Bitcoin : cette technique du copier-coller a siphonné des portefeuilles pendant 8 ans, le réseau vient d'être démantelé

Une adresse Bitcoin ou Ethereum presque identique à la vôtre, à un caractère près. Vous la copiez, vous la collez, vous validez la transaction… et les fonds partent vers un inconnu. Pendant huit ans, le botnet Sality a exploité ce réflexe banal pour siphonner discrètement des cryptomonnaies partout dans le monde.

Actif depuis 2003, ce réseau de machines infectées vient d’être neutralisé par CrowdStrike et les autorités américaines après plus de vingt ans d’existence, dont huit consacrés au vol de Bitcoin et d’Ethereum via une simple surveillance du presse-papiers. Une longévité hors normes pour un botnet, qui interroge autant sur sa mécanique que sur ce que ce démantèlement change vraiment pour les utilisateurs crypto.

Sality, un botnet de 23 ans spécialisé dans le vol de crypto

Apparu en 2003, Sality n’a pas été conçu à l’origine pour les cryptomonnaies. Ce logiciel malveillant polymorphe s’attachait aux fichiers exécutables des machines compromises et se propageait via les partages réseau et les clés USB. Il a longtemps servi de plateforme pour le vol d’identifiants, l’envoi massif de spam, des services proxy ou encore des attaques par déni de service. Sur les huit dernières années, sa charge utile principale a toutefois changé de nature : un module baptisé EggJagger, dédié au vol de cryptoactifs.

EggJagger mettait en œuvre une technique de clipjacking : le programme surveillait en continu le presse-papiers des ordinateurs infectés. Dès qu’il détectait une chaîne qui ressemblait à une adresse Bitcoin ou Ethereum, il la remplaçait silencieusement par une adresse contrôlée par l’opérateur. L’utilisateur pensait envoyer des fonds à « bc1…XYZ », il validait en réalité un paiement vers « bc1…ABC », quasi identique visuellement. CrowdStrike évalue le butin confirmé à au moins 12,1 millions de roubles, soit environ 150 000 dollars (autour de 140 000 €), tandis que les avoirs non dépensés liés aux portefeuilles de Sality ont culminé autour de 147 millions de roubles début 2025, soit près de 1,35 million de dollars.

Une opération internationale pour neutraliser EggJagger et protéger les utilisateurs

Si Sality a survécu aussi longtemps, c’est en grande partie grâce à son architecture peer-to-peer : aucun serveur central à saisir, les machines infectées échangeaient directement entre elles. Pour le démanteler, les équipes de CrowdStrike, en lien avec le Department of Justice américain, le FBI, le Defense Criminal Investigative Service et plusieurs polices européennes, ont mis en place une opération de sinkholing P2P. Les chercheurs ont manipulé les listes de « super-peers », ces nœuds clés du réseau, pour y injecter leurs propres adresses et isoler progressivement les bots. Cette prise de contrôle a été décrite par CrowdStrike comme « la prise de contrôle de botnet la plus complexe jamais réalisée », rapporte Generation-NT. Lancée le 31 août et annoncée officellement le 1er septembre, l’opération a permis d’isoler plus de 15 000 machines infectées en Bulgarie, en Hongrie, en Roumanie et aux États-Unis, sur un ensemble de plus de 33 000 ordinateurs compromis estimés au niveau mondial.

Depuis l’intervention, les machines encore contaminées redirigent leurs communications vers des serveurs de test contrôlés par CrowdStrike et ses partenaires. Le botnet Sality ne reçoit plus de nouvelles instructions ni de mises à jour, mais le code malveillant reste présent tant qu’il n’est pas supprimé. Autrement dit, « démantelé » ne signifie pas « désinfecté » : les utilisateurs doivent continuer à scanner leurs systèmes, à se méfier des exécutables d’origine douteuse et des clés USB non contrôlées, et surtout à vérifier systématiquement les premières et dernières lettres de toute adresse Bitcoin ou Ethereum collée avant de valider un paiement, idéalement en confirmant l’adresse affichée sur l’écran d’un wallet matériel lorsqu’ils en utilisent un.