Chaque mois, Luker, directeur de la sécurité chez MetaMask, fait le point sur les dernières attaques crypto et les risques émergents à connaître.
En octobre 2023, MetaMask et Blockaid ont déployé des alertes de sécurité respectueuses de la vie privée qui signalent les transactions malveillantes avant que les utilisateurs ne les signent, tandis que le plugin webpack LavaMoat est entré en bêta ouverte. Du côté des menaces, la Fantom Foundation a perdu 550 000 dollars sur un hack plus large de 7 millions de dollars dû à des clés privées compromises, des acteurs malveillants ont commencé à dissimuler des malwares de type info-stealer sur BNB Chain dans une technique baptisée EtherHiding, et Galxe a indemnisé ses utilisateurs à hauteur de 110 % après qu'une attaque de détournement DNS a vidé plus de 400 000 dollars. Le bilan complet est ci-dessous, mais d'abord...
Pionnier des STEM à l'honneur : Luigi Galvani, pionnier de la bioélectricité
Luigi Galvani (1737–1798) était un médecin et physicien italien qui découvrit ce qu'il appelait l'« électricité animale », démontrant qu'une étincelle pouvait faire tressaillir la patte d'une grenouille morte, et posant ainsi les bases de l'étude de la bioélectricité. Ses expériences ont notamment contribué à inspirer le Frankenstein de Mary Shelley, un clin d'œil particulièrement approprié pour cette édition Halloween, et un rappel durable que des capacités puissantes exigent un contrôle rigoureux.
MetaMask et Blockaid déploient des alertes de sécurité respectueuses de la vie privée
MetaMask, en collaboration avec le fournisseur de cryptosécurité Blockaid, a lancé de nouvelles alertes de sécurité respectueuses de la vie privée qui aident à bloquer les transactions malveillantes avant qu'elles ne se produisent, protégeant ainsi les utilisateurs contre les arnaques, le phishing et les hacks. Les deux entreprises ont développé un module respectueux de la vie privée qui simule les transactions sans obliger les utilisateurs à partager leurs données avec des tiers. Sur la base des tendances passées, une fois les alertes disponibles pour tous les utilisateurs de MetaMask, elles visent à empêcher le vol de milliards de dollars d'actifs.
Le plugin webpack LavaMoat entre en bêta ouverte
LavaMoat a publié une version préliminaire de son plugin webpack (npm i @lavamoat/webpack), capable d'encapsuler du code dans des compartiments et de respecter une politique de base — prête à être testée par les développeurs pour vérifier la compatibilité avec leurs projets. L'équipe encourage les développeurs à l'essayer et à signaler toute incompatibilité ; la bêta ouverte est la seule période pendant laquelle un support direct gratuit est disponible pour une intégration LavaMoat. Les retours et le support sont disponibles dans le fil de discussion LavaMoat. Une nouvelle série de versions majeures pour tous les packages LavaMoat a également été publiée, avec un changement majeur : Node.js v14 n'est plus pris en charge.
Un guide pour communiquer efficacement avec les victimes d'arnaques au pig butchering, alias sha zhu pan
MetaMask et CryptoForensic ont partagé un guide destiné aux enquêteurs, aux exchanges et aux développeurs de produits crypto pour soutenir les victimes d'arnaques au pig butchering. Les contributeurs incluent les équipes Sécurité et Trust & Safety de MetaMask, ainsi que des enquêteurs de CryptoForensic. Les arnaques au pig butchering, ou sha zhu pan, sont en hausse : les acteurs malveillants construisent une relation en ligne — souvent romantique, parfois amicale — sur de longs mois, si bien que la victime ne réalise souvent pas que la personne en qui elle avait confiance l'a escroquée. Le guide couvre les éléments indiquant qu'un utilisateur a été touché, les questions à poser et la manière de l'accompagner pour limiter les pertes supplémentaires.
Mise à jour LavaMoat : nouvelles versions majeures, tournée de conférences et tests de lockdown mobile
Au-delà de la bêta du plugin webpack et du changement concernant Node.js v14, LavaMoat a continué d'améliorer ses définitions de types et a présenté ses travaux lors de plusieurs événements : le plugin webpack a été annoncé lors de React Advanced online, et l'équipe était présente au The Hack Summit à Varsovie. Sur mobile, MetaMask a renforcé son build en adoptant macOS 13.5.2+ et en mettant à niveau MetaMask Mobile vers Xcode 15 et React Native 0.71.14 (désormais mergé), appliquant un correctif de sécurité upstream dans le cadre de la mise à jour ; le lockdown est en cours de tests finaux sur iOS (JSC), suivi d'Android (Hermes).
La Fantom Foundation perd 550 000 dollars sur un hack de 7 millions dû à des clés privées compromises
Le 17 octobre 2023, un sous-ensemble de portefeuilles de la Fantom Foundation a été vidé via des clés privées compromises. Fantom a d'abord affirmé dans son canal Telegram que la perte résultait d'un exploit zero-day sur Chrome, sans fournir de preuves à l'appui ; l'analyse onchain des transactions pointe plutôt, avec une confiance modérée, vers des clés privées compromises, puisque plusieurs portefeuilles ont été vidés à la même date et à la même heure — rendant peu probable une attaque de phishing simultanée sur chaque détenteur de clé. Fantom a ensuite révélé que seuls 550 000 dollars des 7 millions de dollars volés appartenaient à la Fantom Foundation, sans détailler comment l'attaque s'est produite. Comme rapporté par CryptoSlate, les fonds des utilisateurs n'ont pas été affectés car seuls les portefeuilles des employés ont été touchés.
À la suite de cette attaque, Taylor Monahan de MetaMask Security a rappelé les conseils de sécurité essentiels pour protéger votre portefeuille :
Pratiquez une bonne sécurité opérationnelle : utilisez l'authentification multi-facteurs et des hardware wallets, et évitez les téléchargements aléatoires.
Répartissez vos actifs sur plusieurs portefeuilles et faites tourner les clés anciennes ou réutilisées.
Ne signez jamais de transactions de grande valeur sur le même appareil utilisé pour la navigation courante.
EtherHiding : des acteurs malveillants stockent des malwares info-stealer sur BNB Chain
Les acteurs malveillants à l'origine de campagnes info-stealer ont commencé à stocker leurs charges malveillantes sur BNB Chain, une technique que Guardio Labs a baptisée EtherHiding. Les malwares de vol d'informations sont conçus pour dérober discrètement des informations bancaires, des identifiants de connexion et des données de carte de crédit. Les attaquants se tournent des hébergements web2 traditionnels vers les technologies web3 pour stocker du contenu malveillant, car les anciennes méthodes sont régulièrement supprimées par les services d'hébergement — ils ont également exploité IPFS à la même fin. Bien que la campagne ne cible pas spécifiquement les utilisateurs crypto, les défenses standard s'appliquent : maintenez votre navigateur et votre ordinateur à jour, utilisez des bloqueurs de publicités et évitez de télécharger quoi que ce soit de la part de personnes ou d'organisations en lesquelles vous n'avez pas confiance.
Galxe indemnise ses utilisateurs à 110 % après qu'une attaque de détournement DNS a coûté plus de 400 000 dollars
Galxe a indemnisé les utilisateurs ayant perdu des fonds suite à une attaque de détournement DNS. Le registrar de domaine de Galxe, Dynadot, a accordé l'accès au domaine à un attaquant se faisant passer pour des membres de l'équipe officielle de Galxe, qui a ensuite transformé le front end de Galxe en site de phishing ayant touché 1 120 utilisateurs. MetaMask a réagi rapidement en marquant temporairement Galxe comme site de phishing. Les utilisateurs concernés ont été indemnisés à hauteur de 110 % de leurs fonds perdus le 20 octobre 2023, et ceux qui n'ont pas encore été indemnisés peuvent contacter le support Galxe. Cet épisode rappelle l'importance de rester vigilant même avec des applications de confiance — en gardant les alertes d'annonces de protocole activées, les portefeuilles à jour et les fonctionnalités de sécurité MetaMask (PPOM/Blockaid) activées. Les développeurs souhaitant atténuer les risques de détournement DNS peuvent consulter la proposition d'atténuation du détournement DNS de MetaMask et partager leurs retours ici.
À noter dans votre agenda : MetaMask x Wallet Guard State of Security Space
Le prochain State of Security X Space co-organisé par MetaMask et Wallet Guard est prévu le 29 novembre 2023 à 12h PST, et couvrira les dernières menaces, les bonnes pratiques de sécurité et les nouveautés.
Le rapport de sécurité crypto d'octobre 2023 de MetaMask a couvert le déploiement des alertes de sécurité respectueuses de la vie privée de MetaMask et Blockaid, le hack de 7 millions de dollars de la Fantom Foundation attribué à des clés privées compromises, et l'indemnisation à 110 % des utilisateurs de Galxe après une attaque de détournement DNS. Consultez les éditions précédentes du rapport de sécurité crypto MetaMask pour découvrir d'autres menaces, tendances et conseils pour rester en sécurité dans l'écosystème.
