Galibot

[LA₿ 312 | 🛡️🔑📡#FREESAMOURAI @Lab312_]

🔴 AVANT DE TE HACKER, ILS SAVENT DÉJÀ TOUT SUR TOI. ET ILS N'ONT RIEN PIRATÉ. 🔍

Un hacker ne commence jamais par un hack, il commence par du renseignement, de la reconnaissance...
Il tape ton nom dans 5 outils gratuits et en 20 minutes il a :
→ Tes adresses email (perso, pro, les anciennes)
→ Ton numéro de téléphone
→ Ton adresse physique
→ Les sites où tu as un compte
→ Les breaches où tes données ont fuité
→ Tes photos, tes posts, tes commentaires, tes likes
→ Tes liens familiaux et professionnels

Et tout ça sans envoyer un seul packet, sans toucher un seul serveur, sans enfreindre la moindre loi.
C'est 100% légal. C'est du renseignement en sources ouvertes - l'OSINT. 👀

⚡ Comment ils font :
Des outils comme theHarvester, SpiderFoot, Sherlock ou Maltego agrègent des centaines de sources publiques en quelques minutes.
Ton LinkedIn, tes réseaux sociaux, les registres WHOIS, les bases de données de breaches, les archives web, les moteurs de recherche de devices connectés.
Le résultat c'est une carte complète de ta vie numérique. Ton modèle de menace personnalisé, mais construit par l'attaquant.
Et c'est AVANT l'attaque. Une fois qu'il a tout ça, le phishing ciblé est trivial, le SIM swap est préparé, l'usurpation d'identité est prête.
Il sait quels services tu utilises, quels mots de passe tu as probablement réutilisés, et quel angle utiliser pour te piéger.

🎯 Pourquoi c'est flippant :
Chainalysis, Elliptic, et Crystal Blockchain utilisent ces mêmes techniques (en plus avancé) pour tracer des transactions Bitcoin.
150+ agences gouvernementales utilisent Chainalysis Reactor.
$12.6 milliards de fonds illicites saisis grâce à ces outils.

Si les gouvernements peuvent tracer tes transactions, un attaquant motivé peut tracer ta vie.

La question c'est pas "est-ce que quelqu'un peut trouver des infos sur moi..?" mais plutôt: "combien d'infos circulent sur moi en ce moment, et est-ce que je le sais ?"

La plupart des gens découvrent ce qui circule sur eux APRÈS l'attaque. Quand c'est trop tard. 💀

Tu préfères le savoir avant ou après ?
[🔗Lien en commentaire 👇]

🔐#InfoSec #OSINT #LAB312

[Satochip @satochip]

📣 Organizing or joining a #Bitcoin meetup?
Turn theory into practice with Satochip 🔐⚡

Give your attendees a hands-on self-custody experience: discover hardware wallets, learn security best practices, and truly understand Bitcoin sovereignty.

Make your meetup useful, memorable, and actionable.

🎁 Request your #Pack4Communities now!
🔗 https://t.co/AJaloB6QOS

[LA₿ 312 | 🛡️🔑📡#FREESAMOURAI @Lab312_]

T'organise un meet-up #Bitcoin ? @Satochip propose un #Pack4Communities avec du matos, afin de faire découvrir leurs gammes de produits.

C'est une des solutions que je conseilles bien souvent. 🚀

#SeedkeeperFTW 🔐

[LA₿ 312 | 🛡️🔑📡#FREESAMOURAI @Lab312_]

@satochip @MarseilleBTC @BitcoinLille @Monaco_Bitcoin @SaintEtienneBTC @Saint_Lo_BTC @SaintNazaireBTC @stMaloBTCMeetup @meetup_bitcoin

Spread the words ! 🚀

[Le ₿unker 🪖 @LeBunkerBtc]

La légende dit qu'il est reparti en Iran faire le Djihad

[Puy du Fou @PuyduFou]

🔴 « J’irai où tu iras » à la Foulée des Géants !

Les concerts ? complets… 🥲
La Foulée des Géants ? complète… ou presque ! 👀

👉 Une dernière chance s’ouvre pour les coureurs (ouf) !
🚨 10 dossards sont remis en jeu dès aujourd’hui pour la Foulée des Géants 2026.
😱 10 coureurs seront tirés au sort pour rejoindre cette aventure unique.

Pour tenter votre chance : ✅ remplissez le formulaire suivant : https://t.co/gOCGh2zo2b

👟 Identifiez votre partenaire de course, votre ami, votre sœur, votre collègue…
🔥 Et si cette publication atteint 10 000 commentaires, 10 nouveaux dossards seront remis en jeu.

P.-S. : @ParisLaDefArena et @celinedion, pourriez-vous aussi remettre 10 places en jeu svp ? 😭

#PuyduFou #LaFouleedesGeants #CelineDion

[Galibot @_Galibot_]

@PuyduFou @toto_jirasan

[Galibot @_Galibot_]

@viennoiscafe GG ;)

[Galibot @_Galibot_]

RT @viennoiscafe: On fait le bilan du retweet d'Elon Musk👇

- Impressions : +33 millions (+725%) 🚀
- Abonnés : +4000 (+72%)🚀
- Revenus X :…

[Elon Musk @elonmusk]

🎯

[Loïc Morel @Loic_Pandul]

Satoshi s'est trompé.

Il y a un bug dans le minage de Bitcoin depuis le tout premier jour. C'est une simple erreur de calcul de Satoshi qui pourrait être exploitée pour miner des blocs à une vitesse délirante. C'est un des bugs que le BIP-0054 (en discussion) résout. Je vous explique.

Pour comprendre, il faut d'abord rappeler le fonctionnement du mécanisme d'ajustement de la difficulté. Comme vous le savez, tous les 2016 blocs, soit environ toutes les 2 semaines, les noeuds recalculent la cible de difficulté. L'objectif est de maintenir un rythme stable d'un bloc toutes les 10 minutes, quelle que soit la puissance de calcul déployée par les mineurs. Pour faire cet ajustement, les noeuds mesurent combien de temps la dernière période a duré, la comparent au temps qu'elle aurait due durer (2016 x 600 = 1 209 600 secondes), puis corrigent la difficulté en conséquence.

C'est dans ce calcul qu'il y a le bug. Pour mesurer le temps de la dernière période qui vient de passer, le noeud compare l'horodatage du premier bloc de la période à celui du dernier. Instinctivement, ça parait logique de faire ça, mais en fait c'est une erreur, car il n'y a que 2015 intervalles entre le premier bloc et le dernier de la période, pas 2016.

Si on note t0 l'horodatage du premier bloc et t2015 celui du dernier, le noeud calcule le temps écoulé comme T = t2015 - t0. Les intervalles mesurés sont donc :

de t0 à t1 (1 intervalle) > de t1 à t2 (2 intervalles) > ... > de t2014 à t2015 (2015 intervalles)

On obtient bien 2015 intervalles et pas 2016. Pour en avoir 2016, il aurait fallu calculer T = t2015 - t-1, où t-1 est l'horodatage du dernier bloc de la période précédente. C'est ce qu'on appelle un bug "off-by-one" : une erreur de décalage d'une unité.

Concrètement, l'impact sur la PoW est négligeable. Ce décalage introduit un biais d'environ 0,05% vers une difficulté très légèrement surestimée. Mais le vrai problème est ailleurs. Ce bug fait que les périodes d'ajustement ne se chevauchent pas. L'horodatage du dernier bloc d'une période n'entre pas dans le calcul de la suivante :

- La première période : t0 à t2015

- La deuxième : t2016 à t4031

- etc.

Il n'y a jamais de chevauchement, et c'est précisément cette discontinuité qui rend possible une attaque que le l'on appelle "time warp".

Le principe est le suivant :

1 - un mineur qui controlerait une majorité de la puissance de calcul commence par fixer les horodatages de tous les blocs d'une période, sauf le dernier, au minimum autorisé par les règles du protocole (supérieur au MTP, la médiane des 11 derniers blocs), au lieu de mettre l'heure réelle comme horodatage.

2 - sur le dernier bloc de la période, il attribue un horodatage artificiellement avancé dans le futur. La limite maximum pour un horodatage d'un bloc Bitcoin, c'est NAT + 2 heures. Le NAT c'est la médiane des temps réels des nœuds, mais pour simplifier, on peut dire que c'est presque le temps réel. On prend donc ce temps réel et on ajoute 2 heures de largesse dans le futur. Ce temps NAT + 2h, c'est la limite maximum, et l'attaquant va placer cette limite max dans le futur sur le dernier bloc de la période.

3 - la période est terminée, tous les nœuds Bitcoin appliquent l'ajustement de la difficulté. À cause de la manipulation des horodatages de l'attaquant, la période mesurée a duré plus longtemps qu'en réalité. Les noeuds abaissent donc la difficulté de minage pour la période suivante.

4 - l'attaquant reproduit exactement la même manipulation sur la période suivante. Puisque les périodes ne se chevauchent pas, et puisque le MTP est une médiane et non une moyenne, le premier bloc de la deuxième période d'attaque peut avoir un horodatage loin dans le passé, alors que le précédent a un horodatage dans le futur. À la fin, l'écart entre le premier bloc de la période et le dernier sera encore plus grand que la période précédente, et cet écart augmente de période en période.

En répétant ce procédé sur plusieurs périodes, un attaquant pourrait théoriquement faire chuter la difficulté de minage au point de produire jusqu'à 6 blocs par seconde (au lieu de 1 toutes les 10 minutes). Les conséquences seraient terribles : les timelocks ne serviraient plus à rien, le réseau serait saturé, les réorganisations se multiplieraient, et les confirmations de transactions perdraient leur valeur. Le tout permet à l'attaquant de récupérer les récompenses de bloc à un rythme effrené.

Si Satoshi avait fait se chevaucher les périodes, comme nous l'avons vu en intro, cette attaque ne serait pas possible. Ce qui la rend réalisable, c'est que le calcul du temps de la période repose sur le premier bloc de la période, qui peut être placé loin dans le passé, plutôt que sur le dernier bloc de la période précédente, qui dans le cas de cette attaque se trouve placé dans le futur.

Comment résoudre ce bug ?

Et bien le plus simple serait de corriger l'erreur de Satoshi, et de se faire chevaucher les périodes. Mais c'est impossible sans faire un hard fork. Le BIP-0054 (consensus cleanup) propose donc une autre approche par soft fork : imposer que le premier bloc d'une nouvelle période de difficulté porte un horodatage qui ne précède pas de plus de 2 heures celui du dernier bloc de la période précédente. Cette contrainte rétablit une forme de continuité entre les périodes, empeche la manipulation des écarts temporels, et donc empeche l'attaque time warp.

Le BIP-0054 ne corrige pas que ça, il corrige également d'autres vulnérabilités historiques du protocole.

[LA₿ 312 | 🛡️🔑📡#FREESAMOURAI @Lab312_]

🚨LAB312 lance son propre token : $LAB

Après 3,12 ans à vous dire de focus Bitcoin only, on a compris que le vrai game c'est les #tokenomics.

➡️Presale à $312 ouverte, supply 312 millions.
➡️Whitepaper: "Trust Me Bro" by Robert Must
➡️Roadmap: Lambo Q4 2025

[LA₿ 312 | 🛡️🔑📡#FREESAMOURAI @Lab312_]

🚨 ALERTE SÉCU — axios backdooré sur npm

Le package JS le plus utilisé pour les requêtes HTTP (100M+ downloads/semaine) vient d'être compromis.

Le compte npm du mainteneur principal a été hijacké. L'attaquant a injecté une fausse dépendance "plain-crypto-js" qui déploie un RAT cross-platform (macOS, Windows, Linux) à l'exécution de npm install.

Le malware s'auto-détruit après exécution — aucune trace visible.

Versions infectées : [email protected] & [email protected]
Versions safe : [email protected] & [email protected]

🐧 Linux / macOS :
grep -r "plain-crypto-js" package-lock.json node_modules/
ls -la /tmp/ld.py

🪟 Windows (PowerShell) :
Select-String -Path package-lock.json -Pattern "plain-crypto-js"
Test-Path "$env:PROGRAMDATA\wt.exe"

Si "plain-crypto-js" apparaît ou si wt.exe existe → machine compromise :
→ Rotate TOUS tes credentials (npm tokens, SSH, API keys, cloud)
→ Bloque sfrclak[.]com en DNS/firewall
→ Rebuild tes images Docker

La supply chain c'est le maillon faible. Un seul token npm compromis = 100M de projets exposés.

🔒 @Lab312_ — https://t.co/BqtvKibx1z

[Seb Gouspillou @SebGouspillou]

@SirAfuera @labar0nn3_ @henrygarciame @nayibbukele @JoseValdezSV @LRodriguez_SV @ECastroES Bombe de janvier 😉

[Nayib Bukele @nayibbukele]

Cuadra por cuadra... tardará un poco, pero quedará hermoso.

[Nicolas Chéron @NCheron_bourse]

@NupesNews Je me suis toujours posé la question,

êtes vous payés pour vous auto-décrédibiliser?

car vous êtes vraiment excellents.

Ci-dessous ce qu'aurait pu devenir une retraite par capitalisation 🔽

[sadek @Sadekniuum]

J’offre un séjour tout frais payé à Dubaï 🇦🇪 pour 2 personnes
➡️ Dès que l’espace aérien est ouvert

Pour participer :
✅ RT
❤️ Like
➕ Follow

⏰ Tirage au sort dans 48h

PS : Je suis très sérieux 🫶

[LA₿ 312 | 🛡️🔑📡#FREESAMOURAI @Lab312_]

🇫🇷 Tes données personnelles sont déjà dans la nature.

➡️𝗧𝗼𝘂𝘁𝗲𝘀. ⬅️

La France est en train de vivre le plus gros naufrage numérique de son histoire & personne n'en parle assez.

Petit tour d'horizon de ce qui a fuité rien qu'en janvier-février 2026. ⬇️

💀 𝗟𝗲 𝗰𝗵𝗶𝗳𝗳𝗿𝗲 𝗾𝘂𝗶 𝘁𝘂𝗲
En janvier 2026, plus de 90 millions de comptes ont fuité en France.
En un seul mois. C'est plus que la totalité des fuites recensées sur toute l'année 2025 (~100 millions).

➡️Le pays compte 68 millions d'habitants. Faites le calcul.

🏥 𝗦𝗮𝗻𝘁𝗲́ - 15 millions de patients exposés (27 février)
Annoncé aujourd'hui par France 2 et le ministère de la Santé.
Cegedim Santé, un éditeur de logiciels médicaux utilisé par des milliers de médecins, s'est fait pirater fin 2025.

Résultat: les données de 15 millions de Français dans la nature.
➡️Noms, prénoms, numéros de téléphone, adresses.

Le pire: des journalistes ont retrouvé dans la fuite des informations médicales ultra-sensibles - orientation sexuelle, statut VIH, pathologies précises.
➡️Des données sur des personnalités politiques y figureraient aussi.

Un expert en cybersécurité (Wavestone) résume: les conséquences sont "irrémédiables". Une fois que l'info "vous avez le sida" est sortie, on ne revient jamais en arrière.

🏦𝗖𝗼𝗺𝗽𝘁𝗲𝘀 𝗯𝗮𝗻𝗰𝗮𝗶𝗿𝗲𝘀 - Le fichier national FICOBA piraté (20 février)
La Direction des Finances publiques a confirmé: un acteur malveillant a accédé au fichier national des comptes bancaires (FICOBA).
➡️1,2 million de comptes touchés.
Données fuitées: vos coordonnées bancaires (RIB/IBAN), votre identité, votre adresse, et parfois votre identifiant fiscal.
La Banque de France recommande de vérifier vos comptes et de mettre en place une "liste blanche" de prélèvements autorisés.

➡️Traduction: ils ne peuvent rien faire de plus, c'est à vous de surveiller.⬅️

🔬 𝗖𝗡𝗥𝗦 - Données d'agents dans la nature
Le Centre National de la Recherche Scientifique a confirmé un incident: téléchargement non autorisé de fichiers contenant les données personnelles d'anciens agents.
➡️Noms, adresses, numéros de sécurité sociale.

✈️𝗦𝗮𝗳𝗿𝗮𝗻 - Géant de l'aérospatiale piraté
Safran, entreprise française de défense et d'aérospatiale, aurait été victime d'un piratage.
Sa base de données et des fichiers internes auraient été publiés sur un forum de hackers.

📋 Et le reste de janvier...
→ O'Tacos : 29 millions de profils clients
→ URSSAF: ~12 millions de comptes
→ Panorama Banques: 2,3 millions
→ Fédération Française de Volley: ~1,2 million
→ TooEasy (agence web): 1,2 million de dossiers avec des copies de cartes d'identité et actes de naissance
→ Relais Colis: des millions de clients, et cerise sur le gâteau, ils ont envoyé l'email d'alerte en mettant tous les destinataires en copie visible 🤡

🌍 𝗘𝘁 𝗮̀ 𝗹'𝗶𝗻𝘁𝗲𝗿𝗻𝗮𝘁𝗶𝗼𝗻𝗮𝗹?
53 millions de Français dans une méga-fuite
La société IDMerit, spécialisée dans la vérification d'identité (KYC), a laissé fuiter une base de données d'un milliard d'enregistrements.
➡️La France y apparaît avec 53 millions d'entrées contenant noms, dates de naissance et numéros d'identification.
➡️Potentiellement tous les adultes du pays.

L'ironie: IDMerit est censée protéger contre la fraude et l'usurpation d'identité.
➡️Leurs propres données servent maintenant à exactement ça.

🤔 𝗣𝗼𝘂𝗿𝗾𝘂𝗼𝗶 𝗰'𝗲𝘀𝘁 𝗮𝘂𝘀𝘀𝗶 𝗴𝗿𝗮𝘃𝗲?
Parce que ces données ne disparaissent jamais. Elles circulent, se recoupent, s'agrègent.
➡️Un nom + date de naissance + IBAN + numéro de sécu + adresse = tout ce qu'il faut pour usurper votre identité, ouvrir des crédits à votre nom, ou monter des arnaques ciblées ultra-crédibles.
➡️Et l'IA rend tout ça pire: les emails de phishing sont maintenant parfaitement rédigés, personnalisés avec vos vraies infos, parfois même avec des clones vocaux de vos proches ou de votre banquier.

La France est 2e mondial en nombre de comptes compromis en 2025, juste derrière les États-Unis.

☠️ 𝗟𝗲 𝗺𝗼𝘁 𝗱𝘂 𝘁𝗼𝘅𝗶𝗰 𝗺𝗮𝘅𝗶𝗺𝗮𝗹𝗶𝘀𝘁𝗲
Pendant que l'État français vous force à faire du KYC partout, exchanges, banques, opérateurs, réseaux sociaux, les bases de données qui stockent ces informations fuient de tous les côtés.
➡️Vous donnez votre carte d'identité, votre selfie, votre numéro de sécu à des boîtes qui laissent des mots de passe par défaut dans leur code.

𝙇𝙚 𝙆𝙔𝘾 𝙣𝙚 𝙫𝙤𝙪𝙨 𝙥𝙧𝙤𝙩𝙚̀𝙜𝙚 𝙥𝙖𝙨. 𝙄𝙡 𝙫𝙤𝙪𝙨 𝙚𝙭𝙥𝙤𝙨𝙚.

C'est exactement pour ça que ₿itcoin existe.

Pas de base de données centralisée à pirater. Pas de tiers qui "gère" vos données, point final. (Faut-il encore savoir obtenir des sats sous pseudonymat...)

➡️Vends les shitcoins qui t'obligent à passer par des plateformes centralisées pleines de données perso.
➡️Stack des sats en peer-to-peer.
➡️Reprends le contrôle.

#DataLeak #Cybersécurité #RGPD #Bitcoin
🔐 𝟛𝟙𝟚

[Gilles Cadignan @gillesCadignan]

Une bonne leçon pour tous ceux qui croient toujours que leurs coins sont "dans le ledger"

[LA₿ 312 | 🛡️🔑📡#FREESAMOURAI @Lab312_]

𝟐𝟐 𝐁𝐓𝐂 𝐝𝐢𝐬𝐩𝐚𝐫𝐚𝐢𝐬𝐬𝐞𝐧𝐭 𝐝'𝐮𝐧 𝐜𝐨𝐥𝐝 𝐰𝐚𝐥𝐥𝐞𝐭 𝐬𝐨𝐮𝐬 𝐬𝐜𝐞𝐥𝐥𝐞́ 𝐩𝐨𝐥𝐢𝐜𝐢𝐞𝐫.

Le device est toujours là, les coins, non.

Aujourd'hui (25/02/2026), la police sud-coréenne annonce l'arrestation de deux suspects dans l'affaire des 22 BTC volatilisés du commissariat de Gangnam, Séoul.

Retour sur les faits. ⤵️

Novembre 2021: dans le cadre d'une enquête sur le hack d'une société crypto, 22 BTC sont remis volontairement à la police de Gangnam et stockés sur un cold wallet USB.
L'enquête est ensuite suspendue, le wallet dort dans un tiroir pendant plus de 4 ans.

Personne ne vérifie jamais le solde on-chain.

Février 2026: après le scandale du parquet de Gwangju (320 BTC perdus via phishing), la National Police Agency lance un audit national de tous les crypto-actifs saisis.
Le 13 février, verdict: le USB est toujours là, intact, jamais volé.
Mais les 22 BTC ont disparu.

Aujourd'hui, 25 février: la Cyber Investigation Division de la Gyeonggi Northern Provincial Police arrête deux hommes d'une quarantaine d'années.

Surprise: ce ne sont pas des policiers.
Ce sont des personnes liées à la société crypto qui avait initialement remis les BTC.

Ils avaient vraisemblablement conservé un accès aux clés privées ou à la seed phrase.

L'enquête détermine encore s'ils sont les hackers eux-mêmes ou des intermédiaires.

Chef d'accusation: violation de la loi sur les réseaux informatiques (정보통신망법).

L'enquête est en cours.

Ce que cette affaire révèle:
Un cold wallet USB ne protège rien si la seed phrase est compromise ou si la saisie n'a jamais inclus le transfert des fonds vers un wallet contrôlé par les autorités.

Ici, la police a confisqué le hardware sans maîtriser les clés, celui qui avait la seed avait toujours le contrôle réel des fonds.

➡️Pas de multisig.
➡️Pas d'audit on-chain pendant 4 ans.
➡️Pas de protocole de rotation des clés.

Le dossier dormait, et les BTC aussi — jusqu'à ce que quelqu'un les réveille.

C'est exactement le même problème que le hack IoTeX de vendredi dernier (8M$ via private key compromise) ou Bybit en 2025 (1,5B$ via supply chain attack).

Le code fonctionne. La crypto fonctionne. Ce qui casse, c'est toujours l'humain et l'absence de process.

Même la police ne sait pas faire de la custody correctement.

Et toi, ton setup est meilleur que celui d'un commissariat de Gangnam?

→ Multisig 2-of-3 avec séparation géographique des clés
→ Hardware air-gapped (Krux, SeedSigner, Satochip)
→ Vérification régulière des soldes on-chain
→ Aucun accès unique à une seed complète

Le vrai risque n'est jamais le hack distant.

C'est la seed dans un tiroir, le backup oublié, le process inexistant.

🔐 #Bitcoin #SelfCustody #OpSec #CryptoSecurity

🔗Source en commenaire. ⤵️