Bitcoin : la redoutable arnaque du "copier-coller" qui vidait votre portefeuille est enfin terminée après 8 ans

Vous copiez une adresse longue comme le bras, vous la collez dans votre portefeuille et vous validez la transaction. Pour des milliers d’utilisateurs de Bitcoin et d’Ethereum, ce geste banal a suffi à se faire dépouiller, sans alerte et sans bug visible. Derrière ce tour de passe‑passe se cachait l’un des plus vieux réseaux de machines zombies encore actifs sur Internet. Après plus de vingt ans d’existence et huit ans passés à viser les crypto‑actifs, ce réseau vient enfin d’être neutralisé par une opération internationale inédite.

Baptisé botnet Sality, ce malware avait enrôlé jusqu’à un million d’ordinateurs au plus fort de son activité, selon les autorités. Fin août 2026, une action concertée du département de la Justice américain, du FBI, du Defense Criminal Investigative Service, de sociétés privées comme CrowdStrike et de partenaires en Bulgarie, Hongrie et Roumanie a permis de couper les liens entre les opérateurs et plus de 15 000 machines encore actives. L’arme de ce voleur silencieux, un module appelé EggJagger, remplaçait simplement l’adresse crypto copiée dans le presse‑papiers par celle des attaquants. La fin du réseau ne signifie pourtant pas la fin du problème.

Une opération technique rare pour neutraliser le botnet Sality

Apparu au début des années 2000, Sality n’était pas un rançongiciel spectaculaire, mais un virus évolutif conçu pour installer d’autres malwares sur des PC. Son architecture en pair à pair lui a permis de survivre aux blocages classiques : pas de serveur unique à saisir, les machines infectées se parlant entre elles pour recevoir de nouvelles instructions. Au plus fort de Sality, jusqu’à un million de machines auraient été reliées en même temps, selon des estimations relayées en Europe. C’est précisément ce mécanisme qui a été retourné contre lui fin août 2026.

Le 31 août 2026, les équipes de CrowdStrike, en coordination avec le département de la Justice américain, ont pris le contrôle d’une partie des super pairs du réseau, redirigeant le trafic des bots vers une infrastructure de sinkhole qui ne transmet plus d’ordres malveillants. L’annonce officielle du DOJ, le 1er septembre 2026, cite aussi le rôle d’Europol, d’Eurojust et de la fondation Shadowserver, chargée de prévenir les acteurs locaux de cybersécurité. Les chiffres publiés évoquent plus de 15 000 ordinateurs ainsi isolés des opérateurs. Le réseau de commande est coupé, mais chaque machine reste infectée tant que le logiciel malveillant n’est pas détecté puis supprimé.

Comment Sality volait Bitcoin et Ethereum via le presse‑papiers

Depuis environ 2018, les opérateurs de Sality ont ajouté un module spécialisé, EggJagger, qui a orienté le botnet vers les crypto‑actifs. Ce composant de type clipjacking, ou clipper, surveillait le presse‑papiers de l’utilisateur. Quand une adresse Bitcoin ou Ethereum était copiée, EggJagger la remplaçait à la volée par une adresse contrôlée par les attaquants, avec les mêmes premiers et derniers caractères pour passer inaperçue. L’utilisateur collait, signait la transaction et envoyait ses fonds vers le portefeuille du voleur, sans que la blockchain ni le protocole n’aient été compromis.

Les analystes estiment qu’au moins 12,1 millions de roubles, soit environ 150 000 dollars, ont été dérobés via EggJagger, avec un portefeuille unique monté jusqu’à près de 1,35 million de dollars. Au total, cela représente entre environ 140 000 et 1,25 million d’euros selon les cours retenus. Le tableau ci‑dessous résume les principaux jalons de ce botnet Sality, de son apparition au début des années 2000 jusqu’à son démantèlement de 2026. Pour les utilisateurs les plus interressés par la sécurité de leurs avoirs, l’épisode rappelle l’importance de vérifier les derniers caractères d’une adresse avant de cliquer sur envoyer, d’utiliser des listes blanches ou des QR codes quand c’est possible, et de s’assurer qu’un antivirus à jour a bien scanné la machine utilisée pour signer des transactions.