Chaque mois, Luker, directeur de la sécurité chez MetaMask, fait le point sur les dernières attaques crypto et les risques émergents à connaître.
Juin 2025 a été un mois marqué par l'ampleur des attaques comme des démantèlements d'arnaques. Interpol a démantelé 20 000 adresses IP malveillantes et arrêté 32 personnes dans le cadre d'une campagne mondiale d'infostealers. Le DOJ américain a annoncé sa plus grande saisie jamais réalisée liée au « pig butchering », à hauteur de 225 millions de dollars. Mais le groupe Lazarus a répondu avec la même intensité, blanchissant des milliards en cryptomonnaies volées via l'infrastructure à faibles frais de Tron, piratant la plateforme d'échange taïwanaise BitoPro pour 11 millions de dollars, et continuant à s'infiltrer dans des entreprises américaines sous de fausses identités de travailleurs IT. Plus près de nous, Taylor Monahan, de l'équipe sécurité MetaMask, a expliqué pourquoi les exploits EIP-7702 sont un problème de clé privée, et non un problème lié à Pectra. Par ailleurs, notre société mère, Consensys, a acquis Web3Auth afin de simplifier la récupération de portefeuille et de renforcer encore davantage la sécurité de MetaMask. Plongez dans les détails ci-dessous, mais d'abord...
Pionnière des STIM à l'honneur : Nergis Mavalvala et la détection des ondes gravitationnelles
Nergis Mavalvala a contribué à la détection des ondes gravitationnelles dans le cadre du projet LIGO et à des expérimentations en science de la mesure quantique.
Consensys acquiert Web3Auth pour simplifier la récupération du portefeuille MetaMask et la gestion des clés
Nous parlons beaucoup d'attaques malveillantes dans ces rapports, mais saviez-vous que 35 % des utilisateurs ne sauvegardent pas correctement leur Phrase de Récupération Secrète, les exposant ainsi à un risque de perte de fonds ? Comme l'a formulé Dan Finlay, co-fondateur de MetaMask, dans ses propres mots : « Ne la partagez avec personne, mais ne la perdez pas non plus — c'est un équilibre vraiment difficile à tenir. »
C'est pourquoi nous sommes ravis d'annoncer que la société mère de MetaMask, Consensys, a acquis Web3Auth, l'un des principaux fournisseurs d'infrastructure de gestion de clés et de portefeuilles intégrés. En intégrant les capacités de Web3Auth, les utilisateurs de MetaMask pourront créer et récupérer des portefeuilles grâce à des méthodes d'authentification web2 familières, telles que les connexions sociales et l'authentification basée sur l'appareil. L'acquisition offre également aux développeurs un accès aux SDK de portefeuilles intégrés et à l'infrastructure de gestion de clés, rendant la gestion des portefeuilles plus simple et plus fluide.
Mises à jour LavaMoat : le plugin Webpack atteint la version 1.0, première version du lockdown React Native
@lavamoat/webpack atteint la version 1.0
Après un audit réalisé par OtterSec, la prise en charge des chunks chargés dynamiquement et une refactorisation pour améliorer la maintenabilité, notre plugin Webpack a atteint la version 1.0 et est considéré comme stable et prêt à l'emploi. La prochaine étape prévoit des améliorations de sécurité optionnelles.
La réécriture de @lavamoat/node ajoute la prise en charge complète d'ESM
Nous avons non seulement réussi à faire fonctionner lockdown() de Hardened JavaScript dans les contraintes du moteur Hermes dans React Native, mais nous avons également trouvé un moyen de le livrer aux développeurs dans un package soigné qui s'intègre via le fichier de configuration Metro. Nous avons publié une version très préliminaire et recherchons des retours de tests et des commentaires. Essayez-le et partagez votre expérience.
Au cas où vous l'auriez manqué, nous avons également d'autres projets en cours :
@lavamoat/node
Bien qu'encore en cours de développement, notre réécriture complète de LavaMoat pour Node.js est déjà fonctionnelle. Elle introduit la prise en charge complète d'ESM et des améliorations de l'expérience développeur (DX) pour ceux qui exécutent des commandes depuis des packages npm. lavamoat-node est toujours pris en charge et stable, bien qu'il soit éventuellement déprécié en raison de l'absence de prise en charge d'ESM.
Au fur et à mesure que nous développons de nouvelles fonctionnalités, certaines sont intégrées dans lavamoat-node. Vous pouvez désormais obtenir un contrôle d'accès plus précis sur les variables globales marquées comme modifiables ailleurs. Des améliorations dans l'ordre des fichiers de politique ont été intégrées dans tous les outils LavaMoat, permettant la génération de fichiers policy.json. Git diff a été optimisé pour n'indiquer que les changements réels et minimiser le réordonnancement des ressources listées lors de la mise à jour de votre arbre de dépendances.
@lavamoat/git-safe-dependencies valide la sécurité des packages provenant de sources git
Nous avons publié un nouvel outil qui sert de validateur opinionné pour prévenir les problèmes de sécurité liés à l'installation de dépendances (ou d'actions GitHub) directement depuis des dépôts git. Sa publication a été suivie d'un article dans le numéro 6 du magazine PagedOut!.
Cryptonews classe MetaMask parmi les portefeuilles les plus sécurisés après une évaluation indépendante
Cryptonews a récemment examiné la sécurité du portefeuille MetaMask, et nous sommes reconnaissants pour leur évaluation selon laquelle « avec plus de 30 millions d'utilisateurs actifs et huit ans d'expérience », MetaMask a consolidé sa réputation en tant que « choix très sûr, doté de nombreuses fonctionnalités de sécurité et d'une équipe de développement active engagée à améliorer son niveau de sécurité ». L'article met en avant nos fonctionnalités de sécurité et donne des conseils sur les bonnes pratiques en matière de self-custody. Merci Cryptonews !
Taylor Monahan sur les exploits EIP-7702 : le problème vient de la sécurité des clés privées, pas de Pectra
La récente mise à niveau Pectra d'Ethereum a introduit l'EIP-7702, visant à améliorer l'expérience utilisateur en permettant aux portefeuilles de fonctionner temporairement comme des smart contracts. Cependant, cette fonctionnalité a été exploitée par des acteurs malveillants. L'analyse de Wintermute a révélé que plus de 80 % des délégations EIP-7702 étaient liées à un seul script malveillant surnommé « CrimeEnjoyor », conçu pour vider automatiquement les portefeuilles dont les clés sont compromises. Un incident notable a impliqué un utilisateur perdant près de 150 000 dollars lors d'une attaque de phishing facilitée par ce script.
Taylor Monahan, de l'équipe sécurité MetaMask, a souligné que le problème central n'est pas l'EIP-7702 en lui-même, mais le défi persistant que représente la sécurisation des clés privées par les utilisateurs. Elle a noté que si l'EIP-7702 offre des fonctionnalités avancées, il fournit également aux attaquants des moyens plus efficaces d'exploiter les clés compromises. Cette situation souligne l'importance d'une gestion robuste des clés privées et d'une vigilance accrue des utilisateurs dans l'écosystème Ethereum en constante évolution.
Des acteurs malveillants nord-coréens s'infiltrent dans des entreprises américaines, piratent BitoPro pour 11 millions de dollars et blanchissent des milliards via Tron
Dans trois articles connexes publiés en juin, on constate que les menaces persistantes avancées provenant de Corée du Nord ne montrent aucun signe de ralentissement.
Le Département de Justice américain cherche à confisquer 7,7 millions de dollars en cryptomonnaies liés à des hackers nord-coréens qui se sont fait passer pour des travailleurs IT afin de s'infiltrer dans des entreprises américaines. Ces individus ont utilisé de fausses identités pour décrocher des emplois à distance, ont reçu des paiements en stablecoins et ont blanchi les fonds par diverses méthodes avant de les transférer au gouvernement nord-coréen. Les experts avertissent que de telles opérations, utilisant souvent des personas générés par IA et des technologies de deepfake, pourraient générer des centaines de millions de dollars par an pour le régime.
BitoPro, une plateforme d'échange de cryptomonnaies taïwanaise, a perdu 11 millions de dollars lors d'un piratage survenu le 8 mai 2025, pendant une mise à jour du système de hot wallet. L'attaque est attribuée au groupe Lazarus de Corée du Nord, qui a utilisé des malwares et des tokens AWS volés pour contourner la sécurité et vider des fonds sur plusieurs blockchains. Les cryptomonnaies volées ont ensuite été blanchies via des mixers et des plateformes d'échange décentralisées. BitoPro a depuis restauré les portefeuilles et confirmé l'absence de toute implication interne.
Le groupe Lazarus de Corée du Nord blanchit des milliards de cryptomonnaies volées via des plateformes de finance décentralisée, en exploitant notamment l'infrastructure à faibles frais de la blockchain Tron. Selon l'analyste on-chain ZachXBT, le groupe opère au sein d'un réseau souterrain de courtiers qui utilisent des pools de swap, de nouveaux portefeuilles et des méthodes de trading peer-to-peer, rendant difficile le traçage des fonds illicites estimés entre 5 et 10 milliards de dollars.
Les critiques soulignent que des plateformes comme Tron manquent de contrôles efficaces, permettant ainsi de telles opérations de blanchiment à grande échelle. Bien que TRON DAO affirme soutenir les efforts anti-criminalité en collaboration avec des entités comme Tether et TRM Labs, beaucoup estiment que ces mesures sont réactives et insuffisantes. ZachXBT souligne que l'industrie crypto dans son ensemble traverse un « supercycle criminel », avec des piratages massifs et une responsabilisation minimale.
Interpol démantèle 20 000 adresses IP malveillantes et arrête 32 personnes dans le cadre d'un démantèlement mondial d'infostealers
L'« Opération Secure » d'Interpol a réussi à démanteler plus de 20 000 adresses IP et domaines malveillants liés à des malwares de type infostealer. Cet effort coordonné, impliquant des agences de maintien de l'ordre de 26 pays et des partenaires du secteur privé tels que Group-IB, Kaspersky et Trend Micro, a conduit à la saisie de 41 serveurs et à l'arrestation de 32 individus liés à des activités cybercriminelles. Les infostealers sont des logiciels malveillants conçus pour extraire des données sensibles telles que des mots de passe, des informations de carte de crédit et des informations de portefeuilles de cryptomonnaies depuis les appareils infectés. L'opération a également permis de notifier plus de 216 000 victimes et victimes potentielles, leur permettant de prendre des mesures de protection immédiates.
Les États-Unis récupèrent 225 millions de dollars dans la plus grande saisie jamais réalisée liée au pig butchering
Le Département de Justice américain a annoncé sa plus grande récupération de fonds jamais réalisée liée à des arnaques à l'investissement crypto connues sous le nom de « pig butchering », où les victimes sont manipulées sur la durée pour en extraire un maximum de valeur. Le gouvernement s'emploie désormais à restituer autant que possible des fonds saisis aux plus de 400 victimes.
Une attaque de la chaîne d'approvisionnement sur CoinMarketCap vide 43 000 dollars via du code malveillant injecté
Ce qui s'est passé
Le site de suivi des prix de cryptomonnaies CoinMarketCap a été victime d'une attaque de la chaîne d'approvisionnement qui a exposé les visiteurs à une campagne de vidage de portefeuilles. Des hackers ont exploité une vulnérabilité dans l'image doodle de la page d'accueil du site pour injecter du JavaScript malveillant, déclenchant de faux pop-ups de connexion de portefeuille Web3. Les utilisateurs peu méfiants qui ont connecté leurs portefeuilles ont vu leurs cryptomonnaies vidées, avec plus de 43 000 dollars volés à 110 victimes. Cette attaque met en lumière la menace croissante des wallet drainers, qui exploitent des éléments de confiance des plateformes pour cibler les utilisateurs de crypto. Bien que le code malveillant ait été rapidement supprimé, CMC indique qu'une enquête est toujours en cours.
Comment les utilisateurs peuvent se protéger
Pour vous protéger des attaques de vidage de portefeuille, vérifiez toujours la légitimité des pop-ups Web3 avant de connecter votre portefeuille. Évitez de cliquer sur des liens suspects ou d'interagir avec des pop-ups sur des sites inconnus, et envisagez d'utiliser des hardware wallets pour vos avoirs crypto importants. Heureusement, la perte totale de cet incident a été en partie atténuée grâce aux réponses de sécurité rapides des praticiens en sécurité et des simulateurs de transactions qui ont averti de nombreuses victimes potentielles avant qu'elles ne perdent leurs fonds.
CoinTelegraph compromis avec un faux pop-up d'airdrop faisant la promotion de tokens CTG inexistants
Ce qui s'est passé
Le site web de CoinTelegraph a été compromis via un exploit front-end qui affichait un faux pop-up d'airdrop faisant la promotion de tokens CTG inexistants. Le pop-up affirmait faussement que les utilisateurs pouvaient recevoir 5 500 dollars en connectant leurs portefeuilles et citait un faux audit CertiK pour paraître digne de confiance.
Le média blockchain a rapidement mis en garde les utilisateurs contre toute interaction avec ces pop-ups et supprimé le code non autorisé. La publication en ligne a depuis affirmé avoir « renforcé [ses] contrôles de sécurité pour prévenir tout incident similaire à l'avenir ».
Comment les utilisateurs peuvent se protéger
Les utilisateurs doivent se méfier des pop-ups ou offres inattendus, en particulier ceux promettant de grandes récompenses financières en échange de la connexion d'un portefeuille. Avant d'interagir avec de telles invitations, les utilisateurs doivent vérifier la légitimité des informations via des sources officielles. Par précaution supplémentaire, les utilisateurs devraient comparer les messages provenant des réseaux sociaux vérifiés de l'organisation, de son site web et d'autres activités marketing de confiance.
Le formulaire de support Trezor exploité pour envoyer des emails de phishing ciblant les sauvegardes de portefeuilles
Ce qui s'est passé
Le fabricant de hardware wallets Trezor a émis une alerte de sécurité après que des attaquants ont abusé de son formulaire de contact d'assistance en ligne pour envoyer des emails de phishing déguisés en réponses légitimes du support. Ces emails frauduleux visaient à inciter les utilisateurs à partager leurs sauvegardes de portefeuille, qui doivent toujours rester privées et hors ligne. Trezor a confirmé qu'aucune violation de ses systèmes ou données utilisateurs n'a eu lieu, et la campagne de phishing a été contenue. L'entreprise a souligné l'importance de la vigilance et a lancé une enquête pour prévenir tout abus futur.
Comment les utilisateurs peuvent se protéger
Pour éviter les arnaques de phishing, ne partagez jamais votre sauvegarde de portefeuille ou vos clés privées, même si la demande semble légitime. Vérifiez toujours l'authenticité des communications. Méfiez-vous des emails non sollicités, en particulier ceux demandant des informations sensibles, et évitez de cliquer sur des liens ou de télécharger des pièces jointes provenant de sources inconnues.
SparkKitty et Crocodilus : des malwares mobiles volant les seed phrases crypto et les identifiants bancaires
Ce qui s'est passé
SparkKitty s'infiltre sur les appareils iOS et Android via des applications malveillantes trouvées sur les stores officiels ainsi que via des applications sideloadées comme de faux clones TikTok et des plateformes de jeux d'argent. Une fois installé, SparkKitty demande l'accès à la galerie photo de l'appareil et utilise la reconnaissance optique de caractères pour scanner les images à la recherche d'informations sensibles, notamment les seed phrases de portefeuilles de cryptomonnaies. Après avoir trouvé de telles données, il transmet les informations aux attaquants, compromettant ainsi les actifs numériques des utilisateurs.
Crocodilus est un nouveau cheval de Troie bancaire Android qui représente une menace significative pour les utilisateurs à l'échelle mondiale. Le malware se fait passer pour des applications légitimes, comme Google Chrome, pour tromper les utilisateurs. Une fois installé, il demande des autorisations d'accessibilité, lui permettant d'effectuer des actions telles que la capture du contenu de l'écran, l'enregistrement des frappes clavier et la superposition de faux écrans de connexion pour collecter des identifiants. Il cible spécifiquement les applications bancaires et de cryptomonnaies, dans le but d'extraire des informations sensibles et de vider les comptes des utilisateurs.
Comment les utilisateurs peuvent se protéger
Ne téléchargez des applications qu'à partir de sources fiables et méfiez-vous de celles qui demandent l'accès aux photos, au contenu de l'écran ou aux fonctionnalités d'accessibilité. Évitez de stocker des informations sensibles comme les secret recovery phrases dans votre galerie photo, et utilisez plutôt des méthodes de stockage sécurisées telles que des hardware wallets ou des gestionnaires de mots de passe chiffrés. Maintenez votre appareil et vos applications à jour pour corriger les vulnérabilités, et envisagez d'utiliser un logiciel de sécurité mobile réputé pour détecter et bloquer les malwares. Rester informé des menaces émergentes et pratiquer une bonne hygiène numérique peut contribuer grandement à protéger vos cryptomonnaies et vos données personnelles.
Le rapport de sécurité crypto de MetaMask pour juin 2025 a couvert les opérateurs nord-coréens blanchissant des milliards via Tron, le démantèlement par Interpol de 20 000 adresses IP malveillantes liées à des infostealers, et les malwares mobiles ciblant les seed phrases crypto sur iOS et Android. Consultez les éditions précédentes du Rapport de sécurité crypto MetaMask pour découvrir d'autres menaces, tendances et conseils pour rester en sécurité dans l'écosystème.
