Comment des pirates ont dérobé 1 milliard de roubles sur une bourse cryptographique russe en cinq minutes
Des pirates ont retiré plus d’un milliard de roubles (environ 14 millions de dollars) de la bourse Grinex en seulement cinq minutes, grâce à un stratagème sophistiqué impliquant des services décentralisés et la fragmentation des fonds. Il ne s’agissait pas d’une intrusion aléatoire : il s’agissait d’une attaque préméditée, révélant à quel point même les grandes plateformes peuvent être vulnérables lorsqu’elles négligent les bonnes pratiques de sécurité de base.
Déroulé de l’attaque : trois étapes pour faire disparaître un milliard de dollars
La plateforme AML CoinKit a reconstitué la séquence des événements. Tout a commencé par le retrait simultané de stablecoins USDT depuis 54 portefeuilles — 48 sur le réseau TRON (TRC-20) et 5 sur Ethereum (ERC-20). Ces fonds sont arrivés presque instantanément sur deux adresses TRON : TQdCoD5XeZwpTkGvECax5URgtnGYSCsErs et TXWExsfktiLjq1dJQg7My2NzqfbUfmgP2D.
Ensuite, les attaquants ont accompli ce qui rend les enquêtes nettement plus complexes : ils ont converti les USDT en TRX, la cryptomonnaie native de TRON, via le protocole décentralisé SUN.io (appartenant à l’écosystème SunSwap). Cela revient à comparer un voleur qui dérobe des dollars puis les échange immédiatement contre des euros dans un kiosque non régulé — sans laisser de trace écrite.
La dernière étape : tous les TRX ont été regroupés sur une seule adresse — TH9kgjfrKeTNeyXtDKvxCXZ1dVKr7neKVa. Ce portefeuille est désormais surveillé activement par des analystes — mais récupérer les fonds sans la coopération des forces de l’ordre et des experts en analyse blockchain est quasiment impossible.
Pourquoi cette attaque n’était pas une « intrusion classique »
Habituellement, les pirates agissent de façon chaotique : ils saisissent les actifs et fuient aussitôt. Ici, un plan précis a été suivi :
- Des retraits massifs depuis des dizaines d’adresses simultanément — afin de devancer les délais de réaction des systèmes de sécurité.
- Une conversion de type d’actif via un DEX (échange décentralisé) — pour brouiller la traçabilité des transactions.
- Un regroupement sur un seul portefeuille — en vue d’un retrait ultérieur ou d’un retrait en espèces.
« Ce n’est pas une intrusion banale : il s’agit d’une opération coordonnée et préméditée », a souligné Vitaly Gorbenko, PDG de CoinKit. Il a noté que le haut degré d’automatisation reflète une préparation avancée de la part des attaquants.
Fait intéressant, Grinex n’était pas la seule victime. TokenSpot a perdu environ 5 000 dollars — et ces fonds se sont également retrouvés sur la même adresse finale. Cela suggère que les attaquants ont soit testé leur méthode, soit déployé le même vecteur d’attaque sur plusieurs plateformes.
Faits clés
- Montant perdu : environ 1 milliard de roubles (14 millions de dollars), principalement en USDT.
- Méthode : fragmentation → conversion via DEX → regroupement.
- Réseaux concernés : principalement TRON, avec une activité partielle sur Ethereum.
- Auteurs présumés : aucune preuve ne désigne des acteurs étatiques ; il s’agit très probablement d’un groupe criminel.
- Statut du portefeuille : déjà signalé dans les systèmes AML ; toutes les transactions associées font l’objet d’une surveillance active.
Ce que cela signifie pour les utilisateurs ordinaires
Si vous stockez des cryptomonnaies sur une bourse — notamment une bourse peu connue ou régionale — vos actifs peuvent être exposés à un risque. Même les « portefeuilles chauds » (permettant des retraits rapides) exigent une protection multicouche. Aujourd’hui, les pirates ne se contentent pas de craquer des mots de passe : ils déploient des schémas financiers complexes, rappelant les raids corporatifs du secteur bancaire traditionnel.
La meilleure défense consiste à garder la majeure partie de vos actifs hors des bourses, dans des « portefeuilles froids » (appareils matériels ou stockage hors ligne). Privilégiez les bourses ayant fait l’objet d’audits de sécurité indépendants et proposant une assurance sur les actifs.
Enfin, des incidents comme celui-ci nous rappellent que le marché des cryptomonnaies reste sauvage et dangereux. C’est précisément pourquoi des entreprises comme CoinKit et TRM Labs existent : elles rendent le système un peu plus sûr en surveillant en temps réel les flux suspects.
— Editorial Team
