L'échange de crypto basé au Kirghizistan suspend les négociations après une cyberattaque de 15 millions de dollars USDT et une violation de portefeuille

L'échange de crypto basé au Kirghizistan, Grinex, a suspendu toute activité de négociation après que des pirates ont volé plus de 15 millions de dollars USDT de ses portefeuilles. L'échange a publié une déclaration publique confirmant l'attaque, tandis que la firme britannique d'analyse blockchain Elliptic a suivi les fonds volés et a découvert que les attaquants les avaient déplacés pour éviter la détection.

L'incident survient dans le contexte d'une vague plus large d'attaques ciblant les échanges de crypto dans le monde entier en 2025 et 2026, où les vulnérabilités des portefeuilles chauds et les compromissions des flux de signature sont restées les points d'entrée les plus exploités.

Les pirates ont volé de l'argent et arrêté les négociations de Grinex

Les pirates ont soulevé des inquiétudes concernant la sécurité des fonds des utilisateurs sur les échanges de crypto après avoir pénétré le système de portefeuille de Grinex et volé plus d'un milliard de roubles (environ 13 à 15 millions de dollars américains en USDT). Les fonds ont été rapidement déplacés sur plusieurs adresses blockchain.

Alors que les enquêtes sur la violation de l'échange au Kirghizistan sont toujours en cours, l'incident s'ajoute aux préoccupations croissantes concernant la posture de sécurité des plateformes de négociation de crypto de taille petite et moyenne opérant dans des juridictions avec une supervision réglementaire limitée.

Pour prévenir d'autres dommages, l'échange a gelé toute l'activité de la plateforme, y compris les retraits, laissant de nombreux utilisateurs incapables d'accéder à leurs fonds. Grinex a décrit l'attaque comme hautement coordonnée et a déclaré que les pirates étaient des individus qualifiés utilisant des outils et des ressources avancés pour pénétrer le système. L'entreprise a même affirmé que des services de renseignement étrangers pourraient être impliqués, et que l'objectif était de nuire au système financier de la Russie et à son indépendance.

Cependant, la source des attaques reste inconnue, car il n'y a aucune preuve claire soutenant les allégations d'implication étrangère. 

En même temps, Grinex a déclaré qu'il avait fait face à des problèmes similaires dans le passé, y compris la pression des sanctions, les restrictions de transaction et les attaques mineures répétées, ce qui l'a forcé à répondre sévèrement.

L'échange a pris des mesures légales pour déposer une plainte pénale et a même partagé toutes les informations disponibles avec les agences d'application de la loi pour un suivi plus facile des données.

L'incident a montré à quel point les échanges liés aux systèmes sanctionnés font souvent face à des risques plus élevés, y compris les cyberattaques, une surveillance réglementaire accrue et une pression accrue des acteurs externes.

De même, l'événement expose les faiblesses des échanges centralisés qui détiennent de grandes quantités de fonds d'utilisateurs en un seul endroit, soulignant le besoin de sécurité renforcée alors que les attaquants deviennent de plus en plus sophistiqués jour après jour.

Les attaquants déplacent les fonds volés pour les cacher

Les pirates de Grinex ont immédiatement déplacé les USDT volés en utilisant des outils blockchain pour ralentir le suivi des forces de l'ordre.

Selon les rapports d'Elliptic, les attaquants ont rapidement envoyé les USDT volés à travers de nombreux portefeuilles et réseaux, y compris Tron et Ethereum, rendant le suivi encore plus difficile. Ils ont ensuite converti les USDT volés en d'autres actifs, tels que TRX et ETH, parce que Tether contrôle les USDT et pourrait facilement geler les fonds liés à un crime.

Finalement, les pirates ont atteint la consolidation, au cours de laquelle ils ont déplacé les fonds dans un seul portefeuille principal détenant 45,9 millions de TRX (environ 15 millions de dollars) pour décider de les conserver, de les déplacer à nouveau ou de les encaisser.

L'événement entier montre un comportement criminel courant qui s'appuie sur des outils décentralisés en raison de l'absence d'autorité centrale, permettant aux criminels de déplacer des fonds sans être arrêtés. 

Les experts ont déjà signalé de tels modèles dans les risques de stablecoin, y compris le saut de chaîne (déplacer des fonds à travers différentes blockchains pour éviter la détection) et le stratification (utiliser de multiples portefeuilles pour répartir les fonds sur différentes adresses).

Grinex est largement considéré comme le successeur de Garantex, un grand échange de crypto qui a fermé après des sanctions des États-Unis, de l'Union européenne et du Royaume-Uni pour des allégations de blanchiment d'argent.

Cependant, même après la fermeture de Garantex en 2025, ses utilisateurs et sa liquidité se sont déplacés vers d'autres plateformes, et l'une des cibles principales était Grinex. Cette migration a fait de Grinex un hub de négociation essentiel pour les utilisateurs manipulant des roubles et des crypto.

Il est également devenu un centre pour l'activité de stablecoin, telle que la stablecoin adossée au rouble A7A5, mais cela a compliqué les choses car le token est également adossé à des dépôts détenus par des institutions qui ont fait face à des sanctions. 

A7A5 fonctionne également sur des blockchains comme Ethereum et Tron, lui permettant de traverser les frontières facilement et de soutenir des transactions très importantes. 

Il est intéressant de noter que seul un petit nombre de portefeuilles contrôle une grande part de ces transactions, maintenant l'activité concentrée parmi quelques acteurs clés et augmentant le risque d'évasion des sanctions.

Selon Elliptic, ces acteurs des sanctions utilisent les stablecoins pour contourner les restrictions financières, donc le piratage de Grinex se connecte à la façon dont les plateformes qui opèrent dans certaines régions deviennent des outils utiles et des cibles majeures.

La situation entière exerce plus de pression sur les échanges pour améliorer leurs mesures de sécurité et détecter les comportements inhabituels avant qu'ils ne deviennent une perte majeure. En même temps, les attaquants continuent de s'adapter en passant entre les actifs et en utilisant des outils plus difficiles à contrôler.