Chaque mois, Luker de MetaMask fait le point sur l'actualité mondiale de la sécurité crypto que vous devez connaître. Plongez dans le vif du sujet ci-dessous. Mais d'abord...
À la une : Alan Emtage, pionnier des STIM et créateur du premier moteur de recherche sur Internet
Alan Emtage est un informaticien barbadien-canadien qui a créé Archie, considéré comme le premier moteur de recherche Internet au monde, qui indexait les archives FTP publiques avant même l'avènement du web.
La Fondation Ethereum lance une équipe de sécurité post-quantique dotée de 2 millions de dollars
Alors que l'informatique quantique se profile à l'horizon, la Fondation Ethereum a constitué une équipe de sécurité post-quantique pour éliminer préventivement tout risque de perte de fonds et d'interruption du réseau. Les experts de l'écosystème blockchain n'ont cessé de mettre en garde contre la capacité de cette technologie émergente à contourner la cryptographie sur laquelle s'appuient des réseaux comme Ethereum et Bitcoin. La fondation s'engage à hauteur de 2 millions de dollars et l'équipe se réunira deux fois par semaine pour une durée indéterminée.
Comme l'a formulé Vitalik Buterin, cofondateur d'Ethereum : « Pouvoir affirmer que "le protocole Ethereum, tel qu'il existe aujourd'hui, est cryptographiquement sûr pour cent ans" est quelque chose vers quoi nous devrions tendre le plus tôt possible, et revendiquer comme une fierté. »
La Security Alliance cible l'infiltration des recrutements par la RPDC avec une page éducative sur lazarus.group
La Security Alliance (SEAL) a pris le contrôle de l'URL lazarus.group et l'utilise comme démonstration humoristique de ce à quoi il faut faire attention pour se prémunir contre les agents nord-coréens qui postulent dans des entreprises crypto. Leur page « rencontrez notre équipe » affiche les photos de profil de nombreux acteurs malveillants connus et sanctionnés par l'État, dont ce signal d'alarme au sens littéral du terme :
La page parodique présente également un aperçu condensé des activités malveillantes historiques de la RPDC, ainsi que des liens vers un cadre de référence sérieux et complet que les entreprises peuvent utiliser pour renforcer leur processus de recrutement face à des candidats criminels bien dissimulés.
Consensys demande à la FTC de privilégier des normes de sécurité neutres sur le plan technologique dans l'affaire du hack de Nomad
Bill Hughes, Conseiller principal et Directeur des affaires réglementaires mondiales de Consensys, société mère de MetaMask, a soumis une lettre à la Federal Trade Commission en réponse à son ordonnance proposée dans l'affaire du hack de Nomad. Hughes soutient que la position de la FTC décourage la transparence en matière de sécurité et promeut des exigences techniques qui ne correspondent pas aux standards du secteur (à savoir les « circuit breakers », aussi appelés « killswitches »).
Dans sa plaidoirie en faveur d'une approche plus neutre sur le plan technologique, Hughes affirme : « L'ingénierie de la sécurité consiste à gérer des compromis. La question ne devrait pas être "Aviez-vous ce contrôle spécifique ?" mais plutôt "Disposiez-vous de capacités raisonnables pour détecter, répondre et atténuer les pertes compte tenu de votre architecture et de votre modèle de menace ?" »
Les pertes liées à la fraude crypto alimentée par l'IA projetées à 17 milliards de dollars en 2025
Chainalysis attribue la montée en puissance de l'IA à la croissance exponentielle des pertes en 2025. L'année dernière, au moins 14 milliards de dollars de crypto ont été confirmés comme volés dans des arnaques, et la société d'analyse projette que ce chiffre pourrait atteindre 17 milliards à mesure que davantage d'activités illicites sont mises au jour. L'entreprise maintient que les arnaques alimentées par des outils d'IA sont 4,5 fois plus rentables que les méthodes traditionnelles, et que les usurpations d'identité d'entreprises légitimes par IA ont connu une hausse de 1 400 % d'une année sur l'autre.
Les deepfakes et les contenus générés par IA ont rendu les arnaques à l'investissement et les arnaques sentimentales plus crédibles, tandis que la portée accrue et la rapidité associées à cette technologie ont donné aux opérations criminelles un avantage considérable. Les escrocs vont jusqu'à convaincre leurs victimes qu'ils sont leurs collègues de travail.
Les malwares ont également bénéficié de l'essor de l'IA, comme l'a démontré en janvier Check Point Research. Le groupe criminel KONNI, soutenu par la RPDC, a ciblé des développeurs avec de faux documents de projets blockchain et un backdoor PowerShell rédigé par IA.
Le groupe KONNI soutenu par la RPDC utilise des malwares écrits par IA pour cibler les développeurs
2026 commence sur les chapeaux de roues. À la mi-janvier, une personne a perdu plus de 282 millions de dollars en Bitcoin et Litecoin dans le cadre d'une arnaque par ingénierie sociale qui a surpassé une attaque similaire record de 243 millions de dollars. Les hardware wallets sont considérés comme particulièrement sécurisés, car les clés privées ne quittent jamais l'appareil, mais cette protection est inutile dans des cas comme celui-ci, où un utilisateur est trompé et contraint de donner accès à ses fonds.
Il a depuis été découvert que le hardware en question était un portefeuille Trezor et que les escrocs ont utilisé une clé API compromise, mais il ne s'agit pas d'un problème propre à Trezor. Se faire passer pour le support technique est une tactique classique dans le manuel de l'escroc. Les cibles peuvent également être sélectionnées en fonction de leur valeur connue et/ou de leurs coordonnées obtenues via des violations de données, comme l'incident très médiatisé impliquant des utilisateurs de Ledger signalé plus tôt dans le mois.
L'ingénierie sociale contourne la sécurité du hardware wallet dans un vol de Bitcoin de 282 millions de dollars
Les malfaiteurs ne prennent pas de vacances. En fait, ils comptent sur vous pour baisser la garde pendant que vous faites la fête ou que vous vous détendez.
Exemple A : Cette arnaque qui a appâté des clients de GrubHub avec un message indiquant : « Il reste 30 minutes pour notre Promotion Crypto des Fêtes. Grubhub multipliera par 10 tout Bitcoin envoyé à cette adresse [...]. Par exemple, si vous envoyez 1 000 $, nous vous renverrons 10 000 $. »
Exemple B : Le récit du bosseur @the_smart_ape expliquant comment le fait de parler ouvertement de ses activités crypto et de se connecter au Wi-Fi d'un hôtel lors de vacances en famille a conduit au vidage de ses avoirs. On ne le répétera jamais assez : Restez discret !
Et puis il y a cette notification apparemment anodine d'un faux renard qui a invité des cibles avec une fausse mise à jour du Nouvel An...
Attention, ce n'est pas réel. Des chercheurs en sécurité pensent que cet e-mail MetaMask frauduleux pourrait être lié au hack de Trust Wallet de 7 millions de dollars survenu le jour de Noël. Aïe. Comme le rapporte Cointelegraph :
« L'incident s'est probablement produit en raison de l'attaque de la chaîne d'approvisionnement "Sha1-Hulud" en novembre, qui a compromis des packages logiciels npm couramment utilisés par les projets crypto pour développer des applications blockchain, selon le rapport d'incident de Trust Wallet.
Attaques crypto pendant les fêtes : hack de la chaîne d'approvisionnement de Trust Wallet, exploit Truebit et faux e-mails MetaMask
Des « secrets » de développeur ont été divulgués depuis le GitHub de Trust Wallet, ce qui a donné à l'attaquant accès au code source de l'extension de navigateur du portefeuille. »
Le hack de 7 millions de dollars de Trust Wallet lié à la compromission de la chaîne d'approvisionnement Sha1-Hulud
Bleeping Computer fournit plus de détails sur le hack de Trust Wallet et les contournements de Sha1-Hulud.
Également durant ces sombres derniers jours de l'année, Unleashed Protocol a annoncé avoir été vidé de 3,9 millions de dollars en crypto suite à un détournement de multisig.
Truebit perd 26,6 millions de dollars à cause d'une vulnérabilité dans un ancien smart contract
Truebit a été exploité dans les premiers jours de la nouvelle année, coûtant aux réserves du protocole 26,6 millions de dollars en Ether et entraînant la perte de presque toute la valeur du token TRU. Le fantôme des vulnérabilités passées nous rappelle que nous ne devons pas tenir pour acquise la sécurité de nos anciens smart contracts...
Nous tenons à remercier tous ceux d'entre vous qui ont consacré et continuent de consacrer des heures supplémentaires à surveiller et défendre les systèmes pendant les périodes de fêtes. Le monde entend surtout parler de ce qui tourne mal, plutôt que des nombreuses tentatives qui ont été déjouées. Veillez à vous reposer et à prendre l'air (ou à profiter de la neige).
Ce rapport de janvier 2026 a couvert la fraude crypto alimentée par l'IA projetée à 17 milliards de dollars, un vol par ingénierie sociale de 282 millions de dollars contournant la sécurité des hardware wallets, et des attaques sur la chaîne d'approvisionnement pendant les fêtes, notamment la compromission de Trust Wallet. Consultez les éditions précédentes du rapport de sécurité crypto MetaMask pour découvrir d'autres menaces, tendances et conseils pour rester en sécurité dans l'écosystème.
