Chaque mois, Luker, directrice de la sécurité chez MetaMask, fait le point sur les dernières attaques crypto et les risques émergents à connaître.
Le mois de décembre 2024 a mis une chose en évidence : les escrocs ne prennent pas de vacances pendant les fêtes. Des hackers ont commencé à empoisonner les données d'entraînement de l'IA pour glisser du code crypto malveillant à l'insu des développeurs, le groupe Lazarus a continué à exploiter LinkedIn comme une bourse de l'emploi venue des enfers, et la bibliothèque @solana/web3.js de Solana a été victime d'une attaque sur la chaîne d'approvisionnement visant les clés privées. Parallèlement, les pertes liées à la violation de LastPass ont dépassé 250 millions de dollars — deux ans après l'incident initial — et WallStreetBets a perdu 2,2 millions de dollars en meme coins après la compromission de son compte X. Sur le front de la sécurité proactive, Immunefi a lancé l'Ethereum Protocol Attackathon avec une cagnotte de 1,5 million de dollars, et Luker est montée sur scène à la Devcon SEA pour décortiquer le fonctionnement de l'ingénierie sociale à chaque niveau de menace. Tous les détails ci-dessous, mais d'abord...
À la une : Clifford Stoll, le savant fou qui a écrit le livre de référence sur la traque des hackers
Clifford Stoll, alias « le savant fou qui a écrit le livre de référence sur la traque des hackers », posant dans son atelier en Californie.
L'ingénierie sociale dans les menaces crypto : pig butchering, wallet drainers, arnaques à l'emploi et bien plus
Si vous l'avez manqué, Luker a présenté un aperçu de la façon dont l'ingénierie sociale est utilisée aussi bien par les script kiddies que par les cartels criminels et les menaces persistantes avancées. Découvrez comment les utilisateurs sont dépouillés, les méthodes employées pour tromper les entreprises crypto et les développeurs, et apprenez-en plus sur les pratiques malveillantes du pig butchering qui l'empêchent de dormir. Bonne écoute ! (PS – Le pig butchering est une arnaque crypto de longue date dans laquelle les attaquants construisent une relation avec la victime sur des semaines ou des mois, gagnant sa confiance, simulant une intimité, allant jusqu'à afficher de faux rendements, avant de la convaincre de transférer ses fonds vers une plateforme contrôlée par les escrocs. Le terme fait référence à l'idée d'engraisser la cible avant le vol final. Aucun animal n'est blessé dans l'opération. Les cibles de ces arnaques sont des êtres humains.)
Royaumes de même origine et Realms-Initialization-Control pour une sécurité des extensions de navigateur renforcée
Les royaumes de même origine (same-origin realms) permettent aux navigateurs d'exécuter des scripts de manière sécurisée et d'isoler différentes pages web provenant de la même source. Ils sont particulièrement utiles pour renforcer la sécurité lors du traitement de contenu intégré, comme les iframes, ou lors du chargement de scripts non fiables.
L'article de Gal Weizman explore comment les développeurs peuvent utiliser ces royaumes pour créer des applications web plus sûres et plus efficaces. Il met en avant le Realms-Initialization-Control (RIC), qui permettrait aux développeurs de contrôler l'initialisation des scripts, ajoutant ainsi une couche de sécurité supplémentaire. Cela peut contribuer à prévenir les vulnérabilités web courantes et à rendre les applications plus robustes. L'enjeu est de trouver le bon équilibre entre sécurité et facilité de développement, mais des avancées comme celles-ci ouvrent la voie à un web plus sûr.
Le groupe Lazarus utilise de fausses offres d'emploi sur LinkedIn et des personas fictifs pour dérober 2 millions de dollars à un employé du secteur crypto
Taylor Monahan a récemment mis en lumière la façon dont le groupe Lazarus, lié à la Corée du Nord, emploie des tactiques d'ingénierie sociale sophistiquées : contacter des employés via les réseaux sociaux ou des applications de messagerie, les rediriger vers des dépôts GitHub sous couvert d'offres d'emploi ou d'assistance technique, et compromettre des appareils individuels pour accéder à l'infrastructure des entreprises.
Dans un exemple réel, l'appareil d'un employé a été compromis après une interaction avec un faux profil sur LinkedIn. L'attaquant a maintenu la communication, allant jusqu'à rémunérer l'employé en cryptomonnaie pour gagner sa confiance, avant d'exploiter cet accès pour dérober plus de 2 millions de dollars.
En complément, MetaMask a partagé une liste facile à assimiler des points de vigilance lorsqu'on est contacté par quelqu'un en ligne.
Modèles de sécurité des marchés du dark web et pratiques zero-trust pour les utilisateurs de crypto
Evan Boehs explique comment le dark web offre anonymat et usages légitimes, mais regorge également de risques — arnaques, malwares et problèmes de confiance y sont monnaie courante. Les vendeurs anonymes peuvent disparaître en cours de transaction, des liens malveillants se cachent partout, et la moindre erreur peut exposer votre identité.
Pour rester en sécurité, utilisez des outils comme Tor, adoptez de bonnes pratiques en matière de cryptomonnaies et maintenez un état d'esprit zero-trust.
L'Ethereum Protocol Attackathon se lance avec une cagnotte de 1,5 million de dollars
L'Attackathon d'Immunefi a officiellement démarré. Jusqu'au 20 janvier 2025, cette compétition d'audit de sécurité participatif à grande échelle vise à renforcer la sécurité du protocole Ethereum. L'événement invite des participants allant des cabinets d'audit professionnels aux chercheurs en sécurité indépendants à concourir pour une cagnotte de 1 500 000 dollars.
La bibliothèque @solana/web3.js de Solana compromise dans une attaque sur la chaîne d'approvisionnement ciblant les clés privées
Ce qui s'est passé
Solana a subi une attaque sur la chaîne d'approvisionnement ciblant la bibliothèque npm @solana/web3.js très largement utilisée, dans le but de compromettre des clés privées et de siphonner des fonds. Les versions malveillantes, identifiées comme 1.95.6 et 1.95.7, ont été brièvement disponibles le 2 décembre 2024 avant d'être rapidement retirées de la circulation.
Les attaquants auraient obtenu l'accès via des techniques de phishing, et ont réussi à injecter du code malveillant dans la bibliothèque. Ce code était conçu pour exfiltrer des clés privées vers un serveur sous le contrôle des attaquants, identifié comme sol-rpc[.]xyz, enregistré notamment quelques jours seulement avant la violation. Le chercheur en sécurité cloud Christophe Tafani-Dereeper a découvert une fonction de backdoor nommée « addToQueue » dans le package, ciblant spécifiquement les opérations sensibles aux clés.
Comment les utilisateurs peuvent se protéger
En réponse à l'attaque, Solana Labs, en collaboration avec des experts en sécurité, a émis des recommandations à l'intention des développeurs potentiellement affectés par les versions compromises de la bibliothèque. Celles-ci comprennent la réalisation d'audits approfondis des dépendances pour identifier toute utilisation des versions malveillantes, la mise à jour immédiate vers la version sécurisée 1.95.8, et la rotation des clés en cas de suspicion de compromission.
Empoisonnement de code IA : des escrocs intègrent du code crypto malveillant dans les données d'entraînement de l'IA
Ce qui s'est passé
Des escrocs ciblent désormais les données d'entraînement de l'IA en y intégrant du code crypto malveillant pour exploiter les utilisateurs. Dans ce cas, le code impliquait l'envoi d'une clé privée via une API recommandée par @OpenAI. L'arnaque a été exécutée rapidement, et les actifs de l'utilisateur ont été vidés dans le portefeuille d'un voleur dans les 30 minutes suivant l'utilisation de l'API.
Comment les utilisateurs peuvent se protéger
Cet incident souligne le besoin crucial de prudence lors de l'utilisation de code généré par l'IA, en particulier dans le domaine de la crypto. Vérifiez toujours les recommandations de l'IA pour vous assurer de la légitimité des sites web et des API suggérés par les services d'IA. Lorsque vous expérimentez de nouveaux outils ou du nouveau code, utilisez des portefeuilles de test contenant un minimum de fonds pour réduire les pertes potentielles en cas d'erreurs ou de vulnérabilités. Par ailleurs, restez informé des arnaques en vous tenant au courant des tactiques courantes et des sites malveillants connus au sein de la communauté crypto.
Le compte X de WallStreetBets piraté pour 2,2 millions de dollars en meme coins Solana
Ce qui s'est passé
Dans une violation majeure du compte X de WallStreetBets, des hackers ont dérobé des meme coins d'une valeur de plus de 2,2 millions de dollars US sur la blockchain Solana. L'exploit, identifié par le détective blockchain ZachXBT, a été retracé jusqu'à une vulnérabilité dans l'application mobile de X. Les actifs volés comprenaient 1 430 000 tokens PNUT, 400 000 tokens ZEREBRO et 130 000 tokens ALCH. Les hackers ont intégré des passkeys pour conserver le contrôle du compte WallStreetBets même après que WallStreetBets leur a retiré l'accès.
Comment les utilisateurs peuvent se protéger
Si vous tombez sur des liens sur les réseaux sociaux faisant la promotion d'un nouvel investissement en token, prenez un moment pour évaluer leur légitimité avant de cliquer. Ces liens peuvent être très tentants, promettant des rendements importants et des opportunités exclusives d'entrer tôt, mais c'est précisément ainsi que les gens se font piéger. Vérifiez bien où ces liens vous mènent, et faites preuve de diligence raisonnable pour vous assurer de la légitimité de ce qui est promis.
La violation de LastPass se poursuit : 5,36 millions de dollars volés sur 40 portefeuilles, les pertes totales dépassent 250 millions de dollars
Ce qui s'est passé
ZachXBT a mis au jour un vol de cryptomonnaies significatif orchestré par le « threat actor LastPass », entraînant une perte d'environ 5,36 millions de dollars sur plus de 40 adresses victimes. Cette violation, liée à un incident de décembre 2022 au cours duquel LastPass avait signalé un accès non autorisé à des données de coffre-fort chiffrées, a désormais contribué à plus de 250 millions de dollars de pertes crypto au total. Les attaquants ont spécifiquement ciblé les utilisateurs ayant stocké leurs clés privées ou phrases de récupération secrètes (SRP) dans des coffres-forts LastPass, exploitant les vulnérabilités du stockage centralisé.
Comment les utilisateurs peuvent se protéger
Audits réguliers : examinez périodiquement où et comment vos actifs numériques sont stockés. Assurez-vous que toute solution de stockage que vous utilisez respecte les normes de sécurité les plus élevées.
Stockage sécurisé : évitez de stocker des clés privées ou des SRP dans des gestionnaires de mots de passe centralisés. Envisagez d'utiliser des hardware wallets ou d'autres méthodes de stockage hors ligne sécurisées pour les informations sensibles.
Action immédiate : si vous avez utilisé LastPass pour stocker des données liées à la crypto, envisagez de transférer vos actifs vers un nouveau portefeuille et de changer la propriété de tout contrat ou portefeuille multisig par précaution.
Restez informé : suivez des experts en cybersécurité et des plateformes réputés pour les dernières actualités sur les menaces de sécurité et les meilleures pratiques pour protéger vos actifs.
Le rapport de sécurité crypto de MetaMask pour décembre 2024 a couvert l'empoisonnement de code IA ciblant les développeurs crypto via des données d'entraînement manipulées, le groupe Lazarus utilisant de fausses offres d'emploi LinkedIn pour dérober 2 millions de dollars, une attaque sur la chaîne d'approvisionnement de la bibliothèque @solana/web3.js de Solana, et les pertes liées à la violation de LastPass dépassant 250 millions de dollars. Consultez les éditions précédentes du rapport de sécurité crypto MetaMask pour découvrir d'autres menaces, tendances et conseils pour rester en sécurité dans l'écosystème.
