Rapport sur la sécurité crypto : novembre 2024

Chaque mois, Luker, directeur de la sécurité chez MetaMask, fait le point sur les dernières attaques crypto et les risques émergents à connaître.

Novembre 2024 a apporté son lot de titres qui donnent envie de vérifier deux fois ses serrures. Un PDG de crypto a été kidnappé en plein centre-ville de Toronto et retenu contre une rançon d'un million de dollars. ZachXBT a levé le voile sur une arnaque d'usurpation du support Coinbase à 6,5 millions de dollars. Microsoft a dressé le bilan d'une décennie d'évolution cybernétique de la Corée du Nord lors de CYBERWARCON. Mais une grand-mère IA pourrait venir à la rescousse ? L'opérateur télécom britannique O2 a décidé que la meilleure façon de combattre les arnaqueurs téléphoniques était de leur opposer une grand-mère IA qui n'arrête pas de parler de son chat.

Le mois a également été marqué par de nombreuses mises à jour de sécurité proactives. MetaMask a lancé les Signature Insight Snaps, LavaMoat a eu droit à une nouvelle démo à GitNation, SEAL a publié un modèle de simulation d'entraînement DIY, et The Red Guild a lancé Phishing Dojo pour aider les utilisateurs à se préparer face à de véritables scénarios d'arnaque. Plongez dans les détails ci-dessous, mais d'abord...

Pionnière STEM à l'honneur : Jude Milhon, la sainte patronne des hackers qui a inventé le terme « cypherpunk »

Jude Milhon, qui a inventé le terme « cypherpunk », est connue comme la sainte patronne des hackers.

Taylor Monahan de MetaMask explore les meilleures conférences sécurité de la Devcon 7 à Bangkok

Il y avait beaucoup à suivre lors de la Devcon 7 à Bangkok en novembre 2024. Heureusement, Taylor Monahan de MetaMask a sélectionné ses favoris parmi les sessions dédiées à la sécurité. Préparez vos popcorns, car ce fil est particulièrement fourni.

MetaMask lance les Signature Insight Snaps pour analyser et signaler les demandes de signature risquées

Découvrez le nouveau type de MetaMask Snaps qui contribue à renforcer la sécurité des utilisateurs : les Signature Insight Snaps. Ces Snaps analysent les demandes de signature, fournissant aux utilisateurs des informations sur leur finalité et leurs risques potentiels, contribuant ainsi à prévenir les tentatives de phishing et les accès non autorisés.

Les premières offres comprennent Kleros Scout, qui décode les demandes de signature et identifie les contrats associés pour avertir les utilisateurs des menaces potentielles, et ZyFi Paymaster Insights, qui améliore la lisibilité des transactions de signature dans l'écosystème zkSync en fournissant des informations détaillées sur les transactions liées aux paymasters. Les utilisateurs peuvent installer ces Snaps depuis le MetaMask Snaps Directory, en utilisant MetaMask Extension 12.4.2 ou une version ultérieure.

Les mécanismes des arnaques crypto explorés lors d'un lightning talk à la Devcon 2024

Drainers, simulations de transactions, pig butchering et bien plus encore... Le lightning talk de la Devcon 2024 présenté par Ohm de MetaMask Security regorge de mécanismes d'arnaques crypto.

Comment LavaMoat isole les packages npm malveillants : démo de Zbigniew Tenerowicz à GitNation

Il remet ça : la dernière conférence de Zbigniew sur la façon dont la boîte à outils open-source LavaMoat peut atténuer les risques liés à la consommation de packages NPM malveillants est disponible sur GitNation. LavaMoat isole chaque package dans son propre compartiment et fournit des outils pour définir des politiques d'accès strictes. Il prévient des menaces telles que le vol de cookies et l'accès non autorisé à des variables globales sensibles. Pour une durée limitée, nous proposons un accompagnement pour vous aider à intégrer LavaMoat dans vos projets, afin de sécuriser vos applications en toute simplicité. Contactez ZB à l'adresse [email protected] pour toute question.

Le modèle de simulation SEAL Wargames aide les équipes de protocoles à mener leurs propres exercices de sécurité

Découvrez l'article de Kelsie Nabben sur le modèle de scénario de simulation SEAL Wargames. Ce dépôt GitHub open-source, conçu et lancé par The Security Alliance, est un modèle destiné à aider les équipes de protocoles à conduire leurs propres exercices de sécurité. Le modèle offre des conseils complets sur la planification et l'exécution de scénarios de wargame, notamment :

• Des instructions étape par étape pour organiser et mener des exercices.

• Des configurations de développement et de test utilisant Foundry et Hardhat sur des forks locaux.

• Des configurations pour des forks en direct sur Tenderly.

• Des modèles pour des exercices sur table et des services de surveillance de bots intégrés avec Prometheus, Grafana et OpsGenie.

Cette initiative met l'accent sur le développement d'une culture de sécurité proactive au sein de l'écosystème blockchain, en encourageant une préparation continue face aux menaces en constante évolution. Pour plus de détails et pour accéder au modèle, consultez le dépôt GitHub.

Daisy, la grand-mère IA d'O2, fait perdre leur temps aux arnaqueurs et collecte des renseignements sur leurs tactiques

L'opérateur télécom britannique O2 a lâché Daisy, une grand-mère propulsée par l'IA qui rend aux arnaqueurs téléphoniques la monnaie de leur pièce. Daisy maintient les fraudeurs dans des conversations hilarement hors sujet sur le tricot, les chats et ses « chers vieux souvenirs », leur faisant perdre leur temps et épargnant de vraies victimes de leurs combines. Pendant que les arnaqueurs tentent de la manipuler, elle collecte des renseignements sur leurs tactiques, retournant la situation de la façon la plus charmante qui soit. Qui aurait cru que le bavardage de grand-mère pouvait être une arme secrète ?

The Red Guild lance Phishing Dojo pour une formation interactive aux arnaques crypto

Le groupe de recherche et d'éducation en sécurité The Red Guild a lancé Phishing Dojo, une plateforme interactive conçue pour aider les utilisateurs à identifier et éviter les arnaques de phishing dans l'espace crypto. Cet outil pédagogique présente des scénarios tels que des e-mails frauduleux, des sites d'airdrop frauduleux et des approbations de transactions malveillantes, permettant aux utilisateurs de s'entraîner à reconnaître et à répondre aux menaces courantes. L'initiative vise à renforcer la sensibilisation et la résilience de la communauté face aux cyberattaques de plus en plus sophistiquées ciblant l'écosystème crypto.

Microsoft expose les tactiques des acteurs de menaces cybernétiques nord-coréens et chinois lors de CYBERWARCON 2024

Des analystes de Microsoft Threat Intelligence ont présenté des recherches approfondies sur les acteurs de menaces cybernétiques nord-coréens et chinois lors de CYBERWARCON 2024. La session, intitulée « DPRK – all grown up », a mis en lumière le développement sur une décennie par la Corée du Nord de capacités cybernétiques avancées, permettant des vols de cryptomonnaies significatifs et ciblant des organisations liées aux satellites et aux systèmes d'armement. Par ailleurs, une présentation intitulée « China's evolving cyber operations » a examiné l'adoption par la Chine de nouvelles tactiques pour renforcer la sécurité opérationnelle, notamment l'exploitation d'appareils vulnérables de type SOHO (small office/home office) pour dissimuler leurs activités. Ces informations soulignent la sophistication croissante et la capacité d'adaptation des cybermenaces émanant de ces États.

ZachXBT découvre une arnaque d'usurpation du support Coinbase à 6,5 millions de dollars

Ce qui s'est passé

L'enquêteur crypto, membre de SEAL et hoopy frood accompli, ZachXBT a mis au jour une opération de phishing sophistiquée menée par l'arnaqueur Ronald Spektor, qui a usurpé l'identité du support Coinbase pour dérober plus de 6,5 millions de dollars en octobre 2024. Spektor a attiré ses victimes en se faisant passer pour le support officiel, puis a blanchi les fonds volés via des portefeuilles liés à TON, et a supprimé ses comptes sur les réseaux sociaux pour échapper à la détection. Malgré ces efforts, l'enquête de ZachXBT a identifié des fonds non retracés et des complices potentiels, laissant espérer que de nouvelles pistes pourraient émerger pour aider les victimes et les autorités à récupérer les actifs volés.

Comment les utilisateurs peuvent se protéger

Se protéger contre les arnaqueurs qui se font passer pour le support client dans l'espace crypto nécessite vigilance et mesures de sécurité proactives. Voici quelques stratégies clés :

• Vérifiez les sources : utilisez uniquement les sites officiels ou les applications pour contacter le support. Évitez les liens dans les e-mails ou sur les réseaux sociaux.

• Ignorez les contacts non sollicités : les entreprises légitimes ne prennent pas contact de manière spontanée et ne demandent pas d'action urgente.

• Protégez vos informations sensibles : ne partagez jamais vos clés privées, phrases de récupération ou mots de passe. Évitez le partage d'écran.

• Restez informé : apprenez à connaître les tactiques d'arnaque courantes et suivez des experts en sécurité de confiance.

• Utilisez des mesures de sécurité supplémentaires : activez la 2FA et les outils anti-phishing lorsqu'ils sont disponibles.

• Vérifiez les demandes : confirmez les affirmations du support via les canaux officiels avant d'agir.

Le PDG de WonderFi kidnappé à Toronto et retenu contre une rançon crypto d'un million de dollars

Début novembre 2024, Dean Skurka, PDG de la société de cryptomonnaies torontoise WonderFi, a été kidnappé en plein centre-ville de Toronto et retenu contre une rançon d'un million de dollars. L'incident s'est produit près de University Avenue et Richmond Street West, juste avant 18 heures. Les ravisseurs ont forcé Skurka à monter dans un véhicule et ont exigé la rançon, qui a été payée électroniquement. Skurka a ensuite été retrouvé sain et sauf à Centennial Park, à Etobicoke. Il a assuré le public que les fonds et les données des clients de WonderFi étaient restés sécurisés et n'avaient pas été affectés par l'incident. Les experts notent que de telles attaques, bien que rares, peuvent coïncider avec des hausses de la valeur des cryptomonnaies, les criminels pouvant percevoir les personnalités de premier plan du secteur crypto comme des cibles lucratives.

Comment les utilisateurs peuvent se protéger

Ne sous-estimez jamais l'attaque à la clé à molette, par laquelle une coercition physique (comme des menaces ou des violences) est utilisée pour forcer quelqu'un à révéler ses clés privées ou à donner accès à ses fonds crypto. Dans la mesure du possible, gardez un profil bas et évitez d'étaler vos avoirs en public. Diversifiez votre stockage en répartissant vos fonds sur plusieurs portefeuilles logiciels et matériels, en conservant la majorité de vos avoirs en cold storage. Envisagez d'utiliser des portefeuilles multi-sig et des transactions à verrouillage temporel. Et n'oubliez pas que si vous vous trouvez un jour dans cette situation, votre vie est plus importante que vos cryptos.

Le rapport de sécurité crypto de MetaMask pour novembre 2024 a couvert le kidnapping du PDG de WonderFi contre une rançon crypto d'un million de dollars, une arnaque d'usurpation du support Coinbase à 6,5 millions de dollars découverte par ZachXBT, la mise en lumière par Microsoft des capacités cybernétiques de la Corée du Nord et de la Chine lors de CYBERWARCON, ainsi que le lancement des Signature Insight Snaps par MetaMask. Consultez les éditions précédentes du MetaMask Crypto Security Report pour découvrir davantage de menaces, de tendances et de conseils pour rester en sécurité dans l'écosystème.