Une plateforme de trading en Iran a subi une importante attaque de hacker, près de 100 millions de dollars de fonds ont été volés

Le 18 juin 2025, un détective on-chain a révélé que la plus grande plateforme de cryptomonnaie d'Iran aurait été victime d'une attaque de Hacker, impliquant un transfert anormal de gros actifs sur plusieurs blockchains.

L'équipe de sécurité a confirmé que les actifs affectés par l'incident incluent les réseaux TRON, EVM et BTC, avec une estimation préliminaire des pertes d'environ 81,7 millions de dollars.

La plateforme a également publié un avis confirmant que certaines infrastructures et portefeuilles chauds ont effectivement subi un accès non autorisé, mais a souligné que la sécurité des fonds des utilisateurs n'est pas en danger.

Il est important de noter que les attaquants n'ont pas seulement transféré des fonds, mais ont également activement transféré une grande quantité d'actifs vers une adresse de destruction spéciale, avec des actifs d'une valeur d'environ 100 millions de dollars qui ont été "brûlés".

Chronologie des événements

18 juin

• Un détective de la chaîne a révélé qu'une plateforme de trading de cryptomonnaies en Iran aurait été victime d'une attaque de Hacker, entraînant un grand nombre de transactions de retrait suspectes sur la chaîne TRON. L'équipe de sécurité a confirmé que l'attaque impliquait plusieurs chaînes, avec une estimation préliminaire des pertes d'environ 8,170 millions de dollars.
• La plateforme a déclaré que son équipe technique avait détecté un accès illégal à certaines infrastructures et à des portefeuilles chauds, et a immédiatement coupé les interfaces externes et lancé une enquête. La grande majorité des actifs sont stockés dans des portefeuilles froids et n'ont pas été affectés, cette intrusion se limitant à une partie des portefeuilles chauds utilisés pour la liquidité quotidienne.
• Un groupe de hackers a déclaré être responsable de cette attaque et a annoncé qu'il publierait le code source et les données internes de la plateforme dans les 24 heures.

19 juin

• La plateforme a publié la quatrième déclaration, indiquant qu'elle a complètement bloqué les chemins d'accès externes aux serveurs. Les transferts de portefeuilles chauds sont une "migration proactive effectuée par l'équipe de sécurité pour protéger les fonds". Parallèlement, l'officiel a confirmé que les actifs volés ont été transférés vers des portefeuilles d'adresses non standard composées de caractères aléatoires, qui ont été utilisés pour détruire les actifs des utilisateurs, totalisant environ 100 millions de dollars.
• Un groupe de hackers affirme avoir détruit des actifs cryptographiques d'une valeur d'environ 90 millions de dollars, les qualifiant d'"outils de contournement des sanctions".
• Le groupe de hackers a rendu le code source de la plateforme public.

Informations sur le code source

Selon les informations sur le code source publiées par l'attaquant, le système central de cette plateforme est principalement écrit en Python et utilise K8s pour le déploiement et la gestion. En combinant les informations connues, on peut supposer que l'attaquant a peut-être franchi les frontières de l'exploitation et de la maintenance pour entrer dans le réseau interne.

Analyse des flux de fonds

L'attaquant a utilisé plusieurs "adresses de destruction" apparemment légitimes mais en réalité incontrôlables pour recevoir des actifs. La plupart de ces adresses respectent les règles de validation du format d'adresse sur la chaîne et peuvent recevoir des actifs avec succès, mais une fois que les fonds sont transférés, cela équivaut à une destruction permanente. De plus, ces adresses contiennent des termes émotionnels et provocateurs, ce qui leur confère un sens d'attaque.

Selon l'analyse des outils de lutte contre le blanchiment d'argent et de traçage sur la blockchain, les attaquants ont effectué un grand nombre de transactions sur plusieurs réseaux blockchain, impliquant des actifs tels que USDT, TRX, BTC, ETH, BSC, DOGE, SOL et d'autres cryptomonnaies.

Conseils de sécurité

Cet incident rappelle à nouveau à l'industrie : la sécurité est un tout, la plateforme doit renforcer davantage sa protection sécuritaire, adopter des mécanismes de défense plus avancés, en particulier pour les plateformes utilisant des portefeuilles chauds pour leurs opérations quotidiennes, il est conseillé :

• Isolation stricte des permissions et des chemins d'accès entre les portefeuilles chauds et froids, audit régulier des permissions d'appel du portefeuille chaud ;
• Utiliser un système de surveillance en temps réel sur la chaîne pour obtenir rapidement des informations complètes sur les menaces et une surveillance dynamique de la sécurité ;
• En collaboration avec le système de lutte contre le blanchiment d'argent en chaîne, détecter rapidement les flux de fonds anormaux ;
• Renforcer le mécanisme de réponse d'urgence pour garantir une réponse efficace dans la fenêtre d'or après qu'une attaque se soit produite.

L'enquête sur l'incident est toujours en cours, l'équipe de sécurité continuera de suivre et mettra à jour les progrès en temps voulu.