Chaque mois, Luker, directeur de la sécurité chez MetaMask, fait le point sur les dernières attaques crypto et les risques émergents à connaître.
Février 2024 a été un mois chargé en mises à jour de sécurité pour MetaMask. Les alertes de sécurité propulsées par Blockaid ont été activées par défaut sur plusieurs réseaux Ethereum, et nous avons intégré une défense LavaDome approfondie à notre outil open source LavaMoat, qui protège contre les attaques de la chaîne d'approvisionnement. Plus largement dans l'écosystème, la Security Alliance (SEAL), qui abrite SEAL 911 et un nouveau Whitehat Safe Harbor Agreement, a été lancée publiquement. Du côté des menaces, des drainers ont piraté le compte X de MicroStrategy pour un vol de 440 000 $ par phishing, et des chercheurs ont attribué 6,2 millions de dollars supplémentaires de vols à la faille LastPass de 2022. Le bilan complet se trouve ci-dessous, mais d'abord...
À la une : Granville T. Woods, pionnier des STIM et inventeur du télégraphe à induction
Granville T. Woods (1856–1910) était un prolifique inventeur et ingénieur électricien américain qui détenait près de 60 brevets, dont le plus célèbre est le Synchronous Multiplex Railway Telegraph — un télégraphe à induction permettant aux trains en mouvement et aux gares de communiquer, améliorant considérablement la sécurité ferroviaire. Souvent surnommé « le Black Edison », Woods a conçu des systèmes dans lesquels une communication fiable constituait en elle-même un mécanisme de sécurité — le même principe qui sous-tend aujourd'hui une infrastructure sécurisée et digne de confiance.
MetaMask active par défaut les alertes de sécurité Blockaid sur plusieurs réseaux
MetaMask a intégré des alertes de sécurité propulsées par Blockaid dans le portefeuille et les a activées automatiquement sur plusieurs réseaux Ethereum Virtual Machine (EVM), afin de répondre au problème croissant des transactions malveillantes. Ces nouvelles alertes de sécurité offrent à des millions d'utilisateurs MetaMask une protection supplémentaire contre les attaques de phishing crypto, dont la fréquence a fortement augmenté en 2023. Considérez les alertes propulsées par Blockaid comme un outil supplémentaire pour protéger les utilisateurs contre les arnaques — un outil qui fonctionne mieux en complément de bonnes pratiques de sécurité fondamentales. Elles ajoutent une véritable couche de protection contre les transactions malveillantes, et leur association avec les security Snaps permet d'afficher des détails de transaction que MetaMask n'affiche pas nativement. Cela dit, aucun outil automatisé ne peut contrer l'ingénierie sociale — les bases restent donc primordiales : ne pas installer de logiciels non vérifiés, se méfier des usurpateurs de support client dans vos messages privés, rester sceptique face aux profils en ligne trop séduisants, et ne jamais partager votre clé privée ou votre Secret Recovery Phrase avec un site web ou qui que ce soit en ligne.
Plus de façons de gérer votre propre garde, de la Secret Recovery Phrase aux Account Management Snaps
La self-custody, c'est le choix de conserver vos propres clés plutôt que de les confier à un tiers — et cela place la sécurité de vos fonds entre vos mains. Cette responsabilité est bien réelle : la Secret Recovery Phrase de 12 mots, historiquement nécessaire pour créer un portefeuille MetaMask, peut être difficile à garder à la fois secrète et en sécurité. C'est pourquoi MetaMask élargit les façons dont vous pouvez gérer vos comptes tout en restant en self-custody. Il a introduit les Account Management Snaps, une voie sans permission pour les équipes qui développent ces solutions afin de les proposer aux utilisateurs MetaMask. En février 2024, la Keyring API a été intégrée à l'extension MetaMask pour permettre aux développeurs d'implémenter leurs propres concepts de gestion de comptes. Les utilisateurs sont invités à essayer les trois premiers snaps en version bêta expérimentale — Silent Shard, Safeheron et Capsule — et leurs retours sont les bienvenus via la page de feedback.
Présentation de LavaMoat LavaDome pour une défense en profondeur du contenu critique
LavaDome est le tout dernier outil expérimental de la boîte à outils LavaMoat pour la sécurité de la chaîne d'approvisionnement. En utilisant l'API web Shadow DOM, il peut implémenter des composants uniquement frontend qui n'autorisent les interactions qu'avec l'utilisateur et le code de confiance, tout en bloquant les tentatives d'accès par du JavaScript et des CSS non fiables. L'objectif est une défense en profondeur : protéger le contenu le plus critique affiché dans les applications protégées par LavaMoat, même si toutes les autres protections ont été contournées.
La Security Alliance (SEAL) se dévoile
La Security Alliance (SEAL), une initiative conjointe de la communauté de la cybersécurité visant à améliorer la sûreté de l'écosystème crypto, a été lancée publiquement le 14 février 2024. Elle opérait discrètement jusqu'alors, pilotant des initiatives telles que SEAL 911 (un service d'assistance à réponse rapide composé d'experts en sécurité de premier plan) et les SEAL Drills (formations de simulation d'attaques). SEAL a également annoncé son Whitehat Safe Harbor Agreement, un cadre destiné aux hackers éthiques et aux bots Maximal Extractable Value (MEV) qui interviennent lors d'incidents de sécurité publics actifs — leur permettant de traiter préventivement des exploits à condition qu'une attaque soit en cours et que les fonds récupérés soient redirigés vers un emplacement spécifié. Comme l'a annoncé samczsun, co-fondateur de SEAL, le groupe avait travaillé sur ces initiatives de sécurité en privé pendant environ un an et demi avant son lancement public.
Des drainers exploitent le compte X de MicroStrategy dans un vol par phishing de 440 000 $
Le compte X officiel de MicroStrategy a été piraté le 26 février 2024 pour promouvoir un faux airdrop de token MSTR basé sur Ethereum, PeckShield ayant alerté les utilisateurs sur le lien de phishing. L'incident a entraîné environ 440 000 $ de fonds volés, dont la majorité proviendrait d'une seule victime. L'exploiteur a commencé à déplacer les fonds tout en laissant environ 195 000 $ d'Ethereum dans son adresse. Le drainer n'avait pas été identifié au moment de la rédaction, bien que de nombreux chercheurs aient commencé à l'attribuer à Pink Drainer.
Comme lors du précédent piratage du compte X de Vitalik Buterin, même des comptes de réseaux sociaux de confiance peuvent être compromis. Pensez toujours à marquer une pause avant de cliquer sur un lien ou de signer une transaction, conservez les fonds importants dans un hardware wallet, et utilisez différents types de comptes et de portefeuilles selon les niveaux de risque.
De nouvelles victimes de LastPass perdent 6,2 millions de dollars, les vols se poursuivent
Dans le dernier vol lié à l'attaque LastPass, plus de 22 victimes ont perdu au total 6,2 millions de dollars entre le 19 et le 20 février 2024, les fonds volés ayant été rapidement transférés des réseaux EVM vers Bitcoin. Pour faciliter le traçage et l'attribution, ZachXBT et Taylor Monahan ont documenté les adresses on-chain utilisées par l'attaquant dans un rapport Chainabuse. Ce registre public signale les portefeuilles détenant des fonds volés afin que les exchanges, portefeuilles et autres services puissent les surveiller, les geler ou les bloquer, et avertir les victimes potentielles avant qu'elles n'interagissent avec les comptes de l'attaquant.
Depuis la faille LastPass originale, des membres de la communauté — fondateurs de protocoles, investisseurs, développeurs et utilisateurs ayant stocké leurs Secret Recovery Phrases dans LastPass — ont perdu plus de 10 millions de dollars. Toute personne ayant utilisé LastPass avant le piratage de décembre 2022 devrait considérer ses clés stockées comme compromises, transférer ses soldes vers un nouveau portefeuille, et déplacer les fonds importants vers des hardware wallets vérifiés pour un stockage hors ligne sécurisé.
Le rapport de sécurité crypto de MetaMask pour février 2024 a couvert l'activation par défaut des alertes de sécurité propulsées par Blockaid sur plusieurs réseaux, le lancement des Account Management Snaps et de la Keyring API, ainsi que la révélation publique de la Security Alliance (SEAL), en parallèle d'un piratage du compte X de MicroStrategy à 440 000 $ et de 6,2 millions de dollars de vols supplémentaires liés à LastPass. Consultez les éditions précédentes du MetaMask Crypto Security Report pour découvrir davantage de menaces, de tendances et de conseils pour rester en sécurité dans l'écosystème.
