CZ : les utilisateurs doivent protéger leurs données et limiter la réutilisation de leurs informations d’une plateforme à l’autre

Les fuites de données sont devenues un risque persistant dans le secteur des cryptomonnaies. Même lorsque les fonds des clients ne sont pas directement exposés, la divulgation d’informations personnelles peut favoriser le phishing, le détournement de numéro de téléphone, l’usurpation d’identité et les attaques d’ingénierie sociale ciblées.

Le 28 octobre, le fondateur de Binance, Changpeng Zhao, plus connu sous le nom de CZ, a attiré l’attention sur plusieurs incidents d’exposition de données ayant touché des entreprises du secteur des actifs numériques comme de la finance traditionnelle. Les affaires rapportées concernaient un prestataire lié à Coinbase, la plateforme sud-coréenne d’échange de cryptomonnaies Bithumb, ainsi que deux sociétés de courtage coréennes, Mirae Asset et Daishin Securities. Dans l’incident lié à Coinbase, les informations exposées auraient principalement concerné les coordonnées des utilisateurs, et non l’accès à leurs fonds.

Ces incidents mettent en évidence une réalité importante pour les utilisateurs de cryptomonnaies : vous ne pouvez pas toujours empêcher une entreprise d’être victime d’une intrusion, mais vous pouvez limiter les dommages causés par les informations que vous lui communiquez.

Pourquoi une fuite de données peut devenir un problème de sécurité crypto

Une adresse e-mail ou un numéro de téléphone divulgué peut sembler inoffensif pris isolément. Pourtant, les attaquants peuvent croiser plusieurs éléments pour dresser un profil convaincant de leur cible.

Les informations couramment exposées lors de fuites touchant des services financiers peuvent inclure :

• Nom complet
• Adresse e-mail
• Numéro de téléphone
• Adresse personnelle ou postale
• Informations figurant sur une pièce d’identité
• Activité de trading ou activité liée au compte
• Échanges avec le service client

Ces informations peuvent servir à rendre des messages frauduleux particulièrement crédibles. Un attaquant peut se faire passer pour une plateforme d’échange, un fournisseur de portefeuille, une banque ou une équipe de conformité, et prétendre que le destinataire doit effectuer une vérification, déverrouiller son compte ou confirmer une transaction suspecte.

L’objectif n’est souvent pas de s’introduire directement sur une plateforme. Les attaquants cherchent plutôt à convaincre leur victime de révéler un mot de passe, d’approuver une transaction, d’installer un logiciel malveillant ou de communiquer une phrase de récupération.

Les recommandations de la Federal Trade Commission américaine concernant les arnaques au détournement de numéro de téléphone expliquent comment des criminels peuvent prendre le contrôle du numéro de téléphone d’une victime et l’utiliser pour recevoir ses codes d’authentification. Dans le secteur des cryptomonnaies, le risque est particulièrement élevé lorsqu’un numéro de téléphone sert de méthode de récupération ou de principal facteur d’accès à un compte.

Les risques liés à la réutilisation des mêmes informations partout

De nombreux utilisateurs s’inscrivent sur plusieurs plateformes d’échange, portefeuilles, places de marché NFT, services de paiement et applications blockchain en utilisant la même adresse e-mail et le même numéro de téléphone. Cette pratique simplifie la gestion des comptes, mais elle crée aussi un lien étroit entre des services qui devraient rester distincts.

Si une base de données est compromise, les attaquants peuvent exploiter les informations divulguées pour :

1. Identifier les autres plateformes sur lesquelles la victime pourrait posséder un compte.
2. Relier l’identité réelle d’une personne à son activité dans le secteur des cryptomonnaies.
3. Envoyer des messages d’hameçonnage très personnalisés.
4. Tenter de réinitialiser les mots de passe de services sans rapport entre eux.
5. Rechercher des informations supplémentaires dans des sources publiques.
6. Cibler la victime au moyen d’attaques d’ingénierie sociale.

Plus le même identifiant est utilisé sur un grand nombre de plateformes, plus il devient facile de dresser un profil complet. Cette situation est particulièrement préoccupante pour les utilisateurs qui détiennent des actifs numériques sur plusieurs plateformes d’échange ou qui interagissent avec des applications décentralisées sous une identité facilement reconnaissable.

La minimisation des données n’est donc pas seulement un principe de protection de la vie privée. Elle fait également partie intégrante d’une stratégie concrète de sécurité dans l’univers crypto.

Utiliser des alias e-mail distincts pour chaque service

L’une des améliorations les plus simples consiste à utiliser un alias e-mail unique pour chaque plateforme d’échange ou service financier important.

Au lieu d’utiliser une seule adresse partout, un utilisateur peut par exemple créer des alias distincts pour :

• Une plateforme d’échange centralisée
• Un service de conversion entre monnaie fiduciaire et cryptomonnaies
• Une plateforme de trading
• Un service d’analyse de blockchain
• Un compte lié à un portefeuille logiciel ou matériel
• Un service web non financier

Si l’un de ces alias commence ensuite à recevoir des messages suspects, l’utilisateur peut déterminer quel service a potentiellement exposé ou partagé cette adresse. Surtout, un alias unique complique le travail des attaquants qui cherchent à relier ce compte aux autres identités en ligne de l’utilisateur.

Un alias ne doit pas être considéré comme un substitut à une authentification solide. Il est plus efficace lorsqu’il est associé à un mot de passe unique, à un gestionnaire de mots de passe et, lorsque cela est possible, à une authentification multifacteur résistante au phishing. Les recommandations du National Institute of Standards and Technology relatives à l’identité numérique proposent des conseils plus larges sur l’authentification et la sécurité des comptes.

Réduire la quantité d’informations personnelles partagées

Les utilisateurs doivent également réfléchir attentivement aux informations demandées lors de la création et de la vérification d’un compte.

Certaines plateformes crypto sont légalement tenues de recueillir des informations d’identité afin de respecter les exigences réglementaires. Dans ce cas, les utilisateurs ne peuvent pas toujours éviter de transmettre des documents. Ils peuvent toutefois limiter leur exposition en :

• Évitant de renseigner les champs de profil facultatifs
• Supprimant, lorsque cela est possible, les numéros de téléphone inutilisés de leurs comptes
• Limitant la publication de leurs adresses de portefeuille
• Évitant les captures d’écran révélant leurs soldes ou leur historique de transactions
• Séparant leurs profils personnels sur les réseaux sociaux de leurs identités liées aux cryptomonnaies
• Vérifiant les paramètres de confidentialité des plateformes d’échange et des applications financières
• Supprimant les comptes inactifs lorsque le service le permet

Les utilisateurs doivent également faire preuve de prudence lorsqu’ils transmettent des documents d’identité à des plateformes qu’ils connaissent mal. Avant de procéder à une vérification, il convient de vérifier l’identité juridique de l’entreprise, ses pratiques de sécurité, sa politique de confidentialité et ses canaux d’assistance. Toute demande de documents sensibles reçue dans un message non sollicité doit être considérée comme suspecte, même si le message contient des informations personnelles exactes.

Se protéger contre le phishing après une fuite de données

Une fuite de données peut rendre de futures escroqueries plus crédibles. Les utilisateurs doivent partir du principe qu’un message contenant leur nom, leur numéro de téléphone ou une partie de leur historique de transactions peut malgré tout être frauduleux.

Avant d’agir :

• Ne cliquez pas sur les liens contenus dans des alertes de compte inattendues.
• Accédez au service depuis un site enregistré dans vos favoris ou depuis l’application officielle.
• Ne communiquez jamais une phrase de récupération, une clé privée ou un code d’authentification à usage unique.
• Considérez comme particulièrement risquées les demandes urgentes liées à des retraits ou au gel d’un compte.
• Vérifiez les demandes d’assistance par un canal indépendant.
• Contrôlez soigneusement le nom de domaine avant de saisir vos identifiants.
• N’installez aucun logiciel à la demande d’un prétendu agent d’assistance que vous ne connaissez pas.

Une plateforme légitime n’aura jamais besoin de votre phrase de récupération pour rétablir votre accès ou enquêter sur une transaction. Toute personne qui vous la demande cherche à prendre le contrôle de votre portefeuille.

Les recommandations de la Cybersecurity and Infrastructure Security Agency concernant le phishing conseillent également de prendre le temps de réfléchir et de vérifier indépendamment les demandes inattendues, plutôt que d’y répondre sous la pression.

L’auto-garde n’élimine pas les risques liés à la confidentialité

L’auto-garde peut réduire la dépendance à l’égard de tiers pour le contrôle des clés privées, mais elle ne résout pas automatiquement les problèmes d’identité et de confidentialité.

Un utilisateur peut détenir ses actifs sur un portefeuille dont il assure lui-même la garde tout en exposant ses données personnelles par l’intermédiaire de comptes sur des plateformes d’échange, d’applications blockchain, de réseaux sociaux ou de publications publiques d’adresses de portefeuille. Lorsqu’une adresse est reliée à un nom, une adresse e-mail ou un compte de trading, il peut devenir plus facile d’analyser l’activité sur la blockchain et de l’associer à une identité réelle.

Une approche plus sûre repose sur plusieurs niveaux de protection :

• Conserver les clés privées et les phrases de récupération hors ligne.
• Utiliser une identité e-mail dédiée aux services financiers.
• Éviter de publier inutilement les adresses de portefeuille.
• Vérifier les détails des transactions avant de les signer.
• Séparer les placements à long terme des activités de trading fréquentes.
• Protéger soigneusement les sauvegardes et ne jamais stocker les phrases de récupération dans des documents cloud ou des applications de messagerie.

Pour les utilisateurs qui souhaitent garder le contrôle de leurs clés privées, les portefeuilles matériels OneKey offrent un environnement de signature hors ligne conçu pour isoler les opérations sensibles du portefeuille des ordinateurs et sites web potentiellement compromis. Cela n’empêche pas une plateforme d’échange ou un prestataire de services d’être victime d’une fuite de données, mais peut réduire le risque que des coordonnées divulguées conduisent directement à l’approbation non autorisée d’une transaction.

Un modèle de sécurité plus résilient pour les utilisateurs de cryptomonnaies

Aucune mesure de sécurité ne peut empêcher toutes les attaques. Des fuites de données peuvent se produire chez des plateformes d’échange, des fournisseurs d’analyses, des prestataires de paiement, des opérateurs télécoms ou encore des institutions financières extérieures au secteur crypto.

L’objectif le plus réaliste consiste à limiter la quantité d’informations exposées, à rendre les comptes plus difficiles à relier entre eux et à faire en sorte qu’une identité divulguée ne permette pas automatiquement de prendre le contrôle d’actifs numériques.

L’utilisation d’alias e-mail uniques, la réduction des informations partagées inutilement, le renforcement de l’authentification et la séparation des clés privées des services en ligne peuvent améliorer considérablement le niveau de sécurité d’un utilisateur. Comme le suggère l’avertissement de CZ, la protection des données personnelles devient un élément essentiel de la détention responsable de cryptomonnaies, et non plus une simple option destinée à renforcer la confidentialité.