SignalPlus attribue l’attaque à la compromission d’un compte Telegram tiers ; les pertes, inférieures à 82 000 $, seront intégralement remboursées

SignalPlus, une plateforme de négociation de produits dérivés sur cryptomonnaies, a indiqué qu’un attaquant s’était introduit dans ses systèmes par l’intermédiaire d’un compte Telegram tiers compromis, aux premières heures du 4 novembre. Selon la plateforme, l’incident n’a touché qu’un nombre limité de comptes sur lesquels aucune liste blanche d’adresses IP n’avait été activée.

Dans une mise à jour publiée le 5 novembre, SignalPlus a estimé le montant total des pertes à moins de 82 000 dollars et annoncé que les utilisateurs concernés seraient intégralement remboursés. L’entreprise a également précisé avoir circonscrit l’intrusion, suspendu son terminal par mesure de précaution et collaboré avec ses partenaires — des plateformes d’échange centralisées — afin de révoquer les clés API associées.

Cet incident met en lumière un risque auquel sont exposés les traders qui relient leurs comptes d’exchange à des outils externes : même si un compte demeure sécurisé au niveau de la plateforme d’échange, un service connecté ou ses identifiants peuvent devenir une faille de sécurité.

Que s’est-il passé chez SignalPlus ?

SignalPlus a attribué l’attaque à la compromission d’un compte Telegram tiers. La plateforme a indiqué que seul un nombre restreint d’utilisateurs avait été touché, tous ayant en commun de ne pas avoir activé de liste blanche d’adresses IP sur leur compte.

Les informations disponibles ne permettent toutefois pas de déterminer précisément comment le compte Telegram compromis a été exploité, ni de recenser l’ensemble des actions menées par l’attaquant. SignalPlus n’a pas non plus détaillé les modalités ni le calendrier du remboursement.

Dans le cadre de sa réponse à l’incident, SignalPlus a déclaré avoir :

• Circonscrit l’intrusion après l’avoir détectée.
• Collaboré avec ses partenaires, des plateformes d’échange centralisées, afin de révoquer les clés API liées.
• Suspendu temporairement les services de son terminal.
• Prévu de rembourser intégralement les utilisateurs concernés.
• Prévu un rétablissement complet de ses services dans les jours suivants, les mises à jour et les instructions devant être communiquées par ses canaux officiels.

Les utilisateurs doivent considérer cette estimation de reprise comme un objectif, et non comme une garantie, et attendre une confirmation officielle avant de reconnecter un compte d’exchange.

Binance a révoqué les clés API associées

Binance a également indiqué avoir révoqué de manière préventive toutes les clés API associées à SignalPlus après avoir été informée du risque de sécurité. La plateforme d’échange a précisé que ses propres systèmes n’avaient pas été affectés et que les fonds des utilisateurs étaient en sécurité.

Binance a recommandé aux utilisateurs de SignalPlus de se connecter directement à leur compte Binance afin de vérifier leurs positions ouvertes ainsi que leurs ordres en attente. Elle leur a également conseillé de ne pas reconnecter leurs clés API tant que SignalPlus n’aura pas confirmé la résolution complète du problème.

Pour les traders de produits dérivés, cette vérification reste indispensable même lorsque l’accès a déjà été révoqué. Les ordres et positions existants peuvent en effet nécessiter une intervention : la révocation d’une clé API empêche toute nouvelle utilisation de celle-ci, mais elle ne ferme pas nécessairement les positions et n’annule pas automatiquement tous les ordres en cours.

Pourquoi les autorisations des API sont-elles importantes ?

Les clés API permettent à des outils de trading d’interagir avec un compte d’exchange sans que l’utilisateur ait à saisir constamment ses identifiants de connexion. Selon les autorisations accordées, une application connectée peut consulter les informations du compte, passer des ordres ou effectuer d’autres opérations prises en charge.

Cette simplicité d’utilisation s’accompagne d’une responsabilité supplémentaire en matière de sécurité. Faire confiance à une plateforme d’échange ne suffit pas : l’utilisateur doit également évaluer chacun des services qui y sont connectés et limiter les actions que ceux-ci sont autorisés à effectuer.

Une liste blanche d’adresses IP ajoute une restriction en limitant l’utilisation d’une clé aux seules adresses réseau préalablement approuvées. Cette mesure peut réduire les risques en cas de vol des identifiants, mais elle ne remplace ni une gestion rigoureuse des autorisations ni une surveillance régulière du compte.

Les fonctionnalités des API et les paramètres de sécurité diffèrent d’une plateforme à l’autre. Avant de créer ou de modifier une clé, les utilisateurs peuvent consulter la documentation de l’API Binance, ainsi que les paramètres actuels de leur compte sur leur plateforme d’échange.

Mesures à prendre pour les utilisateurs concernés

Si vous avez connecté SignalPlus à une plateforme d’échange, envisagez les précautions suivantes :

1. Accédez directement à la plateforme d’échange. Utilisez son application officielle ou une adresse enregistrée dans vos favoris plutôt qu’un lien reçu dans un message inattendu.
2. Vérifiez vos positions et vos ordres ouverts. Recherchez toute activité que vous ne reconnaissez pas et assurez-vous que votre exposition actuelle aux produits dérivés correspond toujours à vos intentions.
3. Examinez les clés API connectées. Vérifiez le statut des clés associées à SignalPlus et supprimez celles dont vous n’avez plus besoin.
4. Attendez les consignes officielles de rétablissement. Ne créez pas et ne reconnectez pas de clé simplement parce qu’un message affirme que le service a repris.
5. Limitez les autorisations au strict nécessaire. Lorsque vous reconnectez un outil, n’activez que les accès indispensables à son fonctionnement et utilisez une liste blanche d’adresses IP lorsque cette option est disponible.
6. Méfiez-vous des tentatives d’usurpation d’identité. Des attaquants peuvent profiter d’un incident de sécurité pour envoyer de faux messages d’assistance ou de remboursement. Ne communiquez jamais vos mots de passe, vos secrets d’API ou vos phrases de récupération en réponse à de telles sollicitations.

Si vous constatez une activité suspecte, contactez votre plateforme d’échange par l’intermédiaire de ses canaux d’assistance officiels et conservez tous les relevés de compte pertinents.

Un enseignement plus général sur la sécurité des cryptomonnaies

L’incident de SignalPlus montre qu’une compromission survenant en dehors d’une plateforme d’échange peut néanmoins affecter les utilisateurs qui s’appuient sur une infrastructure de trading connectée. La sécurité d’un compte ne se limite donc pas à protéger le mot de passe de l’exchange : elle suppose aussi de contrôler les intégrations, de restreindre les autorisations des API et de surveiller les positions.

Pour les actifs conservés hors d’une plateforme d’échange, un portefeuille matériel comme OneKey peut aider les utilisateurs à protéger leurs clés privées dans le cadre d’une conservation autonome. Il ne protège toutefois pas les clés API d’un exchange et ne peut pas empêcher des transactions non autorisées effectuées par l’intermédiaire d’un service connecté. Ces risques nécessitent des mesures de sécurité distinctes, à la fois au niveau de la plateforme d’échange et de l’application.