Indodax conservait 22 M$ dans ses portefeuilles chauds — une seule brèche a vidé six chaînes à la fois

Indodax, la plus grande plateforme d'échange de cryptomonnaies d'Indonésie avec plus de 6 millions d'utilisateurs, utilisait des portefeuilles chauds — des portefeuilles connectés à Internet servant à financer les retraits quotidiens — qui contenaient des dizaines de millions de dollars répartis sur plusieurs blockchains. Le 11 septembre 2024, des attaquants ont fait passer plus de 150 transactions suspectes et ont vidé environ 22 millions de dollars : environ 14,6 millions de dollars en jetons ERC-20, 2,58 millions de dollars en actifs Polygon, 2,4 millions de dollars en Tron, 1,42 million de dollars en Bitcoin et des montants plus faibles en Ethereum sur Optimism.

Indodax a mis hors ligne ses applications web et mobiles le jour même, parlant de « maintenance complète », et a déclaré aux utilisateurs que leurs soldes restants étaient toujours entièrement couverts. Les sociétés de forensique blockchain qui ont suivi les fonds volés — Cyvers, SlowMist et PeckShield entre autres — ont indiqué que le schéma de l'attaque et la manière dont les produits ont été blanchis via des échanges en ETH, TRON, Polygon et Bitcoin ressemblaient fortement au groupe Lazarus de Corée du Nord, l'acteur mis en cause pour les piratages des plateformes WazirX et Bybit. Aucune partie n'a revendiqué l'attaque et Indodax n'a pas confirmé cette attribution.

Le régulateur indonésien des produits dérivés, Bappebti, a convoqué Indodax pour obtenir des explications et a demandé aux clients de rester calmes pendant qu'il surveillait la réponse de la plateforme. Indodax a déclaré détenir environ 369 millions de dollars de réserves — plus de dix fois la somme volée — et s'est engagé à indemniser les utilisateurs affectés à partir de ce coussin plutôt qu'à leur répercuter la perte.

Les attaquants ont vidé 22 M$ en Bitcoin, Ethereum, Tron et Polygon lors d'une seule brèche ; Indodax s'est engagé à couvrir les pertes à partir de 369 M$ de réserves.

Des dizaines de millions de dollars se trouvaient dans des portefeuilles chauds — accessibles via Internet pour les retraits courants — au lieu du stockage froid et hors ligne que les plateformes utilisent pour l'essentiel des fonds des clients.

Les soldes étaient répartis sur six blockchains différentes au sein de ces portefeuilles chauds, de sorte qu'un seul point d'accès compromis pouvait vider les avoirs en Bitcoin, Ethereum, Tron et Polygon au cours de la même série de transactions.

Plus de 150 transactions ont été effectuées avant qu'Indodax ne s'en aperçoive et ne mette sa plateforme hors ligne, ce qui indique que la surveillance n'a détecté la brèche qu'une fois les fonds déjà en mouvement.

L'argent maintenu accessible pour les retraits est de l'argent accessible à un attaquant. Moins une plateforme garde de fonds en portefeuille chaud, et moins il y a de chaînes derrière un même portefeuille, moins une seule brèche peut emporter.

Indodax a rétabli sa plateforme après l'avoir mise hors ligne pour maintenance et a déclaré qu'elle couvrirait les pertes des utilisateurs à partir de ses propres réserves. Bappebti a maintenu la plateforme sous examen, et des commentateurs juridiques indonésiens ont soutenu que la brèche elle-même montrait qu'Indodax n'avait pas atteint les normes de fiabilité du système exigées par Bappebti et l'OJK pour les plateformes de cryptomonnaies agréées.