Phantom et OKX font face à une poursuite judiciaire pour un vol de cryptomonnaies de 500 000 $ et l'effondrement du Wiener Doge

La société Phantom Technologies et la plateforme d'échange de cryptomonnaies OKX font l'objet de poursuites judiciaires pour des failles de sécurité ayant entraîné la perte de plus de 500 000 dollars d'actifs numériques. La plainte, déposée auprès du tribunal du district sud de New York, indique que la conception du portefeuille Phantom a exposé les utilisateurs à des cyberattaques.

Liam Murphy, l'avocat du plaignant, a déclaré que l'extension de navigateur de Phantom présentait des failles exploitables par lesquelles des pirates ont dérobé ses cryptomonnaies, entraînant l'échec de son Solana. Après l'attaque, la valeur du jeton a chuté à près de 99 % de sa valeur initiale, qui dépassait les 3 millions de dollars.

D'après les plaintes déposées auprès du tribunal, Phantom aurait mal interprété les mesures de sécurité de son portefeuille électronique. L'entreprise aurait stocké les clés privées déchiffrées des utilisateurs dans la mémoire du navigateur, permettant ainsi de contourner la plupart des pratiques de sécurité classiques, telles que l'authentification à deux facteurs.

Il semblerait que l'attaquant ait exploité la fonctionnalité Swapper intégrée à Phantom pour échanger des jetons Wiener Doge contre Solana (SOL), ce qui a entraîné la faillite du projet. Suite à cet incident, le prix du Wiener Doge, initialement fixé à 3,1 $ par jeton, est tombé sous la barre des 0,01 $.

Les allégations s'étendent au partenaire de Phantom, OKX

La plainte accuse également OKX d'avoir activement participé à la liquidation illégale du compte de Murphy. Dans ce document, OKX affirme que l'infrastructure de trading mise en place par le pirate a permis le transfert d'actifs depuis Phantom via l'intégration du portefeuille.

Les plaignants soutiennent qu'OKX aurait raisonnablement pu savoir que l'outil Swapper de Phantom fonctionnait comme un intermédiaire non enregistré auprès de la CFTC. La plainte indique également que les jetons volés ont été convertis en SOL via les structures de routage et de tarification d'OKX. Dans leur action en justice, les plaignants affirment que le défendeur n'aurait pas pu liquider les actifs volés sans la participation d'OKX.

Murphy et treize autres personnes ayant investi dans Wiener Doge par l'intermédiaire de proches ont intenté une action en dommages et intérêts, se basant sur la valeur du jeton à son apogée. Ils allèguent également l'absence de protocoles essentiels tels que la vérification de la vélocité et la détection des anomalies de géolocalisation, pourtant indispensables sur les plateformes d'échange similaires à Coinbase.

Les antécédents judiciaires d'OKX sont également évoqués dans cette affaire. La plainte cite notamment la reconnaissance de culpabilité de la plateforme dans une affaire fédérale de blanchiment d'argent portant sur plus de 5 milliards de dollars, comme exemple de son mépris constant des règles de conformité.

La partie plaignante a déclaré que Phantom connaissait le danger lié au stockage des clés dans le cache du navigateur. Elle affirme que l'entreprise était pleinement consciente que les nouveaux utilisateurs étaient des cibles privilégiées des de phishing attaques et des logiciels malveillants, et qu'elle n'a pourtant pas pris les mesures appropriées.

Des experts en sécurité contestent la réponse de Phantom

Le chercheur en sécurité Cloakd a récemment affirmé que Phantom n'avait jamais pris contact avec lui pour résoudre le problème, malgré le fait qu'il les ait informés d'une faille dans l'application. Il a déclaré être resté sans réponse pendant plus de 28 jours, alors qu'il existait un risque potentiel pour les utilisateurs. En réponse, Phantom a rejeté les accusations de Cloakd concernant la mise en danger des fonds des utilisateurs.

« Cela fait plus de 28 jours que j'attends la correction d'une importante faille de sécurité dans l'une des plus grandes applications de SOL », a déclaré Cloakd.

Un autre développeur de Taptrade, Andy, a appuyé les propos de Cloakd, expliquant qu'après avoir signalé plusieurs failles de sécurité dans Phantom, il n'avait jamais reçu de réponse. Les deux analystes ont critiqué Phantom pour son manque de rigueur en matière de sécurité.

Nous avons lancé une campagne massive de messages privés de groupe où nous partagions des exploits et des bugs avec des équipes de tout l'écosystème.

Le manque de réponse de la plupart d'entre elles était sidérant.

— Andy | (!FF) (@AndyRewNFT) 21 janvier 2025