'entreprise n'a donné aucun calendrier.^1,2

Un secteur financier sud-coréen touché par plusieurs incidents

Selon Yonhap et The Korea Herald, le secteur financier sud-coréen a été touché récemment par une série d'incidents de cybersécurité. Yonhap rappelle que la Commission des services financiers (Financial Services Commission) a indiqué auparavant que des incidents avaient été confirmés dans 37 institutions financières et qu'ils concernaient environ 470 000 dossiers de clients. L'agence ne dit pas si GOPAX figure parmi ces établissements. Ce qui signifie que la décision de la plateforme intervient alors que les institutions financières du pays font l'objet d'une attention particulière sur ce sujet.^1,2

Le secteur des cryptomonnaies a aussi été visé ailleurs dans les jours précédents. Dans son rapport hebdomadaire daté du 2 novembre, l'entreprise de cybersécurité israélienne Check Point Research écrit que Binance, plateforme mondiale d'échange de cryptomonnaies, a subi une cyberattaque au cours de laquelle environ 6,3 milliards de dollars d'actifs numériques ont été volés. D'après ce rapport, les attaquants auraient compromis l'ordinateur portable d'un ingénieur DevOps et détourné l'infrastructure interne de portefeuilles pour autoriser des retraits frauduleux. Check Point Research classe l'incident parmi les plus grands vols de cryptomonnaies jamais enregistrés et le relie à un groupe nord-coréen. Le même rapport indique que Polymarket, plateforme américaine de marchés prédictifs, a fait état d'une attaque passée par un service tiers compromis, qui a diffusé du code JavaScript malveillant sur son site ; environ 2,7 millions de dollars en cryptomonnaies ont été suivis jusqu'à une adresse que l'on soupçonne d'appartenir à un attaquant.⁴

Le cas de Binance montre ce que GOPAX dit vouloir éviter. Les retraits frauduleux y seraient passés par l'infrastructure de portefeuilles de la plateforme. Mettre les actifs dans des portefeuilles non connectés à Internet, comme GOPAX dit le faire, revient à limiter ce qui pourrait être retiré si l'intrusion revendiquée était réelle. Aucune des sources disponibles ne relie toutefois la menace reçue par GOPAX à l'attaque contre Binance ni à un groupe en particulier.^1,4

Le 5 novembre, Check Point Research a aussi publié une analyse sur les plateformes de piratage dites « agentiques », comme ARTEX, où des modèles d'intelligence artificielle cherchent et exploitent des vulnérabilités de façon autonome. L'entreprise dit avoir repéré plus de 1 800 instances d'ARTEX exposées publiquement. Selon elle, la plupart des attaques étaient entièrement autonomes une fois l'objectif initial fixé, et des modèles chinois, en tête desquels Deepseek Flash, étaient les plus utilisés. Toujours selon Check Point Research, les objectifs de ces opérateurs relevaient uniquement d'une cybercriminalité opportuniste, motivée par l'argent et le plus souvent menée à grande échelle, et les agents exploitaient diverses vulnérabilités web, comme l'exécution de code à distance. Rien dans la matière disponible n'indique que de tels outils aient servi contre GOPAX. Si l'enquête de la plateforme devait identifier un mode opératoire, elle permettrait de comparer ce cas aux tendances décrites par Check Point Research.³