Chaque mois, Luker, directeur de la sécurité chez MetaMask, fait le point sur les dernières attaques crypto et les risques émergents à connaître.
Février 2025 a été dominé par une seule actualité : le hack de Bybit à 1,4 milliard de dollars, le plus important de l'histoire de la blockchain, officiellement attribué au groupe Lazarus par le FBI. Il a suffi d'un ordinateur compromis appartenant à un développeur de Safe{Wallet}. Mais ce n'est pas tout : un développeur nord-coréen ayant infiltré l'équipe du bot de trading Solareum est reparti avec 1,4 million de dollars en SOL, le malware SparkCat OCR s'est mis à scanner les galeries photos des téléphones à la recherche de phrases de récupération sur iOS et Android, et une nouvelle tactique d'arnaque via Zoom a émergé, ciblant les utilisateurs crypto avec de fausses exploitations de réunions. Du côté positif, l'Opération Level Up du FBI a permis de récupérer 285 millions de dollars et d'épargner à 4 300 personnes les arnaques au « pig butchering », et LavaMoat a été reconnu pour sa sécurité des extensions de navigateur avant le SECCON 2025 à Tokyo. Plongez dans les détails ci-dessous, mais d'abord...
À la une : Valerie Thomas, pionnière des STEM, et le transmetteur d'illusion à la NASA
La data scientist Valerie Thomas a inventé le transmetteur d'illusion et a contribué au développement des formats de médias numériques utilisés par les systèmes de traitement d'images dans les premières années du programme Landsat de la NASA.
Une nouvelle tactique d'arnaque via Zoom cible les utilisateurs crypto avec de fausses exploitations de réunions
MichaelK.eth, qui a rejoint MetaMask depuis l'équipe WalletGuard, explique comment éviter cette arnaque Zoom sournoise.
Un développeur nord-coréen infiltre l'équipe du bot de trading Solareum et vole 1,4 million de dollars en SOL
En mars 2024, Solareum, un bot de trading Telegram basé sur Solana, a perdu 1,4 million de dollars en SOL après avoir recruté un développeur nord-coréen qui a ensuite exploité le projet. Cet incident met en lumière le risque croissant que représentent les agents de la RPDC qui s'infiltrent dans des entreprises technologiques pour faciliter des cyberattaques.
Taylor Monahan a noté que l'équipe de Solareum est devenue peu coopérative après l'incident, fermant ses comptes et ses canaux communautaires, ce qui a rendu les efforts de récupération difficiles. Cette dernière faille liée à une arnaque à l'embauche souligne la nécessité d'un processus de recrutement plus rigoureux et d'une plus grande transparence dans les projets crypto pour protéger les actifs des utilisateurs face à des menaces de sécurité en constante évolution.
La sécurité des extensions de navigateur LavaMoat mise à l'honneur au SECCON 2025 à Tokyo
Nous sommes plus que fiers de la reconnaissance accordée par slonser, membre du groupe de recherche capture-the-flag C4T BuT S4D. Restez à l'écoute pour la couverture du SECCON 2025 à Tokyo le mois prochain, qui mettra en avant la sécurité de la chaîne d'approvisionnement des extensions de navigateur.
Le hack Bybit à 1,4 milliard de dollars : Lazarus Group, blind signing et failles de sécurité multisig
Taylor Monahan de MetaMask et le chercheur en sécurité Jonty « Zeroshadow » rejoignent la journaliste blockchain Laura Shin sur le podcast Unchained pour discuter de ce qui est décrit comme le plus grand hack de toute l'histoire, et pas seulement de l'histoire de la blockchain. Voici quelques points marquants :
« Chaque fois qu'il y a un hack important, les gens s'empressent de regarder le produit spécifique... mais en général, surtout avec Lazarus, ça n'a vraiment pas d'importance. Vous pouvez utiliser n'importe quel wallet... Quand ils obtiennent cet accès initial à l'appareil d'une personne, ils vont simplement observer, comprendre vos opérations et ce que vous faites. Il n'existe pas un seul produit qui vous protégera parfaitement... et ils vont élaborer un plan très personnalisé, taillé sur mesure pour vous. » - Taylor Monahan
« Pascal, le responsable de SEAL 911, a créé un utilitaire très utile, open-source et public sur son GitHub. Entièrement gratuit, c'est essentiellement un script bash qui vérifie que la transaction [Gnosis] Safe que vous signez est bien celle que vous avez l'intention de signer... Dans de nombreux cas, cet outil seul suffit à réaliser que quelque chose ne va pas et à ne pas appuyer sur ces deux boutons qui pourraient sonner le glas de votre protocole, de votre exchange, ou autre. » - Jonty
« Vous devriez être paranoïaque lorsque vous effectuez ces transactions. C'est peut-être une routine, quelque chose que vous faites tout le temps, mais cela a vraiment la capacité de détruire complètement votre exchange... Donc si les chiffres ne correspondent pas, si vous obtenez des erreurs, ou si quelque chose d'étrange se produit, arrêtez simplement ce que vous faites et enquêtez... Trop de gens rencontrent des erreurs et essaient de les forcer en passant outre. » - Jonty
Si vous souhaitez en savoir plus sur Bybit et la sécurité multisig, consultez ces ressources supplémentaires :
Le FBI établit officiellement le lien entre le hack Bybit et le groupe Lazarus, tandis que Safe{Wallet} révèle la compromission d'un développeur
Un tourbillon d'informations et de spéculations a entouré le hack Bybit lors de l'ETHDenver 2024, l'un des plus grands événements web3 annuels, avec cette actualité qui a jeté une ombre sur de nombreux panels et événements parallèles. Le méfait a été officiellement attribué au groupe Lazarus (sans grande surprise) par le FBI. Safe{Wallet} a révélé que l'attaque « a été réalisée via la machine compromise d'un développeur Safe{Wallet}, ayant conduit à la proposition d'une transaction malveillante déguisée. »
La société d'analyse blockchain Elliptic a publié un flux de données d'adresses de wallets dans le but « d'aider les membres de la communauté à minimiser leur exposition aux sanctions et à prévenir le blanchiment des actifs volés. » En plus de publier un rapport préliminaire d'investigation de Sygnia et de lancer une prime, Bybit a sollicité l'aide de la société de sécurité web3 ZeroShadow pour voir ce qui pouvait encore être découvert.
Pendant tout ce temps, les discussions autour des travers du blind signing et de l'effort « d'apprendre des incidents plutôt que d'en tirer profit » ont peut-être été éclipsées.
MetaMask figure dans la liste des wallets les plus sûrs pour les nouveaux utilisateurs crypto
Un grand merci à Quartz pour avoir inclus MetaMask dans sa liste des wallets sécurisés. Nous sommes fiers d'être un wallet non-custodial qui donne aux nouveaux utilisateurs les moyens d'agir grâce à des fonctionnalités de sécurité disponibles aussi bien en extension que sur mobile.
L'Opération Level Up du FBI récupère 285 millions de dollars et sauve 4 300 personnes des arnaques au pig butchering
L'Opération Level Up du FBI prend des mesures décisives contre les arnaques crypto, sauvant plus de 4 300 personnes d'une perte totale de 285 millions de dollars. L'initiative cible les arnaques au « pig butchering », où des escrocs établissent une relation de confiance avant de convaincre leurs victimes d'investir dans de faux projets crypto.
En intervenant avant que les fonds ne soient transférés, le FBI a contribué à prévenir des pertes qui auraient pu changer des vies, parfois de justesse. Au-delà de la récupération des fonds, l'opération soutient également les victimes et sensibilise le public pour aider les gens à repérer et éviter ces arnaques avant qu'elles ne surviennent.
Le pirate du compte X de la SEC risque cinq ans de prison après une attaque par SIM swap
Eric Council Jr., 25 ans, originaire d'Alabama, a reconnu avoir piraté le compte X (anciennement Twitter) de la SEC en janvier 2024. Son objectif ? Publier une fausse annonce sur les ETF Bitcoin, faisant momentanément bondir le prix du Bitcoin de plus de 1 000 dollars. Council et ses complices ont réalisé ce coup en utilisant un « SIM swap » pour prendre le contrôle du compte. Il risque désormais jusqu'à cinq ans de prison et une amende de 250 000 dollars.
L'exposition de clés privées de Cardex vide 400 000 dollars des wallets des utilisateurs d'Abstract
Une nouvelle tactique de phishing sophistiquée ciblant les utilisateurs du wallet Phantom a été identifiée. Les escrocs se connectent d'abord à des wallets Phantom légitimes, puis trompent les utilisateurs avec une fausse demande de signature « mettre à jour l'extension ». Une fois que l'utilisateur approuve cette demande, une fausse fenêtre modale apparaît, demandant à l'utilisateur de saisir ses seed phrases. Cette tactique est conçue pour amener les utilisateurs à compromettre leurs SRP.
Comment les utilisateurs peuvent se protéger
Ne saisissez jamais vos seed phrases sur un site web ou une fenêtre contextuelle. Pour identifier les fausses fenêtres contextuelles, vérifiez l'URL. La fenêtre contextuelle native de Phantom affichera une URL commençant par chrome-extension://..., que les pages web ne peuvent pas reproduire. Les vraies fenêtres contextuelles de Phantom se comportent comme des fenêtres système, vous permettant de les réduire, de les agrandir et de les redimensionner, tandis que les fausses sont confinées dans l'onglet du navigateur. Restez vigilant et prudent pour protéger la sécurité de votre wallet. Ce conseil s'applique également aux utilisateurs de MetaMask, car des arnaques similaires aux seed phrases sont répandues. Assurez-vous toujours d'interagir avec des extensions légitimes et méfiez-vous de toute demande concernant vos seed phrases.
Le malware SparkCat OCR scanne les galeries photos à la recherche de phrases de récupération crypto sur iOS et Android
Ce qui s'est passé
L'équipe de sécurité d'Abstract a détecté et neutralisé un exploit provenant de Cardex, une application tierce au sein de The Portal. Cet incident n'est pas dû à une vulnérabilité dans l'Abstract Global Wallet (AGW) ou le réseau Abstract. Il a été causé par l'équipe Cardex qui a involontairement exposé la clé privée de son session signer sur le front-end de son site web. Cette exposition a permis à un attaquant d'initier des transactions au nom de tout wallet ayant approuvé une session key avec Cardex. L'exploit représentait environ 400 000 dollars en valeur de tokens.
Comment les utilisateurs peuvent se protéger
Pour se protéger contre les vecteurs d'attaque potentiels, les utilisateurs devraient régulièrement révoquer les approbations et permissions accordées aux applications et tokens dans leur wallet Abstract. Cela peut être fait via l'outil Revoke sur http://revoke.abs.xyz.
Des crypto stealers OCR découverts sur Google Play et l'App Store
Ce qui s'est passé
Des chercheurs ont découvert une nouvelle campagne de malware, « SparkCat », ciblant les utilisateurs Android et iOS via des stores d'applications officiels et non officiels. Ce malware utilise l'OCR (Reconnaissance Optique de Caractères) pour scanner les galeries d'images des utilisateurs à la recherche de phrases de récupération de wallets crypto. Les applications infectées, dont certaines disponibles sur Google Play et l'App Store, ont été téléchargées plus de 242 000 fois. Le malware peut initier des transactions pour tout wallet ayant approuvé une session key avec l'application compromise.
Comment les utilisateurs peuvent se protéger
Pour se protéger contre ce malware, les utilisateurs devraient éviter de stocker des informations sensibles, telles que les SRP, dans la galerie photos de leur appareil. Si vous avez installé des applications infectées (voir ci-dessous), supprimez-les immédiatement et envisagez de transférer vos fonds vers un nouveau wallet.
Le rapport de sécurité crypto de MetaMask pour février 2025 a couvert le hack Bybit à 1,4 milliard de dollars lié au groupe Lazarus, le malware SparkCat OCR qui scanne les galeries photos à la recherche de phrases de récupération crypto sur iOS et Android, et l'Opération Level Up du FBI qui a récupéré 285 millions de dollars issus d'arnaques au pig butchering. Consultez les éditions précédentes du rapport de sécurité crypto MetaMask pour découvrir d'autres menaces, tendances et conseils pour rester en sécurité dans l'écosystème.
