Après avoir eu recours à un site malveillant qui leur offrait la possibilité de générer une « seed phrase » pour leur portefeuille IOTA, de nombreux utilisateurs se sont faits voler leurs actifs.
Près de 4 millions de dollars de IOTA dérobés
Il y a deux jours, plusieurs internautes ont déclaré que les fonds présents dans leur portefeuilles IOTA avaient été volés.
Ces vols porteraient sur l’équivalent de près de 4 millions de dollars :
In the end, at least $3.94m worth of IOTA was stolen. This was facilitated by a DDoS attack against all public nodes.
— Nic Carter (@nic__carter) 21 janvier 2018
La cause ? Les « seed generators », ces sites internet qui permettent de générer de manière simple une nouvelle « seed phrase » pour un wallet IOTA.
Comme le précise le site HelloIOTA, il existait pourtant des solutions sécurisées, telles que l’utilisation d’un « seed generator » IPFS, ou la création d’une clé à travers un terminal un terminal sur Mac ou sur Linux. Toutefois, ces solutions ne sont pas simples d’utilisation – ce qui a, semble-t-il, conduit de nombreux utilisateurs à se tourner vers de tels sites.
Lors de la rédaction de cet article, le site qui arrivait en première position sur la recherche « IOTA seed generator » avait été fermé :
Les visiteurs qui s’y étaient rendus devaient faire bouger leur souris à travers leur écran pour « générer du hasard ». Le site leur fournissait ensuite une seed pour leur wallet IOTA. Il leur offrait également la possibilité de disposer d’une version chiffrée de celle-ci.
Une période compliquée
D’après un article de blog publié ce week-end par Ralf Rottmann, l’un des membres du IOTA Evangelist Network, les pirates ont mené des attaques DDoS contre certains fullnodes IOTA, empêchant ainsi les victimes de recouvrer l’accès à leurs fonds :
« Les pirates connaissaient les seeds. Vous les invitiez dans votre wallet, en leur offrant vos clés sur un plateau d’argent. La communauté des opérateurs de fullnodes débattent des stratégies à mettre en œuvre pour pouvoir, à l’avenir, protéger plus efficacement les nœuds de la communauté contre des attaques DDoS similaires.
La communauté a insisté sur le fait que cette faille n’avait strictement rien à voir avec la technologie IOTA, et qu’elle était liée à des tiers malveillants. Elles a fourni des préconisations aux utilisateurs qui avaient été victimes de tels services.
Depuis plusieurs semaines, le réseau semble traverser une période de fortes turbulences
On peut ainsi citer ses clarifications concernant son partenariat avec Microsoft, ou encore la découverte de failles dans le code IOTA, qui ont depuis été réparées. En octobre dernier, les développeurs avaient été contraints, après êtes parvenues à stopper une attaque de pirates, de prendre temporairement le contrôle de fonds qui courraient des risques.
Référence : CCN, HelloIOTA
