Pendant près d’une décennie, des millions de transactions en cryptomonnaies ont été détournées par un système invisible. Un malware russe volait des cryptos en silence depuis 8 ans : ce qu’il faut savoir pour comprendre comment des hackers ont exploité le geste le plus banal : copier et coller une adresse de portefeuille. Cette menace informatique a transformé des milliers d’ordinateurs en pièges silencieux, où chaque transfert de Bitcoin ou d’Ethereum risquait de finir entre de mauvaises mains.
En bref
- Un programme malveillant nommé EggJagger remplaçait automatiquement les adresses de cryptomonnaies copiées par les utilisateurs depuis 2018
- Plus de 15 000 ordinateurs infectés ont été isolés en août 2026 grâce à une opération du Département de la Justice américain
- Le botnet Sality utilisait une architecture décentralisée pair-à-pair, rendant son démantèlement particulièrement complexe
- Les cybercriminels ont volé au moins 150 000 dollars, avec des cryptomonnaies non dépensées valant 1,35 million de dollars début 2025
- La meilleure protection reste la vérification visuelle des premiers et derniers caractères d’une adresse avant chaque transaction
Un malware russe volait des cryptos en silence depuis 8 ans : ce qu’il faut savoir
Le botnet Sality, actif depuis 2003, a été détourné à partir de 2018 pour voler des cryptomonnaies pendant huit années consécutives. Un malware russe volait des cryptos en silence depuis 8 ans, remplaçant les adresses de portefeuille copiées par les utilisateurs sans laisser de trace visible. L’opération basée en Russie a ciblé les habitudes les plus courantes des détenteurs de cryptos : le simple copier-coller d’adresses.
Fin août 2026, une opération de perturbation menée avec le soutien du Département de la Justice a permis d’isoler plus de 15 000 machines infectées du réseau. Cette action marque une étape importante dans la lutte contre les menaces décentralisées qui exploitent les failles comportementales plutôt que techniques.
Les chercheurs de CrowdStrike ont baptisé la charge utile malveillante « EggJagger ». Ce programme surveillait discrètement chaque copie effectuée sur les machines compromises, attendant patiemment qu’une adresse Bitcoin ou Ethereum apparaisse dans le presse-papiers.
Comment le botnet Sality a opéré ?
Sality fonctionnait selon une architecture pair-à-pair, ce qui le rendait particulièrement difficile à démanteler. Contrairement aux botnets classiques qui dépendent d’un serveur central, les machines infectées communiquaient directement entre elles.
Chaque bot vérifiait environ toutes les 40 minutes si ses pairs connus étaient toujours en ligne. Cette surveillance régulière permettait au réseau de se maintenir actif et de se régénérer automatiquement, avec très peu d’intervention de la part des opérateurs.
Le système présentait une faiblesse notable dans son mécanisme de confiance. Tout ordinateur répondant comme attendu pouvait être traité comme pair légitime, sans vérification d’identité supplémentaire. C’est précisément cette vulnérabilité qui a permis aux équipes de perturbation de prendre le contrôle.
La technique de détournement des adresses de portefeuille
La méthode utilisée par EggJagger s’appuie sur une pratique universelle dans l’univers crypto. Les adresses de portefeuille Bitcoin ou Ethereum sont des chaînes longues et complexes, impossibles à mémoriser ou à taper sans erreur.
Les utilisateurs copient donc systématiquement ces adresses depuis leur source, puis les collent dans leur application d’envoi. Le malware surveillait le presse-papiers et détectait instantanément toute chaîne ressemblant à une adresse de cryptomonnaie.
Une fois repérée, l’adresse légitime était remplacée automatiquement par une adresse contrôlée par les attaquants. Cette substitution s’effectuait en silence, sans aucun avertissement visible à l’écran.
Le piège se refermait au moment de la validation. La victime vérifiait rarement l’intégralité de l’adresse collée, et envoyait ses fonds vers le mauvais destinataire. La nature irréversible des transactions blockchain rendait toute récupération impossible.
Le mode de propagation du malware
Sality se propageait principalement par deux canaux traditionnels mais redoutablement efficaces :
- Les partages réseau et programmes distribués sur des lecteurs partagés
- Les clés USB et autres supports amovibles connectés aux machines infectées
Cette double stratégie permettait au botnet de s’étendre sans effort. Dès qu’un utilisateur branchait une clé USB infectée sur un nouvel ordinateur, le malware s’installait et rejoignait automatiquement le réseau pair-à-pair.
Le système se régénérait de manière autonome. Les opérateurs n’avaient pratiquement pas besoin d’intervenir pour maintenir l’infrastructure active. Chaque nouvelle machine infectée devenait à son tour un vecteur de propagation.
Impact financier du malware sur les utilisateurs
Les estimations de CrowdStrike révèlent que le botnet a volé au moins 12,1 millions de roubles sur huit ans, soit environ 150 000 dollars. Ce montant peut sembler modeste comparé à d’autres cyberattaques, mais il ne représente que la partie convertie en monnaie fiduciaire.
Une portion significative des cryptomonnaies volées n’a jamais été dépensée. Ces avoirs sont restés intacts dans les portefeuilles des attaquants, profitant mécaniquement de la hausse des cours.
La valeur de ces cryptomonnaies non utilisées a atteint environ 1,35 million de dollars au début 2025. Cette multiplication illustre comment les cybercriminels peuvent laisser leurs gains fructifier passivement, transformant un vol discret en jackpot différé.
Pour les victimes individuelles, chaque transaction détournée représentait une perte immédiate et définitive. Certaines ont probablement mis des semaines avant de comprendre ce qui s’était passé, vérifiant en vain l’historique de leur portefeuille légitime.
Les défis de la neutralisation d’un botnet décentralisé
L’absence de serveur central constituait le principal obstacle pour les équipes de cybersécurité. Les méthodes traditionnelles de démantèlement, comme la saisie d’une infrastructure unique, ne fonctionnaient tout simplement pas.
Le maillage pair-à-pair assurait une résilience remarquable. Même si plusieurs centaines de machines étaient nettoyées simultanément, le réseau restait fonctionnel grâce aux milliers d’autres bots encore actifs.
L’opération de perturbation a donc dû exploiter la faille d’authentification mentionnée précédemment. Les équipes ont remplacé les adresses des pairs légitimes par des serveurs contrôlés, redirigeant progressivement le trafic du botnet.
Cette technique a permis d’isoler plus de 15 000 machines infectées, les coupant du reste du réseau malveillant. Sans communication avec leurs pairs, les bots ne pouvaient plus recevoir d’instructions ni se régénérer.
Mesures de sécurité pour protéger vos cryptomonnaies
Face à des menaces comme Sality, nous conseillons d’adopter des réflexes simples pour utilisateurs mais systématiques. Vérifiez toujours les premiers et derniers caractères d’une adresse après l’avoir collée, avant de valider l’envoi.
Cette vérification visuelle prend quelques secondes mais peut vous éviter une perte totale. Les attaquants espèrent que vous ferez confiance au copier-coller sans contrôle, car c’est là que se situe leur opportunité.
N’effectuez des transactions crypto que depuis des appareils de confiance. Un ordinateur ou un smartphone compromis peut abriter des malwares sans symptôme apparent pendant des mois.
Maintenez votre système et vos logiciels à jour. Utilisez un antivirus reconnu comme Kaspersky, ESET NOD32, Avast, Bitdefender ou Norton. Ces solutions détectent la plupart des variantes connues de clippers et autres malwares.
En cas de suspicion d’infection, nous conseillons de déconnecter immédiatement l’appareil du réseau. Lancez une analyse antivirus complète. Si nécessaire, redémarrez en mode sans échec pour relancer l’analyse, puis supprimez les menaces détectées avant de redémarrer normalement.
Leçons à tirer de l’affaire Sality pour l’avenir de la cybersécurité
Cette affaire démontre qu’une attaque simple peut fonctionner pendant huit ans en ciblant un comportement humain plutôt qu’une faille technique complexe, à l’image de la récente faille Coldcard qui a également exploité une vulnérabilité inattendue. Le copier-coller d’adresses est tellement ancré dans nos habitudes qu’il devient un angle mort de sécurité.
Les transferts crypto étant irréversibles, une compromission entre la copie et le collage entraîne une perte immédiate. Cette caractéristique fondamentale de la blockchain amplifie dramatiquement l’impact des erreurs ou des manipulations.
Le contrôle le plus concret reste la vérification visuelle. Même partielle, elle constitue votre dernière ligne de défense avant qu’une transaction ne devienne définitive. Nous avons tendance à faire confiance à la technologie, mais un malware russe volait des cryptos en silence depuis 8 ans en exploitant justement cet excès de confiance.
L’affaire Sality rappelle également que les menaces évoluent moins vite que nous le pensons. Un botnet vieux de vingt ans peut être recyclé pour de nouvelles attaques. La vigilance doit donc porter autant sur les menaces émergentes que sur les vecteurs classiques, toujours actifs et redoutablement efficaces.
FAQ
Comment le botnet Sality a opéré ?
Comment le botnet Sality a opéré ? Grâce à une architecture pair-à-pair : les machines infectées communiquaient entre elles, vérifiaient leurs pairs toutes les 40 minutes et se régénéraient sans serveur central, rendant le démantèlement difficile.
La technique de détournement des adresses de portefeuille
La technique de détournement des adresses de portefeuille repose sur le presse-papiers : EggJagger surveillait chaque copie, détectait une adresse Bitcoin ou Ethereum, puis remplaçait l’adresse collée par celle des attaquants, sans alerte visible.
Le mode de propagation du malware
Le mode de propagation du malware passait surtout par les partages réseau, les lecteurs partagés et les clés USB. Une fois connecté, le support infectait l’ordinateur, qui rejoignait automatiquement le réseau Sality et devenait à son tour un vecteur.
Pourquoi un malware russe pouvait voler des cryptos en silence pendant 8 ans ?
Pourquoi un malware russe pouvait voler des cryptos en silence pendant 8 ans ? Parce qu’il exploitait une habitude banale : le copier-coller. En remplaçant l’adresse au moment du collage, la victime validait la transaction, irréversible, sans remarquer. Une technique différente du Hack Coldcard, mais tout aussi redoutable.
Quels signes peuvent indiquer un malware qui surveille le presse-papiers ?
Quels signes peuvent indiquer un malware qui surveille le presse-papiers ? Une adresse différente après collage, des caractères de début/fin qui changent, ou des transactions envoyées vers un portefeuille inconnu. Le plus fiable reste de vérifier l’adresse avant valider.
Que faire en cas de suspicion d’infection sur un appareil utilisé pour des transactions crypto ?
Que faire en cas de suspicion d’infection sur un appareil utilisé pour des transactions crypto ? Déconnectez l’appareil du réseau, lancez une analyse antivirus complète, redémarrez en mode sans échec si besoin, supprimez les menaces, puis changez vos accès.