Chaque mois, Luker, directeur de la sécurité chez MetaMask, fait le point sur les dernières attaques crypto et les risques émergents à connaître.
Juillet 2025 a été un mois marqué par les usurpations d'identité — de wallets, de projets abandonnés et d'extensions de navigateur. Plus de 40 extensions frauduleuses se faisant passer pour des wallets crypto ont été publiées sur Firefox. Des attaquants ont réactivé les domaines expirés de projets crypto défunts pour vider les fonds de quiconque s'y aventurait par erreur. Et deux lignes de code malveillant se sont glissées dans une extension Ethereum open-source via une pull request piégée. Le mois a également apporté quelques victoires satisfaisantes pour les défenseurs. GMX a récupéré la majeure partie d'un hack de 42 millions de dollars grâce à une prime white hat. Des agences américaines ont démantelé une vaste opération nord-coréenne de vol d'identité. Et la Grèce a effectué sa toute première saisie de crypto-actifs. L'analyse complète se trouve ci-dessous, mais d'abord...
Pionnière STEM à l'honneur : Chien-Shiung Wu, la Reine de la recherche nucléaire
La physicienne Chien-Shiung Wu, surnommée la « Reine de la recherche nucléaire », a travaillé sur le Projet Manhattan avant de concevoir l'expérience qui a renversé la loi de conservation de la parité, un principe que les physiciens tenaient simplement pour acquis. Refuser d'accepter une hypothèse « établie » sur la foi, et construire le test précis qui la prouve ou l'infirme, est précisément l'état d'esprit sur lequel repose un travail de sécurité rigoureux.
Le Snap Wise Signer utilise l'IA pour détecter les transactions suspectes
Regardez la démo percutante de Patrick Collins montrant comment son MetaMask Snap, appelé Wise Signer, utilise l'IA pour parcourir le web et déterminer si une transaction peut être vulnérable en se basant sur des adresses suspectes, des données d'appel et le réseau. Bien que ce Snap soit actuellement en bêta, vous pouvez dès maintenant consulter le code et en savoir plus sur les MetaMask Security Snaps sur notre page d'assistance. Merci, Patrick, de contribuer à ce combat essentiel.
MetaMask conserve le titre de wallet web3 le plus sécurisé selon Coinspect
MetaMask maintient sa position de numéro 1 dans le classement des wallets web3 les plus sécurisés de Coinspect sur mobile (iOS et Android) et sur Chrome. La sécurité de notre extension de navigateur a également obtenu un score de 100 % en matière de prévention des menaces.
Les arnaques aux dapps zombies en hausse avec plus de 100 incidents signalés
À propos de Coinspect, ils ont récemment mis en lumière une tendance inquiétante dans laquelle des acteurs malveillants réenregistrent les domaines de projets crypto défunts, exploitent leur réputation préalablement établie pour contourner les contrôles de sécurité, puis dépouillent les utilisateurs. Coinspect collabore avec des plateformes DeFi et des groupes de sécurité pour identifier et signaler plus de 100 de ces soi-disant dapps zombies.
GMX perd 42 millions de dollars dans une attaque par réentrance et récupère les fonds grâce à une prime white hat
Le 9 juillet, le pool de liquidité GLP V1 de GMX sur Arbitrum a perdu 42 millions de dollars lorsqu'un hacker a utilisé une attaque par réentrance pour minter des tokens GLP en excès, selon le postmortem de l'entreprise. GMX a immédiatement suspendu les échanges après avoir été alerté par Hexegate de l'exploit, et a pu retracer l'activité onchain montrant que la majorité des fonds volés avaient été échangés contre d'autres actifs numériques. GMX a proposé une prime white hat de 10 % avec la promesse d'aucune poursuite judiciaire si les fonds étaient restitués dans les 48 heures. Après avoir répondu avec le message désinvolte : « Ok, les fonds seront restitués plus tard », l'attaquant a conservé environ 4,5 millions de dollars et rendu le reste à GMX.
Le Secret Service américain récupère 400 millions de dollars en crypto sur 10 ans
Le Global Investigative Operations Center (GIOC) du Secret Service est spécialisé dans le traçage des crimes financiers numériques et détient désormais la majeure partie des crypto-actifs récupérés dans l'un des plus grands cold wallets au monde. Les enquêteurs du GIOC utilisent généralement des outils open-source, l'analyse blockchain et les informations d'enregistrement de domaines dans leurs investigations. Le Secret Service a également dispensé des formations aux forces de l'ordre et aux procureurs de 60 autres pays.
Socket lance un programme pilote pour protéger les extensions Chrome contre les attaques de la chaîne d'approvisionnement
Dans le but de se protéger contre les attaques de la chaîne d'approvisionnement causées par des malwares et des permissions risquées dans les extensions Chrome, Socket invite les développeurs à tester leur nouvelle gamme de produits qui utilise l'analyse et le scan en temps réel. L'outil a été conçu pour être léger et respectueux de la vie privée, et affiche également des métriques de risque sur les répertoires de packages tels que NPM, PyPI, Go et Maven. Les signaux de risque incluent des scripts obfusqués ou d'installation, des chaînes à haute entropie ou suspectes, des noms typo-squattés et des API risquées. Des plans sont prévus pour étendre la couverture au-delà de Chrome à l'avenir.
Du code malveillant inséré dans l'extension open-source forETHCode via une pull request frauduleuse
Des chercheurs en sécurité de ReversingLabs ont découvert deux lignes de code malveillant insérées dans une PR pour la boîte à outils open-source forETHCode. Bien que les preuves montrent que ce code particulier n'avait pas encore été utilisé pour voler des tokens ou des données, il est supposé que l'intention était « de dérober des crypto-actifs stockés sur la machine de la victime » ou de « compromettre les contrats Ethereum en cours de développement par les utilisateurs de l'extension ».
Cette nouvelle a renforcé les inquiétudes concernant la tendance aux extensions malveillantes et compromises, ainsi qu'aux attaques de la chaîne d'approvisionnement.
Des agences américaines arrêtent des opérateurs nord-coréens menant des vols d'identité dans 16 États et 100 entreprises
Fin juin, le Département de la Justice a annoncé avoir dirigé un effort coordonné ayant abouti à de multiples arrestations, mises en examen et à la saisie de plus de 200 ordinateurs portables, 29 comptes financiers et 21 sites web frauduleux. Le DOJ a découvert des activités malveillantes soutenues par la Corée du Nord dans 16 États, incluant des vols d'identité et l'infiltration de plus de 100 entreprises américaines, dont des sociétés crypto.
Une semaine plus tard, il a été rapporté que l'Office of Foreign Assets Control (OFAC) du Trésor américain avait sanctionné deux individus liés au vol et à la vente de ces informations pour les utiliser dans des arnaques à l'emploi. Les revenus générés par ces stratagèmes sont connus pour alimenter les programmes de missiles balistiques de la RPDC.
Une arnaque à l'investissement de 2 millions de livres sterling au Royaume-Uni se solde par 12 ans de prison cumulés
Raymondip Bedi et Patrick Mavanga ont été inculpés et condamnés à une peine cumulée de 12 ans pour avoir vendu des services frauduleux de conseil en crypto à au moins 65 personnes entre 2017 et 2019. Comme le rapporte Crypto Times : « Les deux hommes ont reconnu plusieurs chefs d'accusation, notamment la fraude, des violations réglementaires et le blanchiment d'argent. De plus, Mavanga a été inculpé pour falsification de preuves et possession de faux documents d'identité. » Les poursuites menées par la Financial Conduct Authority (FCA) du Royaume-Uni s'inscrivent dans un effort plus large de l'agence pour lutter contre les crimes liés aux cryptomonnaies, et la FCA tente de récupérer les fonds.
La Grèce effectue sa toute première saisie de crypto-actifs grâce à l'aide de Chainalysis
L'Autorité hellénique de lutte contre le blanchiment d'argent (HAMLA) a réalisé sa toute première saisie de fonds crypto. En collaboration avec Chainalysis et Performance Technologies, HAMLA a retracé et gelé une partie des actifs volés lors du hack de l'exchange Bybit d'une valeur de 1,5 milliard de dollars. Cet effort de récupération mondial a été rendu possible par « la puissance de la combinaison d'outils d'analyse blockchain de pointe avec une formation spécialisée et une coopération internationale pour lutter contre la criminalité crypto mondiale. » Pour rappel, Bybit a subi des pertes de 1,5 milliard de dollars lors d'un hack survenu plus tôt cette année, prétendument perpétré par le groupe Lazarus de Corée du Nord.
Plus de 40 extensions Firefox malveillantes usurpant l'identité de wallets crypto découvertes
Ce qui s'est passé
Yuval Ronen de Koi Security a partagé la découverte de plus de 40 extensions Firefox malveillantes liées à une seule campagne usurpant l'identité de wallets crypto, dont MetaMask. La menace, qui a débuté en avril 2025, est toujours active et est utilisée pour extraire des identifiants de « sites web ciblés et les exfiltrer vers un serveur distant contrôlé par l'attaquant », ainsi que pour transmettre des adresses IP externes. Ces extensions contrefaites semblent légitimes et utilisent des avis positifs de mauvaise foi pour tromper les utilisateurs. Les preuves pointent vers un auteur russophone.
Comment les utilisateurs peuvent se protéger
En parallèle de son rapport, Ronen a également partagé ses recommandations pour rester en sécurité :
N'installez des extensions que provenant d'éditeurs vérifiés, et soyez prudent même avec les listes bien notées.
Traitez les extensions de navigateur comme des actifs logiciels à part entière : soumises à une vérification, une surveillance et une application des politiques.
Utilisez une liste d'extensions autorisées et limitez l'installation aux seules extensions préapprouvées et validées. 4. Mettez en place une surveillance continue, et pas seulement un scan ponctuel. Les extensions peuvent se mettre à jour automatiquement et modifier silencieusement leur comportement après l'installation.
L'ingénierie sociale cible les joueurs et parieurs via de faux sites de casino crypto
Ce qui s'est passé
Les réseaux sociaux continuent d'être un terreau fertile pour l'ingénierie sociale visant à voler des cryptos. Krebs on Security a expliqué comment des sites de « scambling » à l'apparence légitime attirent les utilisateurs avec des publicités vantant des crédits gratuits et de faux endorsements de célébrités, comme Mr. Beast. Les utilisateurs doivent ensuite créer des comptes pour réclamer leurs « crédits » et peuvent alors interagir avec des jeux soignés et placer des paris. Cependant, ces stratagèmes de « scrambling » partagent les caractéristiques des arnaques classiques au pig butchering. L'utilisateur ne peut jamais retirer ses gains et se voit plutôt demander d'effectuer des « dépôts de vérification » supplémentaires ou de consulter des « experts en récupération ».
Comment les utilisateurs peuvent se protéger
Méfiez-vous des sites de jeux qui exigent des dépôts pour récupérer des crédits, et en particulier de ceux qui exigent des dépôts pour effectuer un retrait. Rappelez-vous que la grande majorité des services de récupération de crypto sont frauduleux, et que les services légitimes ont généralement des seuils minimums élevés se chiffrant en dizaines de milliers de dollars. Toute promotion impliquant des influenceurs doit être validée en consultant des canaux vérifiés.
La campagne BabyShark de la RPDC déploie la backdoor macOS NimDoor via des tactiques de phishing ClickFix
Ce qui s'est passé
Comme l'a rapporté en premier SentinelOne, dans une nouvelle méthode d'attaque contre les entreprises web3, des acteurs nord-coréens utilisent une nouvelle backdoor macOS basée sur Nim appelée NimDoor pour voler des identifiants et exfiltrer des données via des WebSockets chiffrés. Le malware utilise également AppleScript et l'injection de processus.
Dans le cadre de l'opération BabyShark plus large, les attaquants emploient des tactiques de phishing de type ClickFix, dans lesquelles les cibles sont pressées de cliquer sur des liens dangereux déguisés en liens anodins. Ces activités ont été liées au groupe de menace persistante avancée Kimsuky.
Comment les utilisateurs peuvent se protéger
Prenez toujours le temps de réfléchir avant de céder à la pression d'actions urgentes, et vérifiez la source de l'information. Méfiez-vous du téléchargement de fichiers dans le cadre de tout processus d'entretien. Désactivez l'exécution distante d'AppleScript, maintenez tous les systèmes et logiciels à jour (par exemple, navigateurs, extensions et runtimes de script). Soyez vigilant face aux connexions WebSocket vers des domaines inconnus, aux injections de processus inhabituelles ou aux scripts s'exécutant au démarrage des applications, ainsi qu'à la persistance via des agents de lancement ou des gestionnaires de signaux si vous utilisez macOS.
Ne vous faites pas rekt doo doo doo doo doo doo…
Le rapport de sécurité crypto de MetaMask pour juillet 2025 a couvert plus de 40 fausses extensions Firefox usurpant l'identité de wallets crypto, le hack par réentrance de 42 millions de dollars de GMX résolu grâce à une prime white hat, et les dapps zombies qui réactivent les domaines de projets crypto défunts. Consultez les éditions précédentes du rapport de sécurité crypto MetaMask pour découvrir d'autres menaces, tendances et conseils pour rester en sécurité dans l'écosystème.
