Chaque mois, Luker, directeur de la sécurité chez MetaMask, fait le point sur les dernières attaques crypto et les risques émergents à connaître.
Janvier 2025 a démarré avec un vol de 70 millions de dollars sur une plateforme d'échange, des opérateurs nord-coréens qui continuent de mener des arnaques aux fausses offres d'emploi, et des attaquants qui font preuve de créativité avec des attaques sur la chaîne d'approvisionnement ciblant aussi bien les outils de développement que les extensions de navigateur. Les utilisateurs d'AdsPower ont vu leurs extensions de portefeuille silencieusement remplacées par des fausses, entraînant 3 millions de dollars de pertes. Et si vous êtes utilisateur Mac et que vous avez cherché « Homebrew » au mauvais moment, vous avez peut-être atterri sur un faux site convaincant diffusant un malware voleur d'identifiants. Du côté défensif, LavaMoat a livré une réécriture majeure avec @lavamoat/node, MetaMask a amélioré la lisibilité des demandes de signature, et AnChain.AI a lancé un Snap d'évaluation des risques de transaction. Plongez dans les détails ci-dessous, mais d'abord...
À la une : Andrew Grove et la révolution du microprocesseur Intel
Survivant de l'Holocauste et de la Révolution hongroise de 1956, Andrew Grove a joué un rôle majeur dans la révolution du microprocesseur chez Intel, façonnant l'informatique moderne.
La réécriture de @lavamoat/node par LavaMoat protège contre les forks GitHub malveillants
En mettant en avant la première version de @lavamoat/node, Naugtur explore un risque de sécurité sournois dans le développement sur GitHub. Des attaquants créent des forks malveillants de dépôts populaires et y glissent du code nuisible. Même si vous suivez le développement de LavaMoat, vous n'aviez probablement pas vu venir @lavamoat/node. Il s'agit pourtant d'une réécriture majeure, nécessaire pour intégrer la prise en charge des modules ES (ESM).
Le Snap MetaMask d'AnChain.AI apporte l'évaluation des risques de transaction aux utilisateurs de portefeuille
Dans ce Space X, AnChain.AI présente son Snap MetaMask qui permet à davantage de personnes de bénéficier d'un accès facilité aux données qu'ils agrègent sur les acteurs malveillants. L'algorithme développé évalue le risque associé aux transactions, aux portefeuilles et aux smart contracts.
Christian Montoya a déclaré à propos des Snaps en général : « Grâce à la plateforme Snaps, nous pouvons collaborer avec de nombreuses équipes travaillant dans le domaine de la sécurité. Parce qu'elles peuvent lancer leurs propres Snaps, elles peuvent démontrer leurs capacités à se protéger contre les activités malveillantes, à aider à décoder les transactions et à réaliser de meilleures simulations. »
Christian a également laissé entendre que MetaMask explore des moyens d'exploiter l'IA pour renforcer la sécurité des utilisateurs.
MetaMask lance une meilleure lisibilité des demandes de signature sur l'extension MetaMask
Ce mois-ci, nous avons lancé des transactions et signatures nouvelles, cohérentes et plus lisibles sur l'extension MetaMask. Ces améliorations seront très prochainement disponibles sur l'application MetaMask mobile.
LavaMoat bloque les scripts postinstall malveillants dans l'attaque sur la chaîne d'approvisionnement de Rspack
C'est encore Naugtur qui, cette fois, a tiré la sonnette d'alarme pour les utilisateurs de Rspack — un bundler JavaScript basé sur Rust — qui auraient pu installer une version malveillante à leur insu. Heureusement, le problème a été rapidement résolu, mais des outils comme LavaMoat peuvent aider les développeurs à se protéger contre des attaques similaires sur la chaîne d'approvisionnement à l'avenir.
Le groupe Lazarus de Corée du Nord soupçonné dans l'exploit de 70 millions de dollars sur la plateforme Phemex
L'une de ces expertes est Taylor Monahan de MetaMask. Plus de 70 millions de dollars en crypto ont été volés sur la plateforme d'échange singapourienne Phemex. Selon Taylor, la complexité de l'attaque indique l'implication d'un groupe expérimenté, potentiellement lié à la Corée du Nord. Les attaquants ont rapidement vidé un large éventail d'actifs sur plusieurs blockchains, les convertissant en tokens natifs comme l'ETH et le BTC. Elle a noté que l'exécution manuelle de nombreuses transactions sur différentes chaînes suggère le travail d'acteurs malveillants expérimentés. Cette méthode reflète des tactiques précédemment associées à des groupes de hackers nord-coréens, comme le Lazarus Group.
Chainalysis publie son rapport 2025 sur la criminalité crypto, annonçant des volumes illicites records
Le rapport annuel de Chainalysis sur la criminalité crypto est disponible. En attendant de recevoir votre exemplaire, découvrez un avant-goût en lisant un extrait — Les volumes illicites annoncent une année record alors que la criminalité on-chain devient de plus en plus diverse et professionnalisée — ici.
De fausses publicités Google pour Homebrew diffusent le malware AmosStealer ciblant les utilisateurs Mac crypto
Ce qui s'est passé
Des hackers ont lancé une campagne de malware via Google Ads, ciblant les utilisateurs du gestionnaire de paquets Homebrew pour macOS et Linux avec un faux site web. La campagne distribue AmosStealer, un malware conçu pour voler des identifiants, des données de navigateur et des données de cryptomonnaies en se faisant passer pour le site officiel de Homebrew. Les experts en sécurité ont souligné la sophistication de la campagne et son potentiel à nuire considérablement aux utilisateurs non avertis.
Comment les utilisateurs peuvent se protéger
Vérifiez toujours l'authenticité des sites web avant de télécharger un logiciel ou de saisir des informations personnelles. Méfiez-vous des publicités Google qui redirigent vers des sites externes, en particulier ceux qui ressemblent à des services légitimes comme Homebrew. Pensez à mettre en favoris les sites officiels que vous visitez fréquemment pour éviter de tomber dans le piège des fausses publicités. Suivez également des experts en cybersécurité réputés et restez informé des dernières menaces.
La campagne Contagious Interview de la RPDC utilise de fausses offres d'emploi pour déployer l'infostealer BeaverTail
Ce qui s'est passé
Contagious Interview, un groupe de cybermenaces affilié à la RPDC actif depuis décembre 2022, exploite le secteur des cryptomonnaies via des attaques d'ingénierie sociale sophistiquées. Ils attirent leurs victimes avec de fausses offres d'emploi ou des missions de développement freelance, pour ensuite infecter leurs appareils avec le malware infostealer BeaverTail via du code malveillant distribué sur des plateformes comme GitHub et Bitbucket. Ce malware cible les actifs crypto, vidant les navigateurs et les portefeuilles de bureau peu après l'installation. Le groupe utilise une deuxième charge utile, InvisibleFerret, pour compromettre davantage les appareils à des fins d'exploitation continue.
Comment les utilisateurs peuvent se protéger
Les individus doivent faire preuve de prudence lorsqu'ils reçoivent des offres d'emploi sur les réseaux sociaux, en vérifiant l'authenticité des profils de recruteurs et en évitant les liens ou scripts suspects. Ils doivent également utiliser un logiciel antivirus et séparer leurs activités personnelles et professionnelles, éventuellement sur des machines différentes ou dans des environnements virtuels. Les organisations peuvent se protéger en sensibilisant leurs employés aux tactiques de phishing, en appliquant des politiques strictes concernant les appareils et en utilisant des canaux sécurisés pour les processus de recrutement.
L'attaque sur la chaîne d'approvisionnement d'AdsPower remplace les extensions de portefeuille et vole 3 millions de dollars en ETH
Ce qui s'est passé
ADSPower, un navigateur anti-détection, a été victime d'un incident de piratage ayant entraîné le vol de plus de 3 millions de dollars en actifs crypto sur plus de 34 000 portefeuilles. La brèche a été évoquée pour la première fois le 23 janvier, des utilisateurs signalant des problèmes avec MetaMask dans ADSPower sur divers chats Telegram dédiés aux cryptos. Le 25 janvier, un retrait massif de fonds depuis les portefeuilles des utilisateurs a été observé, et l'équipe ADSPower a reconnu la brèche. L'attaque a été réalisée en remplaçant les extensions de portefeuille légitimes par des versions frauduleuses, incitant les utilisateurs à soumettre leurs phrases secrètes et mots de passe.
Comment les utilisateurs peuvent se protéger
Si vous êtes utilisateur d'ADSPower et que vous avez installé ou mis à jour l'extension MetaMask entre le 21 et le 24 janvier, prenez des mesures immédiates pour sécuriser vos actifs et votre compte : supprimez l'extension MetaMask actuelle, ainsi que toute autre extension de portefeuille que vous soupçonnez d'être compromise. Réinstallez-les directement depuis le Chrome Web Store pour vous assurer d'utiliser les versions authentiques.
Transférez vos actifs crypto vers un nouveau portefeuille. Lors de la configuration du nouveau portefeuille, importez vos phrases secrètes ou clés privées directement, et évitez d'utiliser ADSPower pendant ce processus afin de prévenir toute exposition potentielle à des logiciels malveillants. Contactez l'équipe d'assistance d'ADSPower à l'adresse [email protected]. Fournissez-leur des détails et toute preuve de compromission pour obtenir de l'aide et potentiellement contribuer à prévenir de nouvelles violations.
Le rapport de sécurité crypto de MetaMask pour janvier 2025 a couvert l'exploit de 70 millions de dollars sur Phemex soupçonné d'être lié au Lazarus Group, une attaque sur la chaîne d'approvisionnement d'AdsPower remplaçant les extensions de portefeuille pour voler 3 millions de dollars en ETH, et de fausses publicités Google pour Homebrew distribuant un malware voleur d'identifiants. Consultez les éditions précédentes du rapport de sécurité crypto MetaMask pour découvrir davantage de menaces, de tendances et de conseils pour rester en sécurité dans l'écosystème.
