Crypto․com n'a pas caché le piratage de 2023, le PDG réfute les affirmations de ZachXBT

Un adolescent et ses complices ont pris le contrôle du compte employé de l'échange de crypto Crypto․com en 2023, ce que l'enquêteur blockchain ZachXBT accuse l'entreprise d'avoir dissimulé. 

Répondant au post de l'échange samedi, ZachXBT a affirmé la plateforme avait été compromise à plusieurs reprises, mais elle aurait « caché une violation qui a affecté les informations personnelles des utilisateurs ».

PDG de Crypto.com : Nous n'avons pas caché une violation publique

Le chef de la direction Kris Marszalek a répondu aux allégations de ZachXBT lundi, les qualifiant de « complètement infondées ». Dans un post sur X, il a écrit que l'entreprise n'avait pas manqué de divulguer une violation de sécurité et avait déposé un « Avis d'incident de sécurité des données » auprès des régulateurs.

Je veux aborder directement et clairement certaines fausses informations qui se répandent provenant de sources peu informées…
Toute suggestion selon laquelle nous n'aurions pas signalé ou divulgué un incident de sécurité est complètement infondée – comme nous l'avons signalé dans un dépôt d'Avis NMLS d'incident de sécurité des données et dans des…

— Kris (@kris) septembre 22, 2025

Selon Marszalek, l'incident de 2023 impliquait une campagne de hameçonnage qui a ciblé un employé mais a été contenue en quelques heures. 

« Aucun fonds client n'a été accès ou n'a jamais été en danger, et cela n'a affecté qu'un nombre extrêmement limité de PII partiels de nos utilisateurs. Nos systèmes sont éprouvés et s'améliorent continuellement – nous sommes fiers de notre culture axée sur la sécurité et d'avoir le plus grand nombre de certifications de sécurité de toute entreprise de notre secteur », a affirmé Marszalek.

Mais après sa réponse, ZachXBT a demandé au PDG de partager une URL indiquant où les incidents avaient été divulgués publiquement, tout comme Coinbase et Gemini l'ont fait plus tôt cette année pour leurs violations.

« Puisque le PDG de Crypto.com Kris m'a bloqué, je ne peux pas répondre à son post et je répondrai simplement ici… Les soldes des utilisateurs, les noms, les e-mails et les numéros de téléphone fuités lors d'autres incidents sont un peu plus que du « PII partiel », a répondu l'enquêteur. 

En juillet, ZachXBT a accusé l'entreprise de trading d'initiés, pour avoir brûlé 70 milliards de tokens CRO en 2021, pour ensuite réémettre le même montant en 2023 via un vote de gouvernance dans lequel les validateurs liés à l'échange contrôlaient la majeure partie du résultat.

« Souvenez-vous, ils ont également imprimé plus de tokens, sans raison apparente. Toutes les nuances de drapeaux rouges », a commenté un utilisateur sur les allégations. Crypto․com n'a pas répondu à ces affirmations et continue de développer des partenariats, y compris une alliance avec Trump Media pour créer une trésorerie d'actifs numériques pour le CRO.

Le hacker adolescent derrière la violation de Crypto.com

Selon les enquêtes de Bloomberg, les auteurs faisaient partie du collectif Scattered Spider, y compris un 18-year-old de Floride nommé Noah Urban. 

Urban a admis avoir participé à l'un des réseaux de cybercriminalité les plus destructeurs au monde, qui en 2023 a orchestré une attaque contre MGM Resorts International causant 100 millions de dollars de dommages, et une autre contre le détaillant britannique Marks & Spencer pour environ 400 millions de dollars.

Avec l'aide d'un autre hacker connu seulement sous le nom de Jack, l'adolescent aurait utilisé des techniques d'ingénierie sociale pour se faire passer pour du personnel et « a réussi à convaincre » d'accéder au compte d'un employé de Crypto.com, ainsi qu'aux systèmes de United Parcel Service, pour recueillir des données personnelles. 

UPS a plus tard confirmé avoir corrigé la vulnérabilité mais a refusé de fournir des détails sur l'affaire. Pour Crypto․com, un porte-parole de l'entreprise a déclaré que l'épisode n'a affecté qu'« un très petit nombre d'individus » et qu'aucun fonds client n'a été compromis.

Noah Urban a été condamné à la prison

La voie de Noah Urban vers la cybercriminalité a commencé à l'âge de 15 ans dans les communautés de jeu Minecraft, où il a appris des techniques de SIM-swapping qui nécessitaient peu d'expertise technique. 

Selon Bloomberg, Urban avait une voix grave inhabituelle pour son âge ; il se faisait passer pour du personnel de télécommunications et trompait les employés pour qu'ils partagent des numéros de téléphone.

« Salut, je m'appelle Kevin, et j'appelle de la gestion de la sécurité interne de T-Mobile », lisait l'un des scripts que l'adolescent utilisait pour ses tactiques d'ingénierie sociale. 

Alors que a révélé dans l'enquête, il a gagné 50 dollars pour chaque appel réussi, accumulant jusqu'à 3 000 dollars en une seule semaine tandis que ses amis de jeu écoutaient son canal Discord.