Les données crypto volées sont vendues sur le dark web pour $105

Les comptes crypto volés se vendent sur le dark web pour un prix moyen de 105 $. Les données sont collectées à partir d'attaques de hameçonnage et sont considérées comme la première étape d'une chaîne d'approvisionnement complexe de vols.

Le prix d'un seul compte crypto varie entre 60 $ et 400 $, selon SecureList. Les pirates capturent les données crypto, les monétisent immédiatement ou les conservent dans une base de données. La destination finale dépend du type et de la qualité des données capturées.

Comment les données crypto volées quittent les sites de hameçonnage

Les données crypto capturées quittent une page de hameçonnage de trois manières : livraison par e-mail, livraison par bot Telegram ou téléchargement sur le panneau d'administration.

Les attaquants abusent également de services légitimes pour masquer leurs activités. Il s'agit de Google Forms, Microsoft Forms, GitHub, Discord et d'autres plateformes similaires.

Dans la livraison par e-mail, les données sont collectées à partir de faux formulaires HTML puis envoyées à un script côté serveur, généralement PHP. Le script transmet ensuite les détails volés à une adresse e-mail contrôlée par l'attaquant.

Un kit de hameçonnage possède un fichier pour héberger la fausse page de connexion, un script pour traiter le formulaire et un troisième fichier contenant l'adresse e-mail de l'attaquant. Cependant, la livraison par e-mail est en baisse en raison de retards, de blocages par les fournisseurs et d'une mauvaise évolutivité.

Au lieu de l'e-mail, de nombreux kits envoient désormais les données directement aux bots Telegram. Le script malveillant appelle l'API Telegram à l'aide d'un jeton de bot et d'un ID de chat. Parfois, l'appel API est intégré directement dans le code HTML.

Telegram est devenu un canal préféré pour les pirates. Les données volées arrivent instantanément. Les opérateurs reçoivent des alertes en temps réel. Les bots sont jetables et difficiles à tracer. Et l'hébergement n'a pas beaucoup d'importance.

Les attaquants avancés préfèrent les panneaux d'administration. Ils font partie d'un framework ou d'un squelette qui capture les données crypto et les envoie à une base de données. L'attaquant gère les données via une interface web.

Les panneaux d'administration fournissent des statistiques en direct par heure et par pays. Des vérifications automatisées des identifiants sont incluses. Le framework exporte également les données pour la revente ou la réutilisation. Ces panneaux sont essentiels pour les opérations de hameçonnage organisées.

Vente de données crypto volées

Les données crypto sont précieuses car elles conduisent souvent à des fonds. Les données volées peuvent être vendues en temps réel ou entrer dans une chaîne de revente, selon SecureList de Kaspersky.

Les pirates ciblent les connexions aux échanges, l'accès aux portefeuilles et les comptes de conversion fiat. D'autres données ciblées incluent les identifiants de compte, les numéros de téléphone et les détails personnels.

Les connexions de portefeuille avec des codes à usage unique ou les comptes liés aux conversions fiat sont éligibles pour les ventes en temps réel. Les données restantes sont utilisées pour des attaques de suivi.

Les numéros de téléphone pourraient être utilisés pour des arnaques SMS ou l'interception de la 2FA. Les données personnelles sont utilisées pour l'ingénierie sociale. Les documents d'identification, la voix, les données faciales ou les selfies avec des documents sont utilisés pour des abus à haut risque.

La chaîne de revente commence par des ventes de dumps. Les données sont regroupées en grands archives ou dumps. Ceux-ci contiennent des millions d'enregistrements provenant d'attaques de hameçonnage. Les intermédiaires achètent des dumps pour aussi peu que 50 $.

Une fois qu'un dump est acquis, les intermédiaires filtrent et testent les données. Ensuite, des scripts automatisés vérifient si les identifiants fonctionnent encore ou non. Le code voit également où ils peuvent être réutilisés ailleurs.

La réutilisation des mots de passe rend les anciennes données précieuses. Un identifiant volé il y a des années peut toujours déverrouiller un compte différent aujourd'hui. Ensuite, les données de plusieurs attaques sont fusionnées. Un mot de passe, un numéro de téléphone et un ancien enregistrement d'employeur peuvent créer un profil d'utilisateur unique.

Une fois que les données volées sont nettoyées et organisées, elles sont prêtes à être revendues aux escrocs. Les données vérifiées sont vendues sur les forums du dark web et les canaux Telegram.

Telegram agit souvent comme une vitrine avec des prix et des commentaires d'acheteurs. Les prix varient en fonction de l'âge du compte, du solde, des paiements liés et de l'état de la 2FA.

Plages de prix typiques :

• Comptes crypto : $60 – $400.

• Réseaux sociaux : quelques centimes à des centaines de dollars.

• Applications de messagerie : quelques centimes à $150.

• Documents personnels : $0.5–$125.

L'analyse de Kaspersky a montré que 88,5 % des attaques ciblent les identifiants de compte. Environ 9,5 % volent des données d'identité personnelle, tandis qu'un simple 2 % collecte des détails de carte bancaire. Le cabinet de cybersécurité a analysé les attaques de hameçonnage de janvier à septembre 2025.

Les données crypto volées sont un actif précieux pour les cybercriminels. Elles sont stockées, évaluées, échangées et réutilisées. Une seule erreur de hameçonnage peut entraîner de gros piratages crypto, même des années plus tard.