Chaque mois, Luker, directeur de la sécurité chez MetaMask, fait le point sur les dernières attaques crypto et les risques émergents à connaître.
Novembre 2023 a été marqué par une série d'incidents de grande envergure, en ligne comme en personne. Tether a gelé 225 millions d'USDT liés à un réseau de traite d'êtres humains impliqué dans des arnaques mondiales de type « pig butchering », tandis que le Poloniex de Justin Sun a perdu plus de 130 millions de dollars suite à une probable compromission de clé privée. Au Monténégro, des dirigeants du secteur crypto ont été enlevés et contraints de vider des portefeuilles contenant environ 12,5 millions de dollars. Taylor Monahan, de l'équipe sécurité de MetaMask, a également collaboré avec ZachXBT pour analyser les pertes crypto liées à la violation de LastPass. L'outil LavaMoat de MetaMask a reçu une mise à jour qui ajoute automatiquement le verrouillage SES à son plugin webpack. L'analyse complète est ci-dessous, mais d'abord...
À la une : Satyendra Nath Bose, physicien à l'origine de la statistique de Bose-Einstein
Satyendra Nath Bose (1894–1974) était un physicien indien dont les travaux de 1924 ont posé les bases de la statistique de Bose-Einstein et, avec Albert Einstein, de la théorie du condensat de Bose-Einstein. La classe de particules connue sous le nom de bosons porte son nom. Sa contribution illustre comment une théorie fondamentale, rigoureusement élaborée, peut discrètement sous-tendre des technologies et des idées bien au-delà de son contexte d'origine.
MetaMask poursuit ses efforts contre le détournement DNS grâce à une initiative de liste d'autorisation et lance un appel aux développeurs
Au cours des trois dernières années, plus de 125 millions de dollars ont été dérobés via des attaques de détournement DNS et d'injection de contenu malveillant. Pour contrer ces menaces de manière réactive et proactive, MetaMask adopte une solution de liste d'autorisation des données d'appel blockchain via Yearn. Les développeurs peuvent consulter la proposition et le formulaire de retour et partager leurs commentaires.
Activer les alertes de sécurité MetaMask et les Snaps supplémentaires pour renforcer la protection du portefeuille
MetaMask a rappelé aux utilisateurs d'activer ses alertes de sécurité propulsées par Blockaid en accédant à Paramètres > Expérimental et en activant la fonctionnalité de validation des transactions avant confirmation. Comme MetaMask l'a souligné, les Transaction Insights Snaps complètent les alertes Blockaid pour ajouter une couche de protection supplémentaire au portefeuille.
(Note de la rédaction : les alertes de sécurité propulsées par Blockaid sont désormais intégrées nativement dans MetaMask.)
Les experts en sécurité poursuivent l'enquête sur les pertes crypto liées à l'attaque LastPass
Taylor Monahan, de l'équipe sécurité de MetaMask, s'est associée à ZachXBT pour enquêter sur les pertes crypto liées à la violation de LastPass. Selon leurs recherches, les acteurs malveillants seraient en train de déchiffrer les coffres-forts de mots de passe volés pour accéder aux phrases de récupération, identifiants et clés privées qui y sont stockés — dans la continuité du schéma que Monahan suit depuis la première occurrence de la violation.
Ian Wallis présente « Security Considerations in Web3 » à ZuConnect
Ian Wallis de MetaMask est intervenu lors de l'événement ZuConnect de Zuzalu à Istanbul, en présentant un diaporama intitulé « Security Considerations in Web3 » sur les compromis en matière de sécurité liés à la création et à l'utilisation d'applications web3.
Mise à jour LavaMoat : verrouillage SES automatique dans le plugin webpack et tournée de conférences
LavaMoat a publié une mise à jour de @lavamoat/webpack avec une amélioration pratique : l'outil ajoute désormais automatiquement le verrouillage SES au dist généré et propose un helper opt-in qui s'intègre avec html-webpack-plugin pour l'intégrer dans le template HTML par défaut. Les retours et le support sont disponibles dans le fil de discussion LavaMoat. L'équipe a également poursuivi sa tournée avec un atelier en présentiel sur le codage défensif et une introduction à LavaMoat lors de NodeConfEU, et l'enregistrement de React Advanced est désormais disponible publiquement.
Tether gèle 225 millions d'USDT liés à un réseau de pig butchering
OKX, Tether, Chainalysis, ZachXBT et le Département de Justice américain ont collaboré pour geler 225 millions d'USDT liés à un réseau de traite d'êtres humains responsable d'arnaques mondiales de type pig butchering — le plus grand gel de tokens jamais réalisé par Tether à ce jour, avec des plans pour travailler avec les utilisateurs légitimes afin de dégeler leurs portefeuilles. Pour éviter les arnaques de type pig butchering et les arnaques sentimentales : considérez comme suspectes les offres qui semblent trop belles pour être vraies, méfiez-vous des contacts non sollicités d'inconnus vous demandant d'échanger ou d'envoyer de l'argent (y compris les relations en ligne avec des personnes jamais rencontrées en personne), et n'hésitez pas à contacter le Support MetaMask si quelque chose vous semble anormal. La FTC propose également des conseils pour reconnaître les arnaques sentimentales.
Poloniex perd plus de 130 millions de dollars et offre une prime de 10 millions de dollars
L'exchange centralisé Poloniex, appartenant à Justin Sun, a subi une probable compromission de clé privée début novembre 2023, perdant plus de 130 millions de dollars — l'un des piratages les plus importants de l'année. L'équipe de Poloniex a annoncé avoir identifié l'attaquant et a offert une prime de 10 millions de dollars si les fonds sont restitués, sous peine d'intervention des forces de l'ordre. Poloniex a également annoncé que les fonds seraient restitués aux utilisateurs concernés. Comme cette attaque le souligne, lorsque vos actifs sont déposés sur un exchange centralisé, vous ne contrôlez pas vos propres clés privées — c'est la plateforme qui le fait, ce qui signifie que sa compromission peut devenir votre perte. C'est pourquoi le stockage auto-custodial sécurisé est essentiel lorsque vous gérez vos propres fonds : avec un portefeuille auto-custodial, vous seul détenez les clés, et aucune violation d'exchange ne peut les divulguer. En pratique, cela signifie retirer des exchanges les tokens dont vous n'avez pas besoin activement, conserver les avoirs importants ou à risque élevé sur un cold wallet et les montants plus modestes du quotidien sur un portefeuille logiciel comme MetaMask, et garder à l'esprit l'adage que cet incident ne cesse de confirmer — « not your keys, not your coins. »
Des dirigeants crypto enlevés au Monténégro et contraints de vider ~12,5 millions de dollars en portefeuilles
Le 11 novembre 2023, CZ de Binance a signalé que des dirigeants d'un client avaient été attirés dans un « voyage d'affaires » au Monténégro, où ils ont été enlevés et contraints de vider leurs portefeuilles, perdant environ 12,5 millions de dollars. Binance a retracé les fonds volés on-chain et a travaillé avec des partenaires pour geler le portefeuille dans lequel ils avaient été transférés.
Quelques bonnes habitudes permettent de réduire votre exposition aux risques. Gardez vos avoirs crypto confidentiels, en ne les partageant qu'avec les personnes qui ont strictement besoin de le savoir, car la visibilité augmente votre profil de menace. Diversifiez vos modes de stockage en fonction de vos usages — associez le portefeuille auto-custodial de MetaMask à un hardware wallet compatible pour les activités courantes, et envisagez des portefeuilles multisig ou papier non liés à votre identité pour les réserves plus importantes. Maintenez une distance géographique et une bonne sécurité opérationnelle entre les détenteurs de clés multisig, et évitez d'emporter sur vos appareils de voyage l'accès à plus de fonds que nécessaire.
Le rapport de sécurité crypto de MetaMask pour novembre 2023 a couvert le gel par Tether de 225 millions d'USDT liés à un réseau de pig butchering, le piratage de Poloniex dépassant 130 millions de dollars et sa prime de 10 millions de dollars, ainsi que l'enlèvement de dirigeants au Monténégro contraints de vider environ 12,5 millions de dollars en portefeuilles. Consultez les éditions précédentes du rapport de sécurité crypto MetaMask pour découvrir d'autres menaces, tendances et conseils pour rester en sécurité dans l'écosystème.
