Bits of Gold enquête sur une possible fuite de données clients liée à un logiciel tiers
Bits of Gold, courtier crypto réglementé en Israël, enquête sur un incident informatique susceptible d’avoir exposé certaines informations personnelles et financières de ses clients après un accès non autorisé à un système tiers utilisé pour le support et l’analyse de données.
L’entreprise a informé ses clients le 16 août et affirme avoir bloqué l’accès concerné, déconnecté le système compromis de ses sources d’information et prévenu les autorités compétentes.
Selon les premières conclusions communiquées, l’incident n’aurait pas compromis les actifs numériques détenus par les clients, leurs mots de passe, les copies de leurs pièces d’identité, les données complètes de leurs cartes bancaires ou les codes CVV.
L’enquête se concentre désormais sur la nature exacte des informations consultées et sur le nombre réel de personnes concernées.
Certaines données personnelles pourraient avoir été accessibles
Bits of Gold indique qu’un accès à certaines informations personnelles « pourrait avoir eu lieu ».
Les données potentiellement concernées comprennent les noms, numéros d’identification, adresses e-mail, numéros de téléphone et adresses IP.
Des informations bancaires pourraient également avoir été exposées, ainsi que les adresses publiques de portefeuilles crypto.
La présence de plusieurs types de données dans un même incident augmente surtout le risque d’utilisation à des fins d’ingénierie sociale.
Pour le moment, Bits of Gold affirme ne disposer d’aucun élément montrant que ces informations ont effectivement été utilisées de manière malveillante.
Les fonds et identifiants sensibles ne seraient pas touchés
La société insiste sur une distinction importante entre les informations potentiellement accessibles et celles qui seraient restées protégées.
Les cryptomonnaies et autres fonds des clients n’auraient pas été affectés.
Les mots de passe des comptes seraient également restés hors de portée.
Les scans de pièces d’identité ne figurent pas parmi les données concernées selon l’enquête préliminaire.
Les informations complètes des cartes de paiement et les codes CVV seraient eux aussi restés protégés.
Cette séparation réduit le risque d’un vol direct de fonds à partir des éléments actuellement connus.
L’incident viendrait d’un fournisseur logiciel externe
Bits of Gold ne présente pas l’événement comme une intrusion directe dans son infrastructure principale.
Selon l’entreprise, le problème est lié à un logiciel tiers utilisé dans ses opérations.
Ce fournisseur aurait été compromis dans le cadre d’un incident cyber plus large touchant plusieurs entreprises dans le monde.
Calcalist rapporte que des centaines de sociétés pourraient avoir été concernées.
Le nom du fournisseur logiciel n’a pas été rendu public dans les informations disponibles.
Bits of Gold ne semble pas avoir été ciblé individuellement
Les informations communiquées suggèrent que le courtier israélien n’était probablement pas la cible spécifique de l’opération.
Cette précision ne réduit toutefois pas les conséquences potentielles pour les utilisateurs.
Une attaque de supply chain ou contre un fournisseur externe peut donner accès à des données sensibles sans nécessiter une intrusion directe dans les systèmes principaux de l’entreprise cliente.
L’incident illustre ainsi le risque que représentent les logiciels tiers dans l’écosystème financier numérique.
Le chiffre de 200 000 clients reste non confirmé
Des informations circulant dimanche évoquaient environ 200 000 clients potentiellement affectés.
Ce nombre doit cependant être traité avec prudence.
La notification aux clients relayée par Calcalist ne précise pas combien d’enregistrements ont effectivement été consultés.
Bits of Gold indique sur son propre site compter plus de 300 000 clients.
L’entreprise n’a pas confirmé publiquement que 200 000 personnes avaient été touchées.
La priorité devient la prévention du phishing
Le principal risque immédiat semble être l’ingénierie sociale.
Un attaquant possédant le nom, l’adresse e-mail, le téléphone, certaines données bancaires et une adresse crypto publique peut construire des messages beaucoup plus crédibles.
Il pourrait par exemple se faire passer pour Bits of Gold.
Il pourrait aussi prétendre représenter une banque, un service de sécurité ou une autre plateforme financière.
Ce type de scénario est particulièrement efficace lorsqu’un utilisateur sait qu’un incident de sécurité vient réellement de se produire.
Bits of Gold avertit contre les demandes urgentes
La société recommande à ses utilisateurs de faire preuve de prudence face aux communications non sollicitées.
Elle demande notamment de ne jamais transmettre de mot de passe, code de vérification ou clé privée.
Les clients ne doivent pas non plus transférer de l’argent ou des actifs numériques en réponse à un message inattendu.
Les attaques de phishing peuvent exploiter l’urgence, la peur ou la promesse de sécuriser rapidement un compte.
Dans ce contexte, toute demande inhabituelle mérite une vérification indépendante.
Les adresses publiques crypto peuvent enrichir les profils d’attaque
Une adresse de portefeuille publique n’est pas équivalente à une clé privée.
Elle ne donne donc pas, à elle seule, la possibilité de dépenser les fonds.
Cependant, lorsqu’elle est associée à une identité réelle, une adresse e-mail, un numéro de téléphone et des données bancaires, elle peut devenir beaucoup plus sensible.
Elle peut aider un attaquant à personnaliser ses messages ou à identifier les utilisateurs disposant d’une activité crypto visible.
La combinaison des données constitue donc un risque plus important que chaque élément pris séparément.
L’affaire rappelle d’autres incidents liés à des prestataires
Le secteur crypto a déjà connu plusieurs incidents où un fournisseur externe a exposé des données de clients sans compromettre directement les portefeuilles.
La source cite notamment une fuite chez ShipMonk ayant exposé des informations personnelles appartenant à 13 689 clients de Trezor.
Dans ce type de cas, le danger principal apparaît souvent après l’incident.
Les données dérobées peuvent être utilisées pour lancer des campagnes de phishing ciblées plusieurs semaines ou mois plus tard.
Bits of Gold opère dans un cadre réglementé
L’entreprise exerce sous la licence de services financiers 56716.
Elle affirme avoir été la première société crypto israélienne active à obtenir une licence permanente auprès de la Capital Market, Insurance and Savings Authority.
Son site fait état de plus de 300 000 clients.
Calcalist la décrit également comme la première entreprise actuellement active parmi neuf sociétés autorisées par l’autorité israélienne à négocier des cryptomonnaies.
Cette position réglementaire rend la gestion de l’incident particulièrement importante.
L’entreprise développe également le stablecoin BILS
Le profil réglementaire de Bits of Gold s’est élargi en 2026 avec BILS, son stablecoin indexé sur le shekel.
Le projet a reçu une autorisation pour émission et distribution le 27 avril après environ deux ans de sandbox réglementaire.
Bits of Gold affirme que chaque token BILS est garanti à raison d’un shekel détenu en réserve.
Cette activité montre que l’entreprise ne se limite plus au courtage de cryptomonnaies.
Elle développe aussi des produits directement liés au système financier israélien.
Les services restent opérationnels
Malgré l’incident, Bits of Gold indique que ses services continuent de fonctionner.
La société n’a pas demandé à tous ses clients de modifier leurs comptes ou de prendre une mesure particulière pour le moment.
Elle poursuit en revanche une analyse approfondie de l’incident avec une société spécialisée dans la réponse aux cyberattaques.
Ses systèmes restent également sous surveillance.
Les autorités ont été informées
Bits of Gold affirme avoir notifié les organismes compétents.
L’étape suivante consiste à déterminer exactement quelles données ont été consultées, combien de clients sont concernés et pendant combien de temps l’accès a été possible.
Le rôle du fournisseur logiciel externe devra également être clarifié.
L’identité de ce prestataire pourrait devenir importante pour comprendre l’étendue internationale de l’événement.
Aucun usage malveillant n’a encore été confirmé
L’entreprise affirme qu’elle ne dispose actuellement d’aucune indication montrant que les informations potentiellement exposées ont été utilisées.
Cette absence de preuve ne signifie cependant pas que le risque est terminé.
Les données personnelles peuvent être conservées avant d’être utilisées dans de futures campagnes.
Une surveillance prolongée des tentatives de fraude ou d’usurpation reste donc pertinente.
La différence entre exposition et compromission reste essentielle
Il est également important de distinguer les données auxquelles un attaquant aurait pu avoir accès des données dont l’exfiltration est confirmée.
L’enquête est toujours en cours.
Le nombre précis d’enregistrements consultés reste inconnu.
Il serait donc prématuré d’affirmer que toutes les informations listées ont été copiées pour chaque client potentiellement concerné.
Conclusion
Bits of Gold enquête sur un incident cyber lié à un logiciel tiers susceptible d’avoir exposé des noms, numéros d’identification, coordonnées, adresses IP, données bancaires et adresses publiques de portefeuilles crypto.
La société affirme que les fonds, mots de passe, scans de pièces d’identité, données complètes de cartes et codes CVV n’ont pas été touchés.
L’enquête doit encore déterminer le nombre réel de clients concernés et la nature précise des enregistrements consultés.
Point clé final
Le risque immédiat ne semble pas être un vol direct de cryptomonnaies, mais une hausse potentielle des attaques de phishing et d’usurpation d’identité. Tant que l’étendue de la fuite n’est pas confirmée, les clients de Bits of Gold doivent surtout traiter avec prudence toute communication inattendue demandant des identifiants, des codes de sécurité ou des transferts de fonds.
