Rapport sur la sécurité crypto : août 2025

Chaque mois, Luker, directeur de la sécurité chez MetaMask, fait le point sur les dernières attaques crypto et les risques émergents à connaître.

En août 2025, un fil conducteur s'est imposé : même les professionnels de la sécurité les plus prudents et les plus expérimentés peuvent se faire escroquer. Un développeur Ethereum de base, fort d'une décennie de pratiques de sécurité opérationnelle irréprochables, a perdu son portefeuille à cause d'une seule extension d'IA pour le codage utilisant le typosquatting. Un malware généré par IA s'est glissé sur npm et a été téléchargé plus de 1 500 fois avant d'être supprimé. Et la brèche LastPass continue de refaire surface, réapparaissant ce mois-ci via une organisation GitHub Toptal compromise. Les menaces se cachent de plus en plus dans les outils de développement et les chaînes d'approvisionnement auxquels les utilisateurs font confiance par défaut — c'est précisément pourquoi MetaMask a lancé Kipuka, un nouvel outil LavaMoat conçu pour les contrer. Plongez dans les détails ci-dessous, mais d'abord...

À la une : Alonzo Church, pionnier des STIM, et le développement du lambda-calcul

Le mathématicien Alonzo Church a développé le lambda-calcul, un cadre fondateur de l'informatique. Avec son élève Alan Turing, ils ont formulé la thèse de Church-Turing, qui définit ce que signifie qu'un problème soit calculable. Poser les bases formelles permettant de raisonner rigoureusement sur ce qu'un système peut ou ne peut pas faire, c'est le même instinct qui sous-tend une sécurité prouvable et vérifiable.

MetaMask lance Kipuka, un nouvel outil LavaMoat

Kipuka est le nouveau kit d'outils de sécurité LavaMoat de MetaMask, conçu pour protéger les développeurs contre les packages npm malveillants. Plus précisément, il vise à réduire la probabilité d'attaques réussies dans lesquelles un package npm malveillant tente de compromettre la machine locale d'un développeur lors de l'installation ou pendant le développement. Face à la popularité croissante des stealers et des vers ciblant les postes de travail distribués dans des packages npm, Kipuka vise à rendre ces attaques inefficaces, même lorsqu'elles ne se limitent pas aux scripts d'installation.

Placer les environnements de développement dans des conteneurs ou des machines virtuelles (VM) n'est pas nouveau. Ce qui rend Kipuka unique, c'est qu'une fois installé, il exécute de manière transparente vos appels à npm cli (ou à d'autres gestionnaires de packages) dans des conteneurs, sans qu'il soit nécessaire de penser à configurer ou à démarrer un environnement sécurisé.

Obtenez un accès anticipé à Kipuka, et testez sa compatibilité avec différents workflows et configurations avant sa sortie en bêta.

Le plugin LavaMoat Webpack reçoit une mise à jour de compatibilité

Le plugin LavaMoat Webpack de MetaMask a également été mis à jour en août 2025, améliorant sa compatibilité avec les fonctionnalités de Webpack, les capacités des navigateurs et l'écosystème. Le plugin est désormais sorti de sa phase bêta. Adoptez-le dès aujourd'hui dans vos projets Web UI, et restez informé de toutes nos dernières versions LavaMoat.

La rumeur selon laquelle Google bannirait tous les wallets non-custodial des app stores est fausse

À la mi-août, des rumeurs ont commencé à circuler sur CT selon lesquelles Google s'apprêtait à bannir les wallets non-custodial de son App Store. Il n'en est rien, et Google lui-même l'a démenti. En résumé : MetaMask est là pour durer.

Coinbase pousse pour une refonte anti-blanchiment d'argent propulsée par les ZK après le piratage des données de 70 000 clients

Quelques mois seulement après avoir subi une importante violation de données affectant près de 70 000 clients, Coinbase désigne désormais les outils de confidentialité cryptographique comme une solution potentielle à ce qu'il qualifie de lois « archaïques » contre la criminalité financière. Le Bank Secrecy Act (BSA) est « encore ancré dans des exigences vieilles de plusieurs décennies qui reflètent des protocoles de conformité sur papier et un système financier où les fonds se déplaçaient en jours, et non en secondes », explique Paul Grewal, directeur juridique de Coinbase.

« Au-delà de l'agacement que ressentent les clients chaque fois qu'ils répètent le processus KYC, ces dossiers personnels sont des mines d'or pour les criminels. Les entreprises sont légalement tenues de conserver vos données pendant des années et de les transmettre à des fonctionnaires. » Bien que Coinbase ne tienne pas directement le BSA pour responsable de sa fuite de données, il semble que l'entreprise cherche à orienter le débat vers une discussion plus large sur les exigences réglementaires du BSA et les risques qui y sont associés. Nous vous tiendrons informés de l'évolution de la situation…

La Turquie détient le chercheur crypto Fede Intern, après la condamnation de Roman Storm

Suite au procès et à la condamnation du développeur de Tornado Cash, Roman Storm, en Turquie, un chercheur connu sous le nom de Fede's Intern, alias Federico Carrone, a été placé en garde à vue par des agents de l'aéroport turc alors qu'il tentait d'entrer dans le pays. Il a été détenu en raison d'une plainte déposée par le ministre de l'Intérieur, l'accusant d'avoir aidé des personnes à détourner Ethereum. Apparemment, son seul lien avec l'affaire est un article qu'il a rédigé explorant des techniques de désanonymisation pour Tornado Cash. Carrone n'a jamais développé de fonctionnalités de confidentialité pour Tornado Cash.

« Le ministre de l'Intérieur avait déposé une plainte m'accusant d'avoir aidé d'autres personnes à détourner Ethereum, prétendument en lien avec un protocole de confidentialité », a partagé Carrone. « Écrire du code pour rendre les transactions privées ne fait pas de vous un criminel. Les criminels sont ceux qui enfreignent la loi. »

Taylor Monahan de MetaMask a également réagi : « L'un des inconvénients les plus intéressants et les moins rapportés de l'approche américaine en matière de crypto est l'impact qu'elle a sur d'autres pays et, par conséquent, à l'échelle mondiale. Des pays qui se situent souvent quelque part entre l'incompétence, le dysfonctionnement et la corruption totale. »

La saga de la brèche LastPass se poursuit avec le piratage du Github de Toptal

La société de logiciels Toptal a vu son organisation GitHub compromise, et certains de ses packages ont été publiés avec des scripts malveillants ajoutés. Cela reflète une tendance plus large aux escroqueries consistant à introduire des malwares dans des packages bien établis.

Suite aux informations sur le piratage, Toptal a également révélé que les packages Picasso et Xene avaient été compromis pendant plusieurs heures le 20 juin 2025. Toptal estime que l'incident était lié à une compromission d'identifiants provenant de la brèche LastPass.

Si vous pensiez en avoir fini avec les répercussions du gigantesque piratage LastPass, détrompez-vous ! La crypto était, et reste, une cible précoce. Mettez à jour tout ce que vous avez jamais stocké dans LastPass avant la brèche.

La coalition cybernétique mondiale Project Atlas, dirigée par le Canada, découvre plus de 70 millions de dollars en crypto volée

Project Atlas est une initiative centrée sur les victimes, dirigée par l'équipe de lutte contre la fraude cybernétique (CEFT) de la Police provinciale de l'Ontario, axée sur l'identification et la perturbation des escroqueries à l'investissement. Dirigé par le Canada mais mondial dans sa portée, il rassemble une coalition internationale d'agences d'application de la loi et de parties prenantes du secteur privé. À ce jour, le projet a découvert plus de 70 millions de dollars en crypto volée provenant de plus de 2 000 wallets, et en a gelé 50 millions.

Une extension d'IA malveillante vide le wallet d'un développeur Ethereum de base

Ce qui s'est passé

Coin Telegraph rapporte que le développeur Ethereum de base Zak Cole a été victime d'une extension de curseur IA malveillante, malgré ses bonnes pratiques de sécurité opérationnelle. « En plus de 10 ans, je n'ai jamais perdu un seul wei à cause de hackers. Puis j'ai voulu déployer un contrat en urgence la semaine dernière », a expliqué Cole.

L'attaque a fonctionné en créant une extension malveillante qui exploitait le typosquatting pour imiter une extension légitime. Dans ce cas, les attaquants ont usurpé l'identité d'une extension Solidity légitime en se faisant passer pour l'éditeur bien connu Juan Blanco. L'extension malveillante a été publiée par « Juan Bianco » au lieu de « Juan Blanco ».

Comment les utilisateurs peuvent rester en sécurité

Même si vous êtes pressé de livrer rapidement, pensez toujours à lire les petits caractères. Rappellez-vous : en raison de la mise en forme, certains caractères et éléments de design des extensions malveillantes peuvent sembler identiques, ce qui peut constituer un vecteur d'exploitation.

Les escrocs ont même réussi à placer des publicités pour leurs fausses extensions dans les app stores. Pour vous protéger, pensez à vérifier la date de publication d'une extension avant de l'ajouter à votre IDE. Cole a également souligné qu'il y avait un nombre de téléchargements extrêmement élevé, malgré une publication récente de quelques jours. C'est extrêmement inhabituel, car les extensions n'accumulent pas ce type de compteur de téléchargements en si peu de temps. Soyez attentif aux combinaisons étranges de mots dans la description du site, et aux localisations de développeurs dans des endroits improbables.

Le piratage d'un appareil de hacker nord-coréen révèle les stratégies d'infiltration de la RPDC dans les projets crypto

Ce qui s'est passé

Un chercheur en sécurité anonyme a piraté l'appareil d'un hacker IT de la RPDC et a révélé comment une petite équipe nord-coréenne gère un large ensemble de faux profils pour décrocher des postes dans le développement logiciel. ZachXBT révèle que cette équipe IT de la RPDC était profondément infiltrée dans cinq entreprises crypto. Les hackers y parviennent en achetant de fausses identités, des comptes LinkedIn et des comptes Upwork, afin d'obtenir des emplois. Cette tactique leur permet de se forger une réputation de développeur crédible.

Comment les utilisateurs peuvent rester en sécurité

Si vous êtes une entreprise crypto et pensez avoir été compromise : vérifiez d'abord que les comptes LinkedIn, Github et e-mail exposés des travailleurs de la RPDC ne font pas partie de votre organisation. Ensuite, modifiez votre processus de recrutement pour exiger des moyens de valider la localisation des candidats potentiels.

Un malware généré par IA dépasse les 1 500 téléchargements avant d'être supprimé

Ce qui s'est passé

Un malware généré par IA a été téléversé sur NPM et téléchargé par plus de 1 500 personnes avant d'être supprimé. Ce package exploitait des scripts postinstall pour compromettre les clés privées des victimes. Les scripts postinstall étaient conçus pour se dissimuler sur les appareils Windows, Mac et Linux. Une fois installé, le malware analysait les fichiers contenant des clés privées.

Comment les utilisateurs peuvent rester en sécurité

Les développeurs peuvent se protéger en utilisant les contrôles de sécurité créés par LavaMoat. L'utilisation de @lavamoat/allow-scripts et de Kipuka empêche les scripts postinstall malveillants de s'introduire dans vos applications. De plus, il est important de ne télécharger et d'exécuter que des projets publiés par des sources réputées. Si vous devez télécharger des packages non vérifiés ou peu populaires, il est préférable d'utiliser une VM jetable pour les télécharger et les exécuter. Ainsi, en cas de compromission de votre VM, les secrets de votre ordinateur personnel seront protégés.

Le rapport de sécurité crypto de MetaMask pour août 2025 a couvert le lancement d'un nouvel outil LavaMoat appelé Kipuka, la poussée de Coinbase pour une refonte anti-blanchiment propulsée par les ZK, l'appareil d'un hacker de la RPDC qui a révélé les stratégies d'infiltration IT nord-coréennes, un développeur Ethereum de base victime d'une extension d'IA malveillante, et la détention du chercheur crypto Fede Intern en Turquie. Consultez les éditions précédentes du rapport de sécurité crypto MetaMask pour découvrir d'autres menaces, tendances et conseils pour rester en sécurité dans l'écosystème.