Les échanges russes comme Grinex sont-ils ciblés par des pirates ou des espions ?

Au moins un autre échange de cryptomonnaies lié à la Russie a été touché dans le piratage de plusieurs milliards de roubles de Grinex, une entreprise kirghize sanctionnée, selon des analyses de la blockchain.

Les rapports sur ces incidents simultanés ont suscité des soupçons que les cyberattaques auraient pu être coordonnées et menées par des services de renseignement plutôt que par des groupes de pirates.

L'échange crypto kirghize TokenSpot subit également une brèche

La Russie aurait utilisé plusieurs plateformes de cryptomonnaies enregistrées dans des États alliés, comme le Kirghizistan, pour contourner les restrictions financières imposées en raison de sa guerre en Ukraine.

Le plus connu d'entre eux, l'échange Grinex, a été piraté cette semaine, perdant bien plus d'un milliard de roubles en cryptomonnaies, soit presque 15 millions de dollars exactement. Et il n'était pas seul.

Les sociétés spécialisées en forensique blockchain ont rapidement retracé la crypto volée, principalement des USDT sur Tron, qui a ensuite été convertie via la plateforme décentralisée SunSwap en tokens Tron (TRX), soit près de 46 millions d'unités, avant d'être déposée sur une seule adresse.

Selon un rapport de TRM Labs, un autre service de trading de cryptomonnaies kirghize, TokenSpot, supposé lié à Grinex, a également été touché.

Leurs analystes ont découvert qu'un montant plus faible d'argent numérique, d'une valeur inférieure à 5 000 $, avait été envoyé vers le même portefeuille de consolidation utilisé lors du grand piratage.

Mercredi, jour où Grinex a suspendu ses opérations, TokenSpot a pris la parole sur Telegram pour informer les utilisateurs d'une période de maintenance en cours, avec une reprise des opérations le lendemain, selon TRM jeudi.

Alors que Grinex a identifié 54 adresses associées à l'attaque, TRM Labs en a trouvé 16 autres, dont certaines ont également servi à transférer des fonds depuis TokenSpot.

Ce dernier est enregistré au Kirghizstan mais dessert principalement des clients russes et prend en charge les transactions en rouble, a rapporté vendredi l'agence d'actualités économiques RBC.

Dans un message Telegram, la société russe SHARD, fournisseur de services de lutte contre le blanchiment d'argent et de connaissance du client, a fait remarquer :

« Selon l'analyse on-chain, il est probable que non seulement l'échange Grinex, mais aussi un autre service situé dans Moscow City, ait été victime des mêmes attaquants. »

Grinex, basé au Kirghizistan et successeur de l'échange russe Garantex, qui a été fermé dans le cadre d'un effort mené par les États-Unis l'an dernier, possède un bureau dans le même centre d'affaires dans la capitale russe.

Après avoir identifié la faille et suspendu toutes les opérations, Grinex a contacté les autorités judiciaires et partagé les données collectées pour une enquête approfondie.

La plateforme de trading de cryptomonnaies a allégué avoir été « victime d'une cyberattaque à grande échelle avec des indices impliquant des agences de renseignement étrangères » et a mis en avant :

« L'empreinte numérique et la nature de l'attaque indiquent un niveau de ressources et de technologie sans précédent, accessible uniquement à des entités d'États hostiles ».

« Selon les données préliminaires, l'attaque a été coordonnée dans le but de nuire directement à la souveraineté financière de la Russie », a également déclaré l'échange.

Grinex a-t-il été victime de pirates informatiques ordinaires ou d'espions occidentaux ?

L'affirmation de Grinex n'a pas encore été étayée par des déclarations officielles, mais elle a déclenché des débats dans l'espace crypto russe, avec des opinions soutenant les deux scénarios.

SHARD a commenté que les actions de l'échange semblent motivées par la volonté de protéger les fonds contre un blocage par l'émetteur.

Lorsque son prédécesseur, Garantex, a été mis hors ligne au début de 2025, Tether a gelé 27 millions de dollars de USDT sur sa plateforme.

« Cela indique une nature économique plutôt que politique de la cible, et il est possible que le piratage ne soit pas lié à des services de renseignement étrangers », a précisé la société.

Les spécialistes de la conformité AML chez CoinKit ont conclu que, puisque les attaquants ont vidé les portefeuilles de l'échange en environ cinq minutes, l'attaque a été préméditée et exécutée automatiquement.

Les analystes ont indiqué que ce schéma a été observé lors de la plupart des piratages majeurs d'échanges au cours des deux dernières années et ne nécessite pas l'accès à des ressources gouvernementales.

« La nature des transactions ne correspond pas à la signature des groupes de hackers d'élite travaillant pour des gouvernements », a confirmé la plateforme de conformité BitOK.

Cependant, elle a également noté que Grinex est sanctionné par les États-Unis, l'UE et le Royaume-Uni, ce qui en fait une « cible légitime » pour les services de renseignement occidentaux, et a souligné :

« Il existe des précédents historiques. En 2025, l'échange iranien Nobitex a perdu 90 millions de dollars suite à une attaque menée par un groupe lié à Israël.

L'échange de cryptomonnaies lié à la Russie a traité plus de 93 milliards de dollars de transactions en utilisant la stablecoin adossée au rouble A7A5.

Les entités liées aux monnaies numériques, notamment la société enregistrée au Kirghizistan Old Vector, qui l'émet actuellement, sont également sanctionnées par l'Occident.