Chaque mois, Luker, directeur de la sécurité chez MetaMask, fait le point sur les dernières attaques crypto et les risques émergents à connaître.
En juin 2024, Consensys a acquis Wallet Guard pour renforcer la détection des arnaques et des drainers dans MetaMask, tandis que MetaMask a mis à jour sa politique de confidentialité pour plus de transparence et de contrôle, et que LavaMoat a lancé un nouveau site web. La Security Alliance a également ouvert un fonds de défense juridique pour les chercheurs whitehat. Du côté des menaces, des arnaques à l'emploi liées à des groupes APT nord-coréens ont continué de cibler les travailleurs du secteur crypto, un utilisateur a perdu 11 millions de dollars à cause d'un phishing par signature, une violation du fournisseur d'e-mails de CoinGecko a entraîné l'envoi de dizaines de milliers d'e-mails de phishing, et une extension Chrome malveillante nommée Aggr a dérobé plus d'un million de dollars en collectant des cookies d'échanges. Le détail complet est ci-dessous, mais d'abord...
À la une : Ben Barres, pionnier des STEM et neurobiologiste ayant révélé le rôle des cellules gliales
Ben Barres (1954–2017) était un neurobiologiste américain dont les recherches ont joué un rôle déterminant dans la compréhension des interactions entre les cellules gliales et les neurones du système nerveux — démontrant que ces cellules de « soutien » longtemps négligées sont en réalité essentielles au fonctionnement et à la défense du cerveau. Il a également été le premier scientifique ouvertement transgenre élu à l'Académie nationale des sciences des États-Unis, et un ardent défenseur de l'équité dans le monde scientifique. Son travail nous rappelle que les systèmes qui assurent discrètement un rôle protecteur en arrière-plan sont souvent ceux qui comptent le plus.
MetaMask met à jour sa politique de confidentialité pour plus de transparence et de contrôle des données utilisateurs
La confidentialité et la sécurité vont de pair, et MetaMask prend très au sérieux la vie privée de ses utilisateurs. Ce mois-ci, dans un esprit de consentement éclairé, MetaMask a publié une politique mise à jour afin d'informer les utilisateurs des mesures prises pour les protéger, et de leur offrir une plus grande transparence ainsi qu'un meilleur contrôle sur leurs données personnelles. Vous pouvez lire notre annonce et la notice complète, et consulter nos ressources sur la confidentialité et la sécurité.
MetaMask peut traiter temporairement votre adresse IP uniquement lorsque cela est requis pour certains de nos Services (selon vos paramètres MetaMask), afin d'offrir la meilleure expérience possible aux utilisateurs. Cela inclut, par exemple, la prévention des attaques DDoS.
Nous ne collectons pas vos clés privées.
Nous ne vendons pas vos informations personnelles.
Nous ne collectons ni ne conservons d'informations personnelles sauf si cela est nécessaire pour vous fournir les Services et une excellente expérience utilisateur.
Nous ne collectons pas d'informations financières, de paiement ou bancaires. Cependant, lorsque vous utilisez nos fonctionnalités on-ramp ou off-ramp, ces services peuvent nécessiter que vous transmettiez ces informations à des prestataires tiers.
Consensys acquiert Wallet Guard pour renforcer la sécurité de MetaMask
Nous sommes extrêmement enthousiastes à l'idée que l'équipe de Wallet Guard rejoigne officiellement MetaMask, faisant ainsi avancer notre quête pour offrir aux utilisateurs l'expérience la plus sécurisée possible. Comme l'indique l'annonce, l'intégration « renforcera la sécurité de MetaMask en améliorant la détection des arnaques et des drainers grâce à la validation des transactions et à des heuristiques côté client, offrant ainsi aux utilisateurs une protection en temps réel supérieure contre les applications décentralisées malveillantes et les arnaques, tout en préservant la confidentialité et la souveraineté individuelle. »
LavaMoat lance un nouveau site web
Tout ce qui concerne LavaMoat se trouve désormais sur lavamoat.github.io, notamment une vidéo d'introduction expliquant comment cet ensemble d'outils open source protège les projets JavaScript contre les attaques de la chaîne d'approvisionnement. Zbigniew Tenerowicz de MetaMask a également présenté l'atelier Defensive Coding qu'il avait animé à DEFCON l'été précédent lors des conférences Confidence et X33FCON, afin de faire connaître LavaMoat.
État de la sécurité : MetaMask et Wallet Guard
Le dernier épisode de la série State of Security de MetaMask et Wallet Guard a réuni Ryan Jones et Gal Weizman aux côtés d'Ohm et Michael pour discuter des simulations de transactions, de l'interopérabilité, de MetaMask Web et de l'utilisation de LavaMoat pour se protéger contre les attaques de la chaîne d'approvisionnement — ainsi que les conseils habituels pour rester en sécurité dans l'univers crypto.
Les arnaques à l'emploi se multiplient, des groupes liés à la Corée du Nord ciblent les travailleurs du secteur crypto
Le FBI américain a publié un avertissement public invitant les chercheurs d'emploi en télétravail à redoubler de prudence. Les emplois liés à la crypto et à la blockchain n'ont pas été explicitement mentionnés, mais les équipes de renseignement sur les menaces et de sécurité des utilisateurs de MetaMask indiquent que la communauté est particulièrement ciblée. Traitez toute offre d'emploi non sollicitée avec une méfiance accrue, ne cliquez jamais sur des liens ni n'ouvrez des pièces jointes provenant de messages non fiables, et ne donnez jamais suite si « on vous demande d'effectuer des paiements en cryptomonnaie à votre employeur dans le cadre d'un emploi ». Un nombre significatif de ces arnaques est lié à des groupes de menaces persistantes avancées (APT) souvent soutenus par des États — comme l'a dit sans détour un responsable du recrutement, zak : « littéralement chaque développeur que nous avons interviewé récemment était probablement nord-coréen. » Les entreprises liées à la crypto doivent également faire preuve d'une extrême vigilance lors des entretiens avec les candidats, car ce vecteur d'attaque est devenu très répandu. Veillez à mener des entretiens approfondis incluant des informations de parcours vérifiées et cohérentes, et exigez que les candidats soient visibles en caméra.
SEAL lance un fonds de défense juridique pour les chercheurs whitehat
Les hackers éthiques whitehat sont un pilier fondamental de notre secteur. Ces chercheurs identifient et divulguent de manière responsable les vulnérabilités avant que des acteurs malveillants ne puissent les exploiter. Cependant, comme la Security Alliance (SEAL) l'a récemment expliqué, l'histoire du web2 montre que « ce travail important peut parfois engendrer des risques juridiques significatifs et des coûts importants, notamment lorsque leurs recherches et divulgations sont mal accueillies ou mal comprises. » C'est pourquoi SEAL a lancé une initiative avec le Security Research Legal Defense Fund pour fournir des ressources juridiques aux chercheurs éligibles qui utilisent le Whitehat Safe Harbor Agreement.
Un utilisateur perd 11 millions de dollars à cause d'un phishing par signature
Ce qui s'est passé
Le 22 juin 2024, un utilisateur a signé plusieurs signatures de phishing de type permit, ce qui a entraîné une perte de 11 millions de dollars en tokens. Il a ensuite été révélé que la victime était un délégué de gouvernance MakerDAO. Le chercheur de SEAL Pcaversaccio estime que le phishing par signature est le problème le plus grave de notre secteur, affirmant que les utilisateurs ne tiennent pas compte des avertissements et ne mesurent pas les conséquences de leur signature. Taylor Monahan de MetaMask a révélé une estimation totale de plus de 600 millions de dollars de pertes dues aux arnaques par phishing d'approbation depuis 2021.
Comment les utilisateurs peuvent se protéger
Les utilisateurs peuvent se protéger en suivant trois étapes clés.
Limitez les actifs du portefeuille que vous utilisez au quotidien pour naviguer. Si vous signez une signature malveillante, l'impact sera minimisé.
Vérifiez le domaine dont provient la demande de signature et assurez-vous qu'il correspond au domaine du projet d'origine. Un moyen rapide de le faire est de vous rendre sur la page officielle des réseaux sociaux ou du blog du projet et de vérifier que les domaines de ces profils correspondent à la demande.
Vérifiez le token et les adresses contenus dans la demande. La demande implique souvent un token que vous n'aviez pas l'intention d'envoyer. L'adresse du dépensier et/ou l'adresse de la transaction seront différentes de celle que vous aviez prévue.
Ces vérifications simples peuvent aider à prévenir toute perte de fonds non intentionnelle.
23 000 e-mails de phishing suite à une violation du fournisseur d'e-mails de CoinGecko
Ce qui s'est passé
CoinGecko, un agrégateur de données sur les cryptomonnaies, a subi une violation de données le 5 juin 2024 via un compte compromis sur sa plateforme d'e-mail marketing tierce, GetResponse. L'attaquant a accédé à près de 2 millions de contacts et a envoyé 23 723 e-mails de phishing depuis le compte d'un autre client, exposant les noms, adresses e-mail, adresses IP et localisations des utilisateurs — bien que les comptes et mots de passe des utilisateurs de CoinGecko soient restés sécurisés.
Comment les utilisateurs peuvent se protéger
Les utilisateurs doivent aborder avec une extrême prudence tout e-mail concernant la réclamation d'airdrops ou de tokens, et éviter de cliquer sur des liens ou de télécharger des pièces jointes provenant d'e-mails non sollicités. Les projets crypto ont la responsabilité d'être vigilants quant aux contrôles de sécurité appliqués par les fournisseurs tiers avec lesquels ils travaillent.
Une extension Chrome malveillante dérobe plus d'un million de dollars
Ce qui s'est passé
Aggr, initialement présentée comme un agrégateur de données de trading, est une extension Chrome qui s'est révélée malveillante. Début juin 2024, un utilisateur de Binance a signalé une perte d'un million de dollars que SlowMist a retracée jusqu'au plugin Aggr. SlowMist a découvert qu'Aggr collectait les cookies des traders — en particulier ceux liés aux échanges de cryptomonnaies — que les attaquants ont utilisés pour accéder aux portails des échanges centralisés (CEX) et prendre le contrôle des comptes des victimes.
Comment les utilisateurs peuvent se protéger
La leçon à retenir : soyez vigilant quant aux logiciels que vous installez, y compris les extensions de navigateur, et renseignez-vous sur les développeurs — privilégiez les développeurs vérifiés et réputés plutôt que les comptes anonymes sans historique, et examinez l'historique de l'application avant de lui faire confiance.
Le rapport de sécurité crypto de MetaMask pour juin 2024 a couvert l'acquisition de Wallet Guard par Consensys, la mise à jour de la politique de confidentialité de MetaMask, ainsi qu'une série de menaces incluant une perte de 11 millions de dollars due à un phishing par signature, une violation du fournisseur d'e-mails de CoinGecko, et une extension Chrome malveillante nommée Aggr ayant dérobé plus d'un million de dollars. Consultez les éditions précédentes du rapport de sécurité crypto MetaMask pour découvrir d'autres menaces, tendances et conseils pour rester en sécurité dans l'écosystème.
