Chaque mois, Luker, directeur de la sécurité chez MetaMask, fait le point sur les dernières attaques crypto et les risques émergents à connaître.
En avril 2024, ZachXBT, Taylor Monahan de MetaMask et d'autres chercheurs ont partagé leur enquête sur 200 millions de dollars blanchis par le groupe Lazarus de Corée du Nord. Par ailleurs, le Security Lab de MetaMask a soumis une proposition Snow.js au W3C, amélioré la génération de politiques de LavaMoat pour les modules ES, tandis que Gal Weizman a présenté en détail le nouvel outil LavaDome pour afficher des données sensibles en toute sécurité. Dans le même temps, la Security Alliance a lancé un ISAC gratuit, natif à la crypto. Voici l'analyse complète, mais d'abord...
Pionnière STEM à l'honneur : Fazlur Rahman Khan, ingénieur en structures et père du design tubulaire
Fazlur Rahman Khan (1929–1982) était un ingénieur en structures et architecte américano-bangladais, pionnier de la conception assistée par ordinateur, souvent surnommé le « père des structures tubulaires » pour les gratte-ciel. Ses systèmes structurels ont rendu possible une nouvelle génération de gratte-ciel efficaces, notamment la Willis (Sears) Tower et le John Hancock Center. Concevoir des structures capables de résister à des contraintes extrêmes est, à sa façon, le même défi que relève l'ingénierie de sécurité : construire quelque chose qui tient bon quand tout s'acharne contre lui.
Mises à jour LavaMoat et Snow : une proposition au W3C, la génération de politiques ESM et le verrouillage iOS
Le Security Lab de MetaMask a soumis une proposition au W3C pour incubation, introduisant des fonctionnalités de base permettant à l'équipe de déployer Snow.js côté utilisateur plutôt que via LavaMoat. L'intégrer directement dans le navigateur rendrait tout contournement pratiquement impossible et constitue une étape clé pour répondre à la « préoccupation liée à la même origine ». L'équipe a également amélioré sa génération de politiques pour prendre en charge les modules ECMAScript (ESM)—en accommodant la syntaxe import et export au-delà du système require traditionnel—pour le plugin webpack et un nouvel outil basé sur Endo ; la prise en charge de target: 'node' avec les modules intégrés arrivera dans la prochaine version du plugin webpack LavaMoat. Lockdown est désormais déployé de façon permanente sur MetaMask Mobile pour iOS, et l'équipe améliore sa documentation et ses vidéos pédagogiques pour faciliter l'adoption de LavaMoat dans l'écosystème au sens large.
À mesure que la confiance dans le code des applications web s'érode, les protections traditionnelles comme la Same Origin Policy se révèlent de plus en plus insuffisantes face aux menaces internes. MetaMask y répond avec LavaDome, un outil expérimental permettant d'afficher des informations sensibles dans le DOM en toute sécurité, sans qu'elles puissent être dérobées par du code malveillant via des attaques XSS ou des attaques sur la chaîne d'approvisionnement. Comme l'a formulé Gal Weizman, LavaDome peut afficher des valeurs sensibles dans le DOM de manière sécurisée—un code PIN, une Secret Recovery Phrase, une clé privée ou d'autres données personnelles—avec une friction d'intégration quasi nulle.
Une fausse menace de poursuites judiciaires expose un réseau de phishing Privnote
Un cybercriminel exploitant des versions contrefaites du service de messages autodestructeurs Privnote a involontairement révélé l'ampleur de son opération en menaçant de poursuivre MetaMask en justice. Tout a commencé lorsqu'un utilisateur GitHub s'est plaint que son site, privnote.co, avait été ajouté à tort à la liste de blocage de phishing de MetaMask et a menacé d'engager des poursuites. Mis en demeure de produire réellement la plainte, il s'est affolé et a commencé à citer d'autres domaines qu'il contrôlait, comme privnode.com, privnate.com et prevnóte.com, révélant ainsi tout un réseau.
Taylor Monahan a signalé la bévue, et comme Brian Krebs l'a détaillé, ces sites imitent le vrai Privnote dans son apparence et ses fonctionnalités, à une différence critique près. Tout message contenant une adresse de cryptomonnaie est automatiquement réécrit pour substituer la vraie adresse de paiement par une adresse appartenant aux fraudeurs ; et comme la note s'autodétruit, la modification est facile à manquer. L'astuce est aussi lucrative : via l'un de ces sites de phishing, quatre adresses frauduleuses ont déplacé près de 18 000 dollars en crypto sur une seule période de cinq jours en mars.
ZachXBT, avec l'aide de Taylor Monahan de MetaMask Security et d'autres chercheurs, a suivi la piste des transactions à travers des mixeurs et des exchanges centralisés pour documenter comment le groupe Lazarus a blanchi 200 millions de dollars issus de plus de 25 piratages crypto en monnaie fiduciaire entre 2020 et 2023.
Entre 2020 et 2023, le tristement célèbre groupe Lazarus, soupçonné d'avoir des liens avec la Corée du Nord, a blanchi environ 200 millions de dollars. ZachXBT, en collaboration avec Taylor Monahan de MetaMask Security et d'autres chercheurs, a partagé une enquête sur la piste des transactions de Lazarus—à travers des mixeurs et des exchanges centralisés—pour retracer plus de 25 piratages attribués au groupe.
La Security Alliance (SEAL) lance un ISAC gratuit, natif à la crypto
La Security Alliance a lancé un Information Sharing and Analysis Center (ISAC) gratuit conçu pour la crypto open source, soutenant aussi bien les entités centralisées que décentralisées. Son initiative SEAL 911, dont samczsun a noté qu'elle avait contribué à récupérer plus de 50 millions de dollars depuis son lancement l'année précédente, a invité les parties prenantes à postuler—notamment les exchanges et plateformes de trading, les projets blockchain, les fournisseurs de wallets et de solutions de stockage, les pools de minage et fournisseurs d'infrastructure, les entreprises de cybersécurité et chercheurs spécialisés en blockchain, ainsi que les experts en réglementation et conformité.
Bernhard Mueller analyse le service Angel Drainer
Bernhard Mueller a publié une analyse détaillée d'Angel Drainer, l'un des services de drainer les plus tristement célèbres en activité. Bien que le service prétende contourner la détection de Blockaid, la fonctionnalité Blockaid activée par défaut dans MetaMask signale tout de même la transaction comme frauduleuse, déjouant ainsi l'attaque dans son intégralité.
Les utilisateurs de LastPass ciblés par un phishing CryptoChameleon contournant le MFA
Les utilisateurs de LastPass ont été ciblés par une campagne de phishing sophistiquée combinant e-mails, SMS et appels vocaux pour dérober des mots de passe maîtres. Les attaquants ont utilisé CryptoChameleon, un kit de phishing-as-a-service ciblant les comptes de cryptomonnaies et capable de contourner l'authentification multi-facteurs (MFA), en faisant croire aux utilisateurs que leur compte LastPass avait été accédé depuis un nouvel appareil et en les redirigeant vers un site de phishing capturant leurs identifiants. LastPass a pris des mesures contre cette campagne, qui s'inscrit dans une série d'attaques contre le gestionnaire de mots de passe, dont une violation significative divulguée l'année précédente. La défense est simple : vérifiez toute communication prétendant provenir d'un fournisseur de services en le contactant via son site officiel ou sa ligne d'assistance plutôt qu'en répondant directement, et méfiez-vous des demandes urgentes et non sollicitées de partage d'informations, de clic sur des liens ou de téléchargement de pièces jointes.
Google poursuit deux développeurs pour 87 applications crypto frauduleuses
Google a intenté un procès contre les développeurs Yunfeng Sun et Hongnam Cheung pour avoir distribué 87 applications de cryptomonnaies frauduleuses sur le Google Play Store, affectant plus de 100 000 utilisateurs—dont 8 700 aux États-Unis. Le procès, déposé dans le district sud de New York, décrit comment les applications attiraient les utilisateurs avec des promesses d'investissements crypto, puis les piégeaient avec des frais pour retirer leurs supposés gains, se faisant passer pour des plateformes de trading légitimes et échappant aux suppressions en changeant régulièrement d'identité et d'infrastructure réseau. Ce stratagème de type « pig butchering » rappelle l'importance de vérifier la légitimité d'une application—en scrutant les avis et les retours sur les réseaux sociaux—et de garder à l'esprit que les offres trop belles pour être vraies le sont généralement.
Des drainers crypto déployés sur ~2 000 sites WordPress
Près de 2 000 sites WordPress ont été piratés pour afficher de fausses pop-ups NFT et de réduction incitant les visiteurs à connecter leurs wallets à des drainers crypto. La campagne a d'abord diffusé des drainers via des publicités et YouTube, avant de passer au brute-forcing de mots de passe administrateurs, et affiche désormais de fausses offres NFT trompant les utilisateurs pour qu'ils connectent leurs wallets à des scripts malveillants servis depuis dynamic-linx[.]com. Les utilisateurs ne devraient connecter leurs wallets qu'à des plateformes de confiance, conserver leurs fonds importants dans un hardware wallet, limiter les actifs dans les wallets du quotidien et utiliser des comptes distincts selon les niveaux de risque.
Le rapport de sécurité crypto d'avril 2024 de MetaMask a couvert l'enquête de ZachXBT sur les 200 millions de dollars blanchis par le groupe Lazarus, le lancement de l'ISAC gratuit natif à la crypto de la Security Alliance, et une campagne de phishing CryptoChameleon ciblant les utilisateurs de LastPass tout en contournant l'authentification multi-facteurs. Consultez les éditions précédentes du MetaMask Crypto Security Report pour découvrir d'autres menaces, tendances et conseils pour rester en sécurité dans l'écosystème.
