Chaque mois, Luker, directeur de la sécurité chez MetaMask, fait le point sur les dernières attaques crypto et les risques émergents à connaître.
En février 2023, MetaMask a désactivé eth_sign par défaut afin de contrer une vague de kits de phishing par signature — une mesure qui a peut-être contribué à la fermeture du célèbre groupe Monkey Drainer — tandis que les équipes Endo et LavaMoat ont fait progresser le bundling sécurisé, un plugin de carte de compartiments webpack, ainsi que le renforcement de MetaMask Snaps. Du côté des menaces, une faille chez Namecheap/SendGrid a permis à des attaquants d'envoyer des e-mails de phishing aux couleurs de MetaMask, un SIM-swap sur Google Fi a compromis le compte Coinbase d'une victime ainsi que son application d'authentification à deux facteurs, et un faux site EthDenver promu via Google Ads a été associé à un portefeuille de phishing notoire. L'analyse complète se trouve ci-dessous, mais d'abord...
À la une : Emmett Chappelle, pionnier des STIM, chercheur en bioluminescence et scientifique à la NASA
Emmett Chappelle (1925–2019) était un biochimiste américain reconnu pour ses travaux sur la bioluminescence. Il a développé des méthodes utilisant des réactions luminescentes pour détecter la présence de bactéries et de formes de vie là où elles seraient autrement invisibles — des techniques ensuite appliquées dans la recherche de vie par la NASA et dans les tests rapides de détection de contamination. Sa démarche consistant à transformer un signal faible en détection fiable fait écho au défi quotidien de la sécurité : faire remonter les menaces cachées avant qu'elles ne causent des dommages. Chappelle a déposé 14 brevets et figure parmi les scientifiques afro-américains les plus éminents du XXe siècle.
MetaMask désactive eth_sign par défaut tandis que le groupe de phishing Monkey Drainer ferme ses portes
MetaMask a observé une tendance significative de kits de phishing exploitant eth_sign pour inciter les utilisateurs à signer des transactions malveillantes. Afin d'équilibrer protection et autonomie des utilisateurs, MetaMask a désactivé eth_sign par défaut, en laissant une option dans les paramètres avancés pour ceux qui en ont encore besoin, comme détaillé dans la PR de l'extension. Devin Shin, ingénieur support technique chez MetaMask, a rapporté avoir constaté l'efficacité de ce changement en pratique : lors de l'investigation d'un site d'arnaque signalé par un utilisateur, « rien ne se passait », et les journaux de la console montraient que le site avait tenté de déclencher une transaction eth_sign qui avait échoué en raison de cette récente modification. Vers la fin du mois, ce changement a peut-être contribué à la disparition du groupe de phishing NFT Monkey Drainer, dont @0xFantasy a signalé la fermeture annoncée par son propriétaire le 28 février 2023.
De faux e-mails de phishing aux couleurs de MetaMask envoyés lors de la faille Namecheap et SendGrid
Des attaquants ont envoyé de faux e-mails de phishing aux couleurs de MetaMask demandant aux destinataires de saisir leur Phrase de Récupération Secrète. Pour contrer cette arnaque, nous avons signalé cette tentative de phishing très médiatisée le 12 février 2023, et rappelé aux utilisateurs que MetaMask ne vous demandera jamais votre Phrase de Récupération Secrète ni vos Clés Privées.
La faille n'a pas affecté MetaMask directement ; les attaquants ont pu envoyer les e-mails depuis un domaine Namecheap. Namecheap a d'abord attribué l'incident à son fournisseur en amont, SendGrid, avant de publier un communiqué sur son compte Twitter, bien que les deux déclarations semblaient avoir été supprimées au 28 février 2023. Bleeping Computer a rendu compte de l'incident.
Endo divise le bundling sécurisé en deux étapes et ajoute l'atténuation des politiques pour les variables globales
Le projet Endo a adopté une nouvelle approche du bundling sécurisé qui répartit le travail en deux étapes afin de s'intégrer plus facilement dans l'écosystème existant : premièrement, un plugin pour un outil existant tel que webpack crée une carte de compartiments et des sources transformées, puis les sauvegarde sous forme d'archive d'application ; deuxièmement, un bundler transforme cette archive d'application en un fichier de bundle sécurisé. Cette séparation devrait rendre la prise en charge d'un nouvel outil de bundling moins complexe et moins susceptible de compromettre la sécurité du bundler. Endo a également ajouté l'atténuation des variables globales dans les politiques, apportant ainsi les bases d'une compatibilité complète avec les politiques LavaMoat au mappeur de compartiments, notamment un attenuator de preuve de concept implémentant une politique globale « write ».
LavaMoat lance un plugin de carte de compartiments webpack et corrige un contournement de Snow
LavaMoat a entamé les premiers travaux sur un plugin webpack pour générer une carte de compartiments compatible avec Endo. Par ailleurs, @lavamoat/snow a désactivé la création d'objets URL à partir d'objets Blob et File afin d'empêcher un contournement de ses protections de realm.
LavaMoat renforce MetaMask Snaps et étudie le sandboxing des iframes dans Chrome
L'équipe LavaMoat a contribué à renforcer les fonctionnalités exposées à MetaMask Snaps et a mené des recherches sur les effets secondaires inattendus du sandboxing des iframes dans Chrome.
Un SIM-swap sur Google Fi compromet le compte Coinbase d'une victime et son application d'authentification à deux facteurs
Dans un nouveau cas de SIM-swap, un client de Google Fi a vu son compte Coinbase et son application d'authentification à deux facteurs détournés par des attaquants, selon TechCrunch. Google Fi a informé l'utilisateur que des pirates avaient dérobé les informations de certains clients, probablement en lien avec une récente faille chez T-Mobile. La situation semblait résolue, mais elle laissait en suspens des questions quant à la sécurité des numéros de téléphone des clients concernés. TechCrunch a rapporté les détails de l'affaire.
Un faux site EthDenver 2023 associé à un portefeuille de phishing notoire via Google Ads
À l'approche d'EthDenver 2023, l'un des plus grands événements de l'écosystème Ethereum, un faux site Ethereum Denver promu via Google Ads a été associé à un portefeuille de phishing notoire. Ce cas rappelle qu'il ne faut pas faire confiance aux résultats Google Ads lorsque l'on navigue vers des sites crypto ou des sites d'événements.
Le rapport de sécurité crypto de MetaMask pour février 2023 a couvert la désactivation par défaut d'eth_sign par MetaMask dans le contexte de la fermeture du groupe de phishing Monkey Drainer, une faille chez Namecheap et SendGrid exploitée pour envoyer des e-mails de phishing aux couleurs de MetaMask, ainsi qu'un SIM-swap sur Google Fi ayant compromis le compte Coinbase d'une victime et son application d'authentification à deux facteurs. Consultez les éditions précédentes du rapport de sécurité crypto MetaMask pour découvrir d'autres menaces, tendances et conseils pour rester en sécurité dans l'écosystème.
