Chaque mois, Luker, directeur de la sécurité chez MetaMask, fait le point sur les dernières attaques crypto et les risques émergents à connaître.
En juillet 2023, l'équipe de sécurité MetaMask a présenté Menpo, un standard STIX 2.1 pour le catalogage des incidents DeFi, lors du DeFi Security Summit. Gal Weizman a conclu une série en trois parties sur X expliquant comment le scuttling et Snow de LavaMoat renforcent la sécurité de la chaîne d'approvisionnement. LavaMoat a également fait progresser son plugin webpack ScorchWrap et ses travaux sur l'EIP-4361. Du côté des menaces, le rapport de ce mois a mis en lumière des arnaques de type pig butchering (shāz hū pán) et de faux schémas de minage exploitant les approbations de tokens, une nouvelle arnaque aux fausses approbations utilisant des gas tokens largués par airdrop, ainsi qu'une campagne d'ingénierie sociale du groupe Lazarus diffusant des malwares npm auprès de développeurs crypto et de sécurité. L'analyse complète est présentée ci-dessous, mais d'abord...
À la une : Josephine Jue, mathématicienne et technologue aérospatiale de la NASA
Josephine Jue était mathématicienne et technologue aérospatiale à la NASA. Elle est reconnue comme l'une de ses « figures cachées » et compte parmi les premières femmes américaines d'origine asiatique à avoir travaillé comme programmatrice au Manned Spacecraft Center de la NASA, où elle a contribué au logiciel du programme Apollo. La précision et la fiabilité qu'exigeaient ses travaux sur les premiers logiciels critiques constituent le même standard dont dépendent encore aujourd'hui les systèmes de confiance.
MetaMask présente Menpo, une base de données d'incidents DeFi au format STIX 2.1, lors du DeFi Security Summit
Lors du DeFi Security Summit 2023, Herman Junge a présenté Menpo, un projet développé par l'équipe de sécurité MetaMask pour standardiser le catalogage des incidents DeFi à l'aide de STIX 2.1. Cette initiative, née de l'idée de Junge, favorise la collaboration inter-organisationnelle entre analystes et chercheurs en sécurité afin d'enrichir le paysage partagé du renseignement sur les menaces.
Gal Weizman achève une série en trois parties sur X consacrée au scuttling et à Snow de LavaMoat
Dans la continuité du billet de blog du mois précédent, Gal Weizman a conclu sa série en trois parties sur X expliquant comment le scuttling et Snow de LavaMoat renforcent la sécurité de la chaîne d'approvisionnement de MetaMask — et peuvent faire de même pour d'autres applications. Le scuttling rend l'objet window de l'application pratiquement inutilisable pour le code injecté, fermant ainsi une voie d'attaque courante dans les navigateurs.
LavaMoat met à jour ScorchWrap, teste Snow avec CSP et contribue à l'EIP-4361
Le plugin webpack ScorchWrap utilise désormais @lavamoat/aa pour identifier les packages dans les dépendances et appliquer les politiques lors de leur importation, des travaux supplémentaires restant nécessaires sur les builtins émulés par webpack tels que buffer et crypto. L'équipe a également tenté de prendre en charge Snow avec des recommandations de Content Security Policy, mais a jugé la CSP sur iframe srcdoc insuffisante ; les prochaines étapes consistent à limiter les API DOM acceptant des entrées sous forme de chaînes de texte afin d'améliorer la sécurité. LavaMoat a contribué aux discussions sur une gestion plus explicite des schémas dans l'EIP-4361 et a proposé un algorithme de vérification d'origine, avant de fusionner le hook exitModules dans Endo. Par ailleurs, Zibi anime un atelier de Defensive Coding au village AppSec de DefCon.
Les arnaques de type pig butchering (shāz hū pán) de 2022-2023 cartographiées dans un tableau de bord Dune
Les arnaques à long terme, dans lesquelles des acteurs malveillants attirent leurs victimes dans un faux sentiment de sécurité en leur promettant des rendements sur investissement, sont en hausse. Ces schémas — qui impliquent souvent une dimension romantique et sont originaires de Chine — sont connus sous le nom de shāz hū pán, ou « abattage du cochon », car l'auteur « engraisse » sa cible avant de l'« abattre ». Taylor Monahan, de MetaMask Security, a compilé un tableau de bord Dune qui, selon ses propres mots, « tente de mesurer l'ampleur de ces arnaques grâce à des données concrètes extraites directement de la blockchain et aux témoignages des victimes, dans leurs propres mots », soulignant que « ces escrocs font adopter la crypto à davantage de personnes que n'importe quelle organisation crypto légitime. Le tout pour leur voler leur argent. »
Les faux schémas de minage exploitent les approbations de tokens, détaillés dans une analyse Consensys
Un article de blog Consensys rédigé par Joel Willmore, « Fake 'Mining' Scams: A Familiar Foe in a New Disguise », explique le fonctionnement des arnaques au minage d'approbation USDT et au minage de liquidité, comment les reconnaître et comment se protéger en comprenant et en sécurisant les approbations de tokens. Il inclut un tableau de bord Dune par Harry Denley permettant de suivre ces arnaques. Pour un aperçu plus concis, MetaMask a également publié un article d'assistance sur les arnaques aux faux bons de minage.
Revoke.cash met en garde contre une arnaque aux fausses approbations utilisant des gas tokens largués par airdrop
Revoke.cash a mis en évidence une nouvelle arnaque aux fausses approbations impliquant des « gas tokens » largués par airdrop qui font croire aux utilisateurs qu'ils ont des approbations suspectes à révoquer. Les escrocs programment ces faux tokens pour minter une grande quantité de gas tokens lors d'une transaction de révocation, qui sont ensuite envoyés aux attaquants pour être revendus. Comme la fenêtre contextuelle du portefeuille n'affiche qu'un frais élevé plutôt qu'une sortie de fonds, le vol est facile à manquer. En réponse, Revoke.cash a ajouté une vérification qui désactive la révocation des approbations lorsque les frais de gas sont excessifs, et recommande d'ignorer les transactions inattendues assorties de frais de gas très élevés.
Le groupe Lazarus diffuse des malwares npm dans une campagne d'ingénierie sociale ciblant les développeurs
Selon Socket, le groupe Lazarus a lancé une campagne d'ingénierie sociale sophistiquée ciblant les développeurs des secteurs de la cryptomonnaie et de la cybersécurité, en utilisant des comptes compromis et des packages npm chargés de malwares. L'analyse explique le fonctionnement de la chaîne d'attaque, les moyens de s'en protéger et répertorie les packages npm malveillants connus.
Immunefi liste les 10 vulnérabilités les plus courantes dans le web3
Immunefi a publié un récapitulatif des 10 vulnérabilités les plus courantes dans le web3, couvrant les vulnérabilités des smart contracts que les développeurs et les auditeurs doivent surveiller pour créer des contrats sécurisés et robustes.
Taylor Monahan partage des conseils de sécurité pour les portefeuilles : hardware wallets, sauvegardes papier et stockage décentralisé
Taylor Monahan a partagé des conseils pratiques pour sécuriser ses fonds lors de l'utilisation d'un portefeuille web3 : l'utilisation de hardware wallets, la bonne pratique low-tech consistant à stocker sa Secret Recovery Phrase sur papier, et la décentralisation des lieux de stockage des fonds.
Mise à jour de mi-année Chainalysis : la criminalité crypto en baisse de 65 % tandis que les ransomwares progressent
Chainalysis a publié sa mise à jour de mi-année sur la criminalité crypto, indiquant que la criminalité liée aux cryptomonnaies était en baisse d'environ 65 % dans l'ensemble, même si les ransomwares ciblés étaient en hausse.
Le rapport de sécurité crypto de MetaMask pour juillet 2023 a examiné en détail les arnaques de type pig butchering et les faux schémas de minage exploitant les approbations de tokens, une nouvelle arnaque aux fausses approbations utilisant des gas tokens largués par airdrop, ainsi qu'une campagne d'ingénierie sociale du groupe Lazarus diffusant des malwares npm auprès de développeurs crypto et de sécurité. Consultez les éditions précédentes du rapport de sécurité crypto MetaMask pour découvrir d'autres menaces, tendances et conseils pour rester en sécurité dans l'écosystème.
