Chaque mois, Luker, directeur de la sécurité chez MetaMask, fait le point sur les dernières attaques crypto et les risques émergents à connaître.
En septembre 2022, le projet Endo a réalisé une refonte majeure du shim SES, surnommée en interne « quadruple backflip », tandis que LavaMoat a livré une mise à jour de sa documentation et de nouveaux modes d'utilisation de LavaMoat-node. Par ailleurs, une étude de Consensys a cherché à comprendre pourquoi les utilisateurs perdent des fonds à cause du phishing. Dans le même temps, une campagne d'usurpation d'identité de CircleCI a permis de collecter des identifiants GitHub et de relayer des codes TOTP en temps réel pour contourner l'authentification à deux facteurs. L'algorithme de Twitter a également mis en avant un compte vérifié frauduleux alors que le hashtag #EthereumMerge était en tendance — une campagne impliquant 36 comptes vérifiés compromis pour usurper l'identité de Vitalik Buterin et de l'Ethereum Foundation. Le détail complet est ci-dessous, mais d'abord...
À la une : Kevin Mitnick, pionnier de l'ingénierie sociale et consultant en sécurité
Kevin Mitnick (1963–2023) a démontré que le vecteur d'attaque le plus efficace n'est pas le code, mais la psychologie humaine. Autrefois l'un des individus les plus recherchés par le FBI pour avoir pénétré les systèmes de dizaines de grandes entreprises, Mitnick est devenu par la suite un consultant en sécurité de confiance pour des entreprises du Fortune 500 et des gouvernements, occupant le poste de Chief Hacking Officer chez KnowBe4, une société spécialisée dans la formation à la sensibilisation à la sécurité. Ses travaux, qui ont fait de l'ingénierie sociale une discipline à part entière, ont directement influencé la manière dont le secteur se défend contre les campagnes de phishing abordées dans ce rapport.
Une étude de Consensys analyse pourquoi les détenteurs de portefeuilles crypto perdent des fonds à cause du phishing
Consensys a publié une étude analysant comment et pourquoi les utilisateurs perdent des fonds à cause du phishing. Cette recherche a examiné 70 tickets d'assistance client et mené des entretiens avec 7 utilisateurs ayant perdu des fonds, en suivant un guide de questions standardisé portant sur leur compréhension et leur expérience des Phrases de Récupération Secrète et du phishing. Constat clé : les utilisateurs appliquent les signaux de confiance du web2 — badges vérifiés, nombre d'abonnés, photos de profil — pour évaluer les entités web3, mais ces signaux ne reflètent pas la fiabilité réelle dans un environnement de portefeuille auto-custodial où les transactions sont irréversibles.
Une campagne de phishing ciblant CircleCI vise les utilisateurs GitHub et contourne l'authentification à deux facteurs
Le 16 septembre 2022, GitHub Security a identifié une campagne de phishing usurpant l'identité de CircleCI pour collecter des identifiants utilisateurs et des codes à deux facteurs. Les e-mails de phishing affirmaient que les sessions CircleCI des utilisateurs avaient expiré ou qu'ils devaient accepter des conditions d'utilisation mises à jour, les redirigeant vers des domaines imitateurs, notamment circle-ci[.]com et emails-circleci[.]com. Le site de phishing relayait les codes TOTP à l'attaquant et à GitHub en temps réel, contournant ainsi l'authentification à deux facteurs basée sur le temps. Bien que GitHub lui-même n'ait pas été compromis, la campagne a touché plusieurs organisations victimes. Cet incident souligne que la 2FA basée sur les TOTP est vulnérable aux attaques de relais en temps réel — les clés de sécurité matérielles (FIDO2/WebAuthn) restent la meilleure protection.
Le 14 septembre 2022, alors que le hashtag #EthereumMerge était en tendance sur Twitter à l'approche de la transition du 15 septembre 2022, l'algorithme de la plateforme a mis en avant un compte frauduleux sponsorisé aux côtés de contenus légitimes sur le Merge. La campagne plus large impliquait au moins 36 comptes Twitter vérifiés compromis utilisés pour usurper l'identité de Vitalik Buterin et de l'Ethereum Foundation, faisant la promotion de faux programmes de « distribution de 50 000 ETH » qui dirigeaient les victimes vers des sites de phishing demandant des dépôts d'ETH avec la promesse de doubler les retours.
La refonte du shim SES d'Endo sépare la gestion de la portée avec le « quadruple backflip »
Le projet Endo a soumis une refonte majeure de l'évaluateur du shim SES en une pile de portées multicouches, désignée en interne sous le nom de « quadruple backflip ». Ce changement résout un problème par lequel le proxy de portée pouvait fuir, et sépare les différentes responsabilités de la gestion de la portée globale en couches distinctes. Avantage secondaire : LavaMoat pourra utiliser le shim SES non modifié une fois la refonte intégrée, éliminant ainsi le besoin de correctifs spécifiques à LavaMoat pour le shim.
LavaMoat livre une mise à jour de sa documentation et de nouveaux modes d'utilisation de lavamoat-node
Le projet LavaMoat de MetaMask a livré une mise à jour de la documentation de ses outils. Les nouvelles fonctionnalités de lavamoat-node incluent un assistant pratique pour exécuter des commandes depuis node_modules/.bin ainsi qu'une API d'utilisation programmatique, facilitant l'intégration des protections de la chaîne d'approvisionnement de LavaMoat dans les pipelines de build existants.
Le rapport de sécurité crypto de MetaMask pour septembre 2022 a couvert une campagne d'usurpation d'identité de CircleCI ayant contourné l'authentification à deux facteurs de GitHub via un relais TOTP en temps réel, ainsi que la mise en avant par l'algorithme de Twitter de comptes frauduleux vérifiés lors de l'événement tendance Ethereum Merge. Consultez les éditions précédentes du rapport de sécurité crypto MetaMask pour découvrir d'autres menaces, tendances et conseils pour rester en sécurité dans l'écosystème.
