Piratage d’Allium : clés API révoquées, mais on ignore ce que l’intrus a vu

Allium, une entreprise qui vend des données blockchain à des banques, des plateformes d’échange et des sociétés crypto, a confirmé le 28 octobre 2026 qu’un intrus avait accédé sans autorisation à certains de ses systèmes. Dans un article de blog signé de son directeur général et cofondateur Ethan Chan, la société explique avoir repéré l’incident le 25 octobre, sécurisé ses systèmes, prévenu directement les clients concernés et fait appel à un cabinet de cybersécurité extérieur. Sa page d’état ajoute que les clés API existantes sont en cours de révocation et que chaque utilisateur doit définir un nouveau mot de passe. Ce qu’Allium n’a pas dit : ce que l’intrus a pu voir.

Le piratage d’Allium a mis hors service son Explorer, l’outil SQL que les clients utilisent pour interroger les données des blockchains, pendant environ deux jours et demi. smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">Il est revenu le 28 octobre à 09 h 00 EDT (13 h 00 UTC). Le 29 octobre, une partie de la plateforme restait signalée comme en panne et les fonctions de données importées n’avaient pas été rouvertes.

Visa et Coinbase figurent parmi les clients cités sur le site d’Allium. C’est le seul lien établi entre eux et cet incident : Allium n’a pas indiqué que l’une ou l’autre société avait été touchée, et aucune ne s’est exprimée. Rien de ce qui a été publié jusqu’ici ne laisse penser à une perte de fonds.

Piratage d’Allium : ce que la société a confirmé le 28 octobre

Le communiqué est court. Allium dit avoir « identifié un incident de sécurité impliquant un accès non autorisé à certains systèmes d’Allium ». L’article donne un jour, le 25 octobre, mais pas d’heure. Il précise que l’accès a été restreint, les systèmes sécurisés, les clients concernés prévenus directement et qu’un cabinet de cybersécurité indépendant, qu’Allium ne nomme pas, a été mobilisé pour la réponse et l’enquête.

Selon l’article, le cœur de la plateforme est de retour : l’application Allium, Explorer et les API d’Explorer. « Certaines fonctions restent temporairement indisponibles pendant la reprise », écrit Ethan Chan. Allium dit renforcer ses contrôles, en citant l’authentification et la surveillance, et promet un résumé des conclusions après l’enquête, sans date. The Defiant décrit la même situation : services principaux rétablis, accès aux données importées toujours coupé, trous dans certains flux de données en cours de comblement.

Ce qu’Allium n’a pas dit

L’article de blog confirme une intrusion et une réponse. Il ne décrit pas les dégâts. Quatre questions que tout client se poserait restent sans réponse.

• Les données que l’intrus a atteintes : requêtes des clients, fichiers importés par les clients, identifiants de comptes, ou les clés API elles-mêmes.
• Si des données ont quitté les systèmes d’Allium, ou si l’accès a été coupé avant.
• La manière dont l’attaquant est entré, et si cette porte est désormais fermée.
• Le nombre de clients prévenus, et lesquels.

Aucun groupe n’avait revendiqué l’attaque le 29 octobre, d’après Journal du Coin. Allium renvoie ses lecteurs vers sa page de confiance, trust.allium.so ; lors de notre vérification le 29 octobre, elle ne disait rien de l’incident.

La raison de la révocation des clés n’est pas donnée non plus. Une entreprise révoque toutes les clés existantes quand elle ne peut pas exclure qu’elles aient été vues, mais aussi par simple précaution tant qu’elle ne sait pas. Allium ne dit pas que des clés ont été exposées, et ne dit pas non plus qu’elles ne l’ont pas été.

Deux jours et demi de panne, de l’écran de maintenance aux API rétablies

La page d’état d’Allium retrace la séquence. Ses heures sont données à l’heure de la côte est américaine (EDT) ; nous les avons converties en UTC. Une ligne, l’heure de l’article de blog, vient uniquement de Journal du Coin.

La page d’état n’explique pas l’écart entre la détection le 25 octobre et la décision de couper l’application le lendemain après-midi. Quand nous l’avons consultée vers 12 h 30 UTC le 29 octobre, elle affichait encore une panne partielle pour l’interface et les requêtes d’Explorer, et des performances dégradées pour les Datashares sur Hyperliquid et plusieurs groupes de chaînes.

Visa et Coinbase sont clients d’Allium, pas des victimes déclarées

Plusieurs titres ont placé Visa et Coinbase à côté du mot piratage. Le lien est plus étroit. Le site d’Allium affiche les logos de Visa, Coinbase, Standard Chartered, de l’Autorité monétaire de Singapour, de Boston Consulting Group, MetaMask, a16z crypto, Phantom, MoonPay, Uniswap et Grayscale, cite KPMG, et affirme que plus de 30 sociétés du Fortune Crypto 100 s’appuient sur ses données. Le même site indique que Visa publie un tableau de bord public sur les stablecoins construit sur des données d’Allium.

Rien de tout cela ne dit si l’une de ces sociétés figure parmi les clients qu’Allium a prévenus. Allium n’a nommé aucun client touché, et rien n’indique à ce stade que des systèmes, des comptes ou des fonds de Visa ou de Coinbase aient été atteints.

Allium affirme détenir des rapports SOC 1 et SOC 2 de type I et de type II, les audits que les grands clients exigent d’ordinaire de leurs fournisseurs. Journal du Coin ajoute que l’entreprise a été fondée en 2021, indexe plus de 150 blockchains et a levé 40 millions de dollars en série B le 23 juin 2026, menée par Amplify Partners.

Allium : clés API révoquées, ce que les clients doivent faire maintenant

La page d’état est le seul endroit où Allium donne des consignes pratiques.

• Créer une nouvelle clé API dans l’application Allium, puisque les clés existantes sont en cours de révocation. Si vos clés vous ont été remises directement par un contact chez Allium, attendez que cette personne vous envoie la nouvelle.
• Définir un nouveau mot de passe à la prochaine connexion.
• Activer l’authentification multifacteur, qu’Allium recommande.
• S’attendre à ce que les données importées restent indisponibles pour l’instant : les nouveaux envois sont désactivés, les données déjà importées sont inaccessibles et les requêtes qui s’en servent ne s’exécutent pas.
• Vérifier les tableaux de bord, les outils de conformité et les rapports alimentés par les Datashares d’Allium : des trous sont possibles entre le 26 et le 28 octobre, période où la livraison s’est arrêtée avant d’être rattrapée.

Une précaution va au-delà de ce qu’Allium demande. Si les fichiers que vous avez importés contenaient des secrets à vous, comme des identifiants ou des clés d’autres services, changez-les. Allium a coupé l’accès à cette partie précise de la plateforme sans dire pourquoi.

Pour un simple détenteur de cryptos, le risque direct paraît limité. Allium lit des blockchains publiques et en restitue les résultats ; rien de ce qu’elle a publié ne suggère qu’elle détienne des fonds de clients. Le risque indirect est le classique d’après une fuite : des messages qui citent l’incident pour paraître crédibles. Méfiez-vous de tout e-mail ou appel qui mentionne Allium et réclame un mot de passe, un code ou un virement.

Troisième incident chez un fournisseur en une semaine

Le 28 octobre, Coinbase a indiqué que ses propres systèmes n’avaient pas été piratés, mais que son prestataire d’analyse Amplitude avait exposé les coordonnées de certains clients ; SlowMist avance plus de 70 000 contacts, selon Journal du Coin. La veille, SlowMist décrivait un script de chat client Udesk piégé qui copiait les identifiants de connexion et remplaçait les adresses de dépôt sur les sites qui le chargeaient.

Avant cela, le 21 octobre, l’hébergeur cloud Railway avait demandé à tous ses utilisateurs de changer leurs secrets, comme nous l’avons rapporté dans notre article sur l’incident Railway.

Dans chaque cas, ce ne sont ni les portefeuilles ni le code de l’entreprise qui ont servi de porte d’entrée. La fuite est passée par un script d’analyse, un widget de support, un hébergeur cloud ou, aujourd’hui, un fournisseur de données. Allium se situe plus loin dans la chaîne qu’un widget de chat, car ses clients lui confient leurs requêtes, leurs fichiers importés et leurs identifiants.

À quoi sert un fournisseur de données on-chain

Les blockchains sont publiques, mais leurs données brutes sont difficiles à exploiter. Pour savoir qui a envoyé combien de quel jeton, via quelle application, il faut faire tourner des nœuds, lire chaque bloc, décoder chaque transaction et charger le résultat dans des tables que des analystes peuvent interroger.

Allium vend ce travail sous plusieurs formes, selon son site : un outil SQL appelé Explorer, des API pour développeurs, des Datastreams en temps réel, un assistant d’IA, un Terminal, et des Datashares, qui livrent des tables prêtes à l’emploi dans le compte Snowflake, Databricks ou BigQuery du client. Un réseau de paiement peut ainsi suivre les volumes de stablecoins, et une banque alimenter un outil de conformité sans exploiter un nœud par chaîne.

Les données de la chaîne sont publiques, il y a donc peu à voler de ce côté-là ; nous expliquons où se produisent vraiment les piratages crypto dans notre guide pour savoir si une blockchain peut être piratée. Ce qu’un fournisseur détient et qui n’est pas public, ce sont les activités de ses clients. Leurs requêtes peuvent révéler quelles adresses ou quels jetons ils surveillent.

Ce qu’il faut surveiller ensuite

Le résumé des conclusions promis devrait dire ce qui a été consulté, comment, et si quelque chose a été emporté. D’ici là, la page d’état est l’endroit où suivre l’affaire : Allium Assistant, l’accès MCP et les fonctions de données importées étaient encore coupés à la dernière mise à jour. Si des données personnelles de personnes situées dans l’Union européenne étaient concernées, les obligations de notification du RGPD, avec la CNIL côté français, s’appliqueraient ; Allium n’a pas abordé ce point.