Rapport sur la sécurité crypto : mai 2024

Chaque mois, Luker, directeur de la sécurité chez MetaMask, fait le point sur les dernières attaques crypto et les risques émergents à connaître.

En mai 2024, MetaMask a lancé les Smart Transactions, offrant un taux de réussite des transactions de 99,9 %, une protection contre le MEV, une pré-simulation et de meilleures options de frais de réseau. Nous avons également partagé un nouveau guide utilisateur pour protéger votre Secret Recovery Phrase, ainsi qu'une discussion sur la sécurité des Snaps avec HAPI. Ce mois a également marqué la fermeture de Pink Drainer, qui avait vidé des dizaines de millions de dollars au détriment d'environ 20 000 victimes. Par ailleurs, la campagne « Contagious Interview » du groupe Lazarus a ciblé des développeurs blockchain avec de fausses offres d'emploi. Et les attaques par empoisonnement d'adresses ont continué d'augmenter, une victime ayant perdu 68 millions de dollars. Le bilan complet est ci-dessous, mais d'abord...

À la une : Jerry Lawson, pionnier des STIM et père de la cartouche de jeu vidéo

Gerald « Jerry » Lawson (1940–2011) était un ingénieur électronicien américain qui a dirigé l'équipe à l'origine de la Fairchild Channel F, la première console de jeux vidéo domestique à utiliser des cartouches ROM interchangeables, ce qui lui a valu le titre de « père de la cartouche de jeu vidéo ». L'un des très rares ingénieurs noirs de la Silicon Valley à ses débuts, Lawson a conçu un système modulaire permettant aux utilisateurs d'ajouter de nouvelles fonctionnalités en toute sécurité, une philosophie de conception qui trouve un écho dans la façon dont les logiciels modernes sont étendus et isolés aujourd'hui.

Présentation des Smart Transactions pour un meilleur taux de réussite et une protection contre le MEV

Les inefficacités des transactions ne sont pas strictement une question de sécurité : elles peuvent aussi coûter de l'argent aux utilisateurs. Ce mois-ci, MetaMask a dévoilé les Smart Transactions, capables d'offrir un taux de réussite des transactions de 99,9 %, une protection contre la valeur extractible maximale (MEV), une simulation pré-transaction et de meilleures options de frais de réseau. Comme l'a expliqué Gal Eldar, directeur exécutif produit, les wallets sont « idéalement positionnés, et à bien des égards responsables de s'attaquer directement à ces points de friction pour les utilisateurs ». Les Smart Transactions reflètent l'engagement de MetaMask à rendre la soumission de transactions plus sûre, plus simple, plus efficace et plus fiable, pour tous.

Guide utilisateur sur la Secret Recovery Phrase, le mot de passe et les clés privées

Dans le cadre de sa démarche continue d'éducation des utilisateurs, MetaMask a publié un article d'assistance sur la Secret Recovery Phrase, le mot de passe et les clés privées, destiné à aider les nouveaux venus à éviter les erreurs courantes et coûteuses. C'est une bonne ressource à partager avec toute personne qui débute dans la crypto, ainsi que le reste des contenus disponibles sur support.metamask.io.

MetaMask Snaps, sécurité et diligence raisonnable

Les MetaMask Snaps sont des extensions tierces personnalisables et vérifiées qui étendent les fonctionnalités du wallet. Notre propre Christian Montoya a co-animé un X Space avec HAPI sur la façon dont les Snaps favorisent l'innovation pour renforcer la sécurité des utilisateurs. Comme il l'a expliqué, la sécurité est multidimensionnelle, avec de nombreuses étapes dans le parcours web3 d'un utilisateur où différentes protections sont nécessaires : un hardware wallet est précieux, mais « vous pouvez quand même vous faire vider un hardware wallet si vous interagissez avec une application décentralisée malveillante. C'est pourquoi MetaMask s'attache à intégrer des fournisseurs de sécurité dans de nombreux domaines. » Le déploiement des Snaps axés sur la sécurité se poursuit.

Retour sur le « hack mystérieux » à 10 millions de dollars qui a secoué la crypto

Taylor Monahan de MetaMask enquête sur un hack mystérieux qui a pris le contrôle de wallets crypto et vidé environ 10 millions de dollars en ether appartenant à des utilisateurs de longue date. S'exprimant auprès de The Defiant, elle a partagé des détails sur le moment où le hack a commencé et les derniers développements de cette affaire, précisant que si son opinion sur la cause profonde a évolué au fil de l'enquête, les faits n'ont pas changé : l'incident est une nouvelle attaque liée à la tristement célèbre faille LastPass, sur laquelle nous avons reporté dans les mois précédents. Le hacker serait membre d'un groupe organisé et aurait compromis les seed phrases d'au moins 300 victimes, toutes probablement stockées via LastPass. Rappel : votre Secret Recovery Phrase doit être conservée hors ligne, dans un endroit sûr auquel vous seul avez accès. Elle a également partagé l'article connexe de Krebs on Security de septembre 2023.

Pink Drainer ferme ses portes après avoir siphonné plus de 75 millions de dollars

Pink Drainer, un notorious crypto wallet drainer, a annoncé sa fermeture après avoir amassé plus de 75 millions de dollars en exploitant environ 20 000 victimes via du phishing sophistiqué, déclarant : « Nous avons atteint notre objectif et maintenant, comme prévu, il est temps pour nous de prendre notre retraite. » (Scam Sniffer, citant ZachXBT, a estimé le butin à plus de 75 millions de dollars provenant d'environ 20 000 victimes en une seule année.) Comme Pink Drainer l'a lui-même reconnu, sa retraite ne devrait pas avoir d'impact majeur, car « les gens passeront à d'autres drainers aussi vite qu'ils sont venus à nous ». Les escrocs auraient-ils soudainement une conscience ? Ou y a-t-il autre chose derrière tout ça ? Notre instinct penche plutôt pour la seconde option… Et, de nombreux autres drainers étant toujours actifs, le conseil habituel reste valable : conservez vos fonds importants dans un hardware wallet, ne gardez que peu d'actifs dans vos wallets du quotidien, et utilisez des comptes différents selon les niveaux de risque.

La campagne « Contagious Interview » du groupe Lazarus cible les développeurs blockchain

Ce qui s'est passé

Le groupe Lazarus, une menace persistante avancée (APT) active depuis 2007 et tristement célèbre pour l'attaque de Sony Pictures en 2014, cible de plus en plus les institutions financières et les plateformes de monnaies virtuelles. Des chercheurs en sécurité ont mis au jour une série d'attaques utilisant des fichiers ZIP contenant du JavaScript malveillant, ciblant des développeurs blockchain via des offres d'emploi sur des plateformes comme LinkedIn, Upwork et Braintrust. Conformément à la campagne « Contagious Interview » de Lazarus, ces attaques poussent les candidats à exécuter du code malveillant qui vole des informations liées à la crypto et implante des malwares.

Comment les utilisateurs peuvent se protéger

Pour se protéger contre les attaques de phishing et de malware comme celles menées par des groupes tels que Lazarus, il est essentiel de vérifier la légitimité des offres d'emploi inattendues par des recherches indépendantes et de maintenir une bonne hygiène numérique. Cela inclut l'utilisation d'un antivirus et d'un anti-malware à jour, l'activation de l'authentification multi-facteurs (MFA) pour une couche de sécurité supplémentaire, et la prudence face aux pièces jointes et aux liens provenant de sources inconnues. De plus, maintenir tous les logiciels à jour est essentiel pour se prémunir contre les vulnérabilités exploitables. En adoptant ces pratiques, les individus peuvent considérablement renforcer leurs défenses contre les cybermenaces sophistiquées et protéger leurs informations sensibles.

Les attaques par empoisonnement d'adresses en hausse, une victime perd 68 millions de dollars

Ce qui s'est passé

L'empoisonnement d'adresses est une tactique trompeuse par laquelle des attaquants manipulent l'historique des transactions d'une victime pour l'amener à envoyer des fonds à la mauvaise adresse — et une victime récente a ainsi perdu 68 millions de dollars. Cette arnaque consiste à créer de faux tokens, à utiliser des adresses « vanity » ressemblant étroitement à celles de la cible, et à exploiter la fonction « transferFrom() » du standard de token ERC-20. Les attaquants utilisent ces stratégies pour effectuer des transferts de tokens à valeur nulle et des transferts de tokens falsifiés, donnant à leurs adresses frauduleuses une apparence légitime. Ces attaques sont conçues pour amener les utilisateurs à copier la mauvaise adresse lors de leurs transactions, entraînant des pertes financières. La sophistication de ces méthodes illustre l'évolution constante des cybermenaces dans l'espace blockchain.

Comment les utilisateurs peuvent se protéger

Pour se protéger contre l'empoisonnement d'adresses, les utilisateurs doivent éviter de copier des adresses directement depuis leur historique de transactions et les copier plutôt depuis une source de confiance. L'utilisation de noms de domaine pour les adresses peut améliorer leur distinguabilité, bien que les utilisateurs doivent rester vigilants face au spoofing de noms de domaine. Utiliser la fonctionnalité de carnet d'adresses proposée par les services de wallet, ou ajouter un tag de nom privé sur des plateformes comme Etherscan pour mettre en liste blanche les adresses de confiance, peut aider les utilisateurs à identifier et éviter facilement les adresses falsifiées.

Le rapport de sécurité crypto de MetaMask pour mai 2024 a couvert le lancement des MetaMask Smart Transactions, la fermeture de Pink Drainer après avoir siphonné des dizaines de millions de dollars au détriment d'environ 20 000 victimes, et une hausse des attaques par empoisonnement d'adresses ayant coûté 68 millions de dollars à une victime. Consultez les éditions précédentes du MetaMask Crypto Security Report pour découvrir d'autres menaces, tendances et conseils pour rester en sécurité dans l'écosystème.