Rapport sur la sécurité crypto : mars 2024

Chaque mois, Luker, directeur de la sécurité chez MetaMask, fait le point sur les dernières attaques crypto et les risques émergents à connaître.

Mars 2024 a été marqué par une effervescence autour d'ETHDenver, où MetaMask a organisé un événement de mise en lumière sur la sécurité et co-organisé un événement State of Security avec Wallet Guard, ainsi que par de nouveaux ajouts à la bêta Snaps — un snap de simulation de transactions DeFi Armor et un snap d'analyse de signatures de Happy Harpie. Du côté des menaces, une attaque contre le service Inferno Drainer a entraîné le vol de 2,5 millions de dollars, les utilisateurs de FTX et BlockFi ont perdu plus de 7 millions de dollars lors d'une campagne de phishing par e-mail orchestrée par Pink Drainer, et une exploitation des contrats MakerDAO de Curio a coûté plus de 16 millions de dollars. Le détail complet est présenté ci-dessous, mais d'abord...

À la une : Kono Yasui, pionnière des STEM, cytologiste et première femme japonaise docteure en sciences

Kono Yasui (1880–1971) était une cytologiste et botaniste japonaise qui, en 1927, devint la première femme japonaise à obtenir un doctorat en sciences. Ses recherches portaient sur la cytologie végétale et la génétique, notamment des études approfondies sur la structure des plantes à l'origine du charbon, et elle œuvra à l'ouverture de l'enseignement scientifique aux femmes. L'attention méticuleuse de Yasui à la structure au niveau microscopique — percevant ce que d'autres négligeaient — reflète le même examen minutieux qu'exige un travail de sécurité rigoureux.

Actualités Snaps : Account Management Snaps, un snap de simulation DeFi Armor et les analyses de signatures de Harpie

La gamme des Security Snaps s'étoffe. MetaMask a ajouté un nouveau snap de simulation de transactions de DeFi Armor, qui signale une transaction et explique pourquoi lorsqu'elle ne satisfait pas à la politique de sécurité personnalisable et soigneusement sélectionnée de DeFi Armor. Également nouveau : un snap d'analyse de signatures issu du projet hackathon ETHDenver de Happy Harpie, qui décode les signatures, vérifie les adresses contenues dans une charge utile de signature auprès de Harpie pour détecter les adresses malveillantes, et lit les signatures de mise en vente de NFT Seaport pour vous avertir lorsqu'une mise en vente est proposée bien en dessous du prix plancher. Par ailleurs, la bêta ouverte des Account Management Snaps reste accessible, avec des snaps de Capsule, Safeheron et Silent Shard.

MetaMask organise un événement de mise en lumière sur la sécurité à ETHDenver

MetaMask a organisé un événement de mise en lumière sur la sécurité à ETHDenver 2024, en compagnie d'amis d'Alterya, Blockaid, Chain Patrol, Forta, Hexagate, Hypernative, Karma3 Labs, Paradigm et Wallet Guard. Les enregistrements vidéo sont désormais accessibles à tous !

MetaMask et Wallet Guard co-organisent l'événement State of Security X de mars 2023

Le dernier événement State of Security X de MetaMask et Wallet Guard a été co-animé par Ian Wallis, Ohm Shah et Michael K. Les sujets abordés comprenaient la pérennisation face aux évolutions futures, les menaces actuelles et futures liées à l'IA, les dernières techniques d'ingénierie sociale et de phishing, les risques liés aux airdrops et au farming, ainsi qu'une couverture spéciale des discussions sur la sécurité à ETHDenver.

La Blockchain Security Series de Blockfence met à l'honneur Taylor Monahan de MetaMask Security

Dans l' épisode 3 de la Blockchain Security Series de Blockfence, Taylor Monahan de MetaMask a rejoint Pablo Sabbatella, responsable de la recherche en sécurité chez Blockfence, pour évoquer pourquoi les développeurs doivent protéger leurs utilisateurs, leur admiration commune pour les hackers white-hat, et une série d'attaques contre d'anciens portefeuilles survenues en avril précédent. Son message principal était double. Premièrement, ne jamais stocker votre Secret Recovery Phrase dans un gestionnaire de mots de passe. Deuxièmement, considérer la sécurité comme une habitude continue plutôt qu'une configuration ponctuelle, en faisant chaque jour une petite chose pour l'améliorer, afin que ces petits pas s'accumulent au fil du temps. Cela peut consister à révoquer des autorisations de tokens que vous n'utilisez plus, à transférer des fonds vers un hardware wallet, ou à activer l'authentification à deux facteurs par application pour un compte.

Inferno Drainer est compromis pour 2,5 millions de dollars

Le 18 mars 2024, Inferno Drainer, un kit de type « drainer-as-a-service » que des escrocs louent pour cibler des victimes de phishing et vider leurs portefeuilles, a été piraté pour 2,5 millions de dollars. Le chercheur en sécurité ZachXBT a partagé un message divulgué provenant d'un groupe de discussion de clients d'Inferno Drainer, révélant que l'attaquant avait mis à jour l'adresse de paiement de chaque client en la remplaçant par la sienne. Étant donné que les clients d'Inferno Drainer sont eux-mêmes des escrocs, cela signifiait que les propres utilisateurs du drainer s'étaient fait arnaquer : tout portefeuille qu'ils avaient réussi à phisher ce jour-là a envoyé les fonds volés à l'attaquant plutôt qu'à eux.

Bien que l'attaque se soit produite en dehors des réseaux blockchain, au sein même de l'opération d'Inferno Drainer plutôt qu'on-chain, les 2,5 millions de dollars avaient tout de même été volés à des victimes de phishing en premier lieu, et les victimes d'arnaques sont fréquemment à nouveau ciblées après une première perte. C'est un rappel d'être vigilant avec les liens partagés sur les réseaux sociaux, car même des comptes de confiance peuvent être piratés ; conservez des fonds importants dans un hardware wallet ; ne gardez que des actifs minimaux dans vos portefeuilles du quotidien ; et utilisez des comptes différents selon les niveaux de risque.

Les utilisateurs de FTX et BlockFi perdent plus de 7 millions de dollars dans une campagne de phishing par e-mail

Les utilisateurs de FTX et BlockFi ont perdu plus de 7 millions de dollars sur le mainnet Ethereum lors d'une campagne de phishing durant la semaine du 18 mars 2024. L'attaque comportait deux volets. Hors blockchain, le phishing lui-même reposait sur des e-mails envoyés à une liste d'adresses de destinataires prétendument volée lors de la compromission de MailerLite, une violation de la plateforme de marketing par e-mail utilisée par plusieurs entreprises crypto, qui a fourni aux attaquants des listes toutes prêtes d'utilisateurs à cibler. Sur la blockchain, le vol proprement dit s'est produit dès qu'une victime a signé une signature malveillante ou interagi avec un contrat malveillant, moment auquel l'acteur malveillant a utilisé le drainer-as-a-service (DaaS) Pink Drainer pour transférer les fonds hors de leur portefeuille. Les utilisateurs doivent se méfier de tout e-mail leur demandant de connecter un portefeuille ou de signer une transaction, et toujours vérifier la légitimité via les canaux officiels.

Le contrat MakerDAO de Curio est exploité pour 16 millions de dollars

Durant le week-end du 23 mars 2024, l' écosystème Curio a signalé que ses smart contracts basés sur MakerDAO sur Ethereum avaient été exploités, entraînant une perte totale de plus de 16 millions de dollars ; les contrats sur Polkadot et la Curio Chain elle-même sont restés sécurisés. Curio a ensuite publié une feuille de route de stratégie de récupération indiquant que 100 % des fonds seraient restitués aux utilisateurs. Tous les détenteurs du token de gouvernance de Curio ont été affectés, et comme l'attaque exploitait une vulnérabilité dans les propres contrats de Curio, les utilisateurs individuels n'auraient pas pu faire grand-chose. Pour les développeurs de protocoles, la leçon est d'auditer les smart contracts de manière approfondie et continue à chaque nouvelle version, et de mettre en place un programme de bug bounty afin que les chercheurs puissent identifier les vulnérabilités avant que les attaquants ne le fassent.

Le rapport de sécurité crypto de MetaMask pour mars 2024 a couvert les événements de sécurité d'ETHDenver de MetaMask et les nouveaux ajouts Snaps, la compromission à 2,5 millions de dollars du service Inferno Drainer, et une campagne de phishing par e-mail via Pink Drainer ayant coûté plus de 7 millions de dollars aux utilisateurs de FTX et BlockFi. Consultez les éditions précédentes du MetaMask Crypto Security Report pour découvrir d'autres menaces, tendances et conseils pour rester en sécurité dans l'écosystème.