Avril 2025 a été un mois de révélations. Un chercheur en sécurité respecté s'est avéré être un agent nord-coréen (RPDC) à l'origine du piratage de 50 millions de dollars de Radiant Capital. Le groupe Lazarus a blanchi 1,2 milliard de dollars du vol de Bybit via THORChain, tandis que ses opérateurs haussaient les épaules en invoquant la décentralisation. Le rapport IC3 du FBI a établi les pertes liées à la fraude crypto aux États-Unis à 9,3 milliards de dollars pour 2024 — en hausse de 66 % par rapport à l'année précédente — et Forta a constaté que près de 90 % des tokens sur Uniswap V2 sur Base étaient des hard rug pulls. Entre-temps, deux nouveaux acteurs malveillants ont fait leur apparition : SLOVENLY COMET, qui intercepte les codes MFA via une infrastructure SMS compromise, et ELUSIVE COMET, qui utilise de fausses invitations Zoom Bloomberg pour compromettre des portefeuilles crypto. Tout n'est pas si sombre, cependant. Nous sommes fiers d'annoncer que MetaMask a occupé la première place du classement de sécurité des portefeuilles établi par Coinspect en 2024, ce qui témoigne de notre engagement de longue date envers la sécurité des utilisateurs. Plongez dans les détails ci-dessous, mais d'abord...
À la une : Svante Arrhenius, pionnier des STIM et premier à établir le lien entre les niveaux de CO₂ et le réchauffement climatique
Svante Arrhenius a été le premier à établir un lien entre la hausse des niveaux de CO₂ et le réchauffement de la Terre grâce à la chimie physique.
MetaMask conserve la première place du classement des portefeuilles les plus sécurisés selon Coinspect
Nous l'avons fait à nouveau ! MetaMask Extension est le portefeuille de navigateur self-custodial le plus sécurisé, selon Coinspect. Le Score de Sécurité, allant de 0 à 100, repose sur quatre listes de contrôle de sécurité des portefeuilles, couvrant les autorisations des applications décentralisées, la vérification des intentions, l'accès physique et la prévention des menaces. Merci encore à l'équipe Coinspect pour cette reconnaissance.
Les opérations liées au RPDC restent actives malgré la fête du Jour du Soleil le 15 avril 2025
Bien que l'activité des menaces persistantes avancées (APT) liées à la Corée du Nord ait pu brièvement diminuer le 15 avril en raison de la fête du Jour du Soleil, les opérations liées au RPDC sont restées actives tout au long du mois. Des chercheurs en sécurité qui mènent ce combat, comme Taylor Monahan de MetaMask, continuent de jouer un rôle clé dans la mise en lumière des tactiques du RPDC et la découverte de campagnes malveillantes.
Le chercheur en sécurité Nick Franklin démasqué comme acteur malveillant parrainé par le RPDC derrière le piratage de Radiant Capital
Nick Franklin, autrefois respecté comme expert en sécurité sur Twitter, est présumé avoir secrètement travaillé pour la Corée du Nord. Il aurait joué un rôle dans des opérations avancées de cyberespionnage et des vols de cryptomonnaies, notamment le piratage de 50 millions de dollars de Radiant Capital l'automne dernier.
Pendant plus d'un an, Franklin a gagné la confiance de la communauté crypto en proposant des analyses pertinentes des principales failles de sécurité, avant d'être démasqué pour avoir distribué un fichier d'application malveillant sous couvert d'un rapport de sécurité. L'enquête sur cette découverte, menée avec l'aide de Taylor Monahan, a mis au jour un réseau plus large d'agents du RPDC impliqués dans diverses activités malveillantes, allant de la création de faux protocoles à l'exécution de vols très médiatisés, soulignant une faille humaine majeure dans le dispositif de sécurité de l'industrie crypto.
Le groupe Lazarus blanchit 1,2 milliard de dollars du piratage de Bybit via THORChain
En février 2025, le groupe Lazarus de Corée du Nord a exécuté un piratage de 1,4 milliard de dollars sur la plateforme d'échange crypto Bybit, marquant le plus grand vol de cryptomonnaies à ce jour. Les enquêtes ont révélé qu'environ 1,2 milliard de dollars des fonds volés ont été blanchis via THORChain, un protocole décentralisé cross-chain facilitant les échanges de cryptomonnaies sans intermédiaires. Malgré la pression des autorités, les opérateurs de THORChain n'ont pas bloqué les transactions liées au vol, invoquant la nature décentralisée du réseau.
Taylor Monahan a critiqué la position de THORChain, soulignant que si la plateforme se réclame de la décentralisation, ses développeurs et validateurs — dont beaucoup sont établis dans des juridictions soumises à des réglementations strictes en matière de lutte contre le blanchiment d'argent — ont largement profité des frais de transaction associés aux fonds blanchis. Monahan a mis en évidence les implications éthiques et juridiques de faciliter de telles activités sous couvert de décentralisation.
Des chercheurs en sécurité publient des photos et des informations sur des agents nord-coréens
Le chercheur en sécurité Cookie Connoisseur offre un aperçu des profils et comportements de ces adversaires APT, photos à l'appui. D'autres chercheurs interviennent pour comparer leurs observations.
Rapport IC3 du FBI : les pertes liées à la fraude crypto aux États-Unis atteignent 9,3 milliards de dollars en 2024, en hausse de 66 % par rapport à 2023
Selon le rapport annuel 2024 de l'Internet Crime Complaint Center (IC3) du FBI, les pertes liées à la fraude aux cryptomonnaies aux États-Unis ont atteint plus de 9,3 milliards de dollars, soit une hausse de 66 % par rapport à 2023.
Ces pertes sont issues de divers stratagèmes, notamment des arnaques à l'investissement, de l'extorsion, de la sextorsion et des activités frauduleuses impliquant des distributeurs automatiques et des kiosques crypto. Le rapport note également que les victimes de plus de 60 ans ont subi les pertes financières les plus élevées dans la catégorie crypto, toutes tranches d'âge confondues, ce qui renforce la nécessité d'une meilleure éducation, d'avertissements au niveau des plateformes et de mécanismes de protection ciblant les utilisateurs plus âgés.
Forta constate que 90 % des tokens sur Uniswap V2 sur Base étaient des hard rug pulls
Nos amis de Forta ont constaté que près de 90 % des tokens déployés sur les pools Uniswap v2 sur la blockchain Base sur une période de 28 jours étaient des hard rug pulls — des tokens malveillants conçus pour voler les fonds des investisseurs. Le faible coût et la simplicité du déploiement sur Base en ont fait un terrain fertile pour les escrocs qui utilisent une tactique de « spray-and-pray » : déploiement massif de faux tokens, simulation d'activité, puis retrait rapide de la liquidité dès que des utilisateurs s'y engagent.
Un seul acteur a été associé à plus de 19 000 tokens frauduleux, illustrant l'ampleur industrielle du problème. Forta appelle à des défenses proactives plus robustes, comme son Forta Firewall, pour protéger les utilisateurs de ces campagnes de fraude à déploiement rapide.
Une attaque de la chaîne d'approvisionnement substitue les adresses de portefeuilles crypto via un package npm pdf-to-office malveillant
Ce qui s'est passé
Des acteurs malveillants ont introduit un package malveillant nommé pdf-to-office, qui prétend convertir des fichiers PDF en documents Microsoft Word, mais cible en réalité des portefeuilles de cryptomonnaies comme Atomic Wallet et Exodus.
Ce package, publié pour la première fois le 24 mars 2025, a été mis à jour plusieurs fois et reste disponible au téléchargement, ayant été téléchargé 334 fois. Il injecte du code malveillant pour substituer l'adresse du portefeuille du destinataire par celle de l'attaquant lors des transactions. Cette méthode assure la persistance du malware sur le système du développeur, représentant une menace significative pour la sécurité de la chaîne d'approvisionnement logicielle.
Comment les utilisateurs peuvent se protéger
Pour se défendre contre les attaques de la chaîne d'approvisionnement, vérifiez l'authenticité des packages npm avant de les installer et maintenez votre logiciel de portefeuille de cryptomonnaies à jour. Surveillez attentivement l'activité de votre portefeuille et, en cas de suspicion de compromission, désinstallez et réinstallez depuis une source de confiance. Utilisez des logiciels de sécurité fiables et à jour pour détecter les menaces, et restez informé — partagez vos connaissances avec votre équipe pour renforcer la sensibilisation et la résilience globales.
Des outils comme LavaMoat peuvent également aider en isolant les dépendances JavaScript dans des environnements sécurisés et en appliquant des politiques de sécurité, réduisant ainsi le risque de comportements malveillants dans votre chaîne d'approvisionnement logicielle.
L'infrastructure SMS exploitée pour intercepter les codes d'authentification multi-facteurs ciblant les utilisateurs crypto
Ce qui s'est passé
Un acteur malveillant nouvellement identifié, baptisé SLOVENLY COMET, a exploité des vulnérabilités dans l'infrastructure SMS pour intercepter des codes d'authentification multi-facteurs (MFA), entraînant un accès non autorisé à des comptes Telegram, notamment au sein de la communauté crypto argentine.
Les attaquants ont utilisé un bot Telegram pour collecter systématiquement des SMS contenant des codes MFA, affectant des utilisateurs de multiples services, dont Google, Microsoft, Apple, Telegram, Facebook, Mercadolibre, Amazon, Binance, Instagram, TikTok, Temu et Signal. La faille a été retracée jusqu'à un fournisseur de passerelle SMS compromis, mettant en évidence les risques associés aux méthodes d'authentification par SMS.
Comment les utilisateurs peuvent se protéger
L'équipe SEAL de Security Alliance conseille aux utilisateurs et aux fournisseurs de services de passer de la MFA par SMS à des alternatives plus sécurisées, comme les applications d'authentification ou les tokens matériels. Pour ceux potentiellement touchés par SLOVENLY COMET, il est recommandé d'agir immédiatement pour sécuriser les comptes et revoir les paramètres d'authentification.
De fausses invitations Zoom Bloomberg utilisées pour compromettre des portefeuilles crypto
Ce qui s'est passé
Avec la recrudescence des arnaques Zoom, les chercheurs en sécurité de Trail of Bits ont désormais exposé ELUSIVE COMET : un acteur malveillant menant une campagne d'ingénierie sociale sophistiquée ciblant la communauté crypto.
En utilisant de fausses invitations pour une série « Bloomberg Crypto », les attaquants cherchaient à compromettre des portefeuilles crypto via la fonctionnalité de contrôle à distance de Zoom. Cette méthode consistait à inciter les victimes à installer des malwares sous prétexte de résoudre des problèmes audio ou vidéo pendant l'appel. Cette découverte met en lumière la sophistication croissante des cybermenaces, notamment celles qui exploitent les failles de sécurité opérationnelle au sein de l'industrie blockchain.
Comment les utilisateurs peuvent se protéger
Pour se protéger contre les attaques d'ingénierie sociale comme celles liées à ELUSIVE COMET, il est important de faire preuve de prudence face aux invitations non sollicitées — en particulier celles proposant des opportunités médiatiques ou des partenariats qui semblent inhabituels. Vérifiez toujours la légitimité de telles démarches via des canaux officiels, comme des adresses e-mail confirmées ou un contact direct avec l'organisation.
De plus, limitez ou désactivez des fonctionnalités comme le contrôle à distance de Zoom sauf en cas d'absolue nécessité, et assurez-vous que vos systèmes sont régulièrement mis à jour et renforcés par des contrôles d'accès stricts. Une protection robuste des terminaux avec surveillance en temps réel est essentielle, tout comme la formation continue des équipes sur les tactiques d'attaque courantes.
Pour en savoir plus sur ELUSIVE COMET, consultez l'analyse approfondie de Jake Gallen.
Le rapport de sécurité crypto d'avril 2025 de MetaMask a couvert la révélation d'un chercheur en sécurité de confiance comme agent du RPDC, 1,2 milliard de dollars du piratage de Bybit blanchis via THORChain, ainsi que des attaques sophistiquées par Zoom et SMS ciblant les utilisateurs crypto. Consultez les éditions précédentes du rapport de sécurité crypto MetaMask pour découvrir d'autres menaces, tendances et conseils pour rester en sécurité dans l'écosystème.
