Chaque mois, Luker de MetaMask fait le point sur l'actualité mondiale de la sécurité crypto. Plongez dans le vif du sujet ci-dessous.
À la une : Marian Rejewski, pionnier des STIM et briseur du chiffre Enigma
Le cryptologue polonais Marian Rejewski a mené l'analyse initiale qui a permis d'exploiter la machine de chiffrement ENIGMA de l'Allemagne nazie.
Les agents nord-coréens délaissent les faux emplois pour recruter des collaborateurs sur les plateformes freelance
Le chercheur Heiner Garcia de Security Alliance (SEAL) a publié un rapport documentant l'évolution du comportement des agents nord-coréens : ils ne cherchent plus à décrocher directement des postes en informatique, mais recrutent désormais des collaborateurs via des plateformes telles qu'Upwork, Freelancer, Fiverr et GitHub. « Plutôt qu'un opportunisme isolé, l'ampleur et la cohérence des éléments recueillis suggèrent un schéma coordonné et reproductible : les acteurs adaptent rapidement leurs tactiques, partagent des manuels opérationnels et déploient des scripts structurés pour intégrer des collaborateurs », indique Garcia.
15 à 20 % des entreprises crypto déjà infiltrées par des candidats nord-coréens
Cette analyse a été prolongée lors de Devconnect par un autre membre de SEAL, Pablo Sabbatella, qui a exhorté les entreprises crypto à renforcer leur sécurité opérationnelle. Il a affirmé que ces entreprises sont particulièrement attractives pour les acteurs malveillants de la RPDC, qui représentent 30 à 40 % de leurs candidats, et que 15 à 20 % des entreprises crypto ont déjà été infiltrées.
Les campagnes GhostCall et GhostHire ciblent les dirigeants et développeurs crypto
Une récente enquête de Kaspersky a mis au jour GhostCall et GhostHire : deux campagnes complémentaires orchestrées par le groupe APT BlueNoroff, ciblant respectivement les dirigeants et les développeurs.
Le Trésor américain sanctionne des banquiers nord-coréens liés au blanchiment de crypto
Le département du Trésor américain a ciblé ce mois-ci plusieurs banquiers nord-coréens avec des sanctions pour des activités de blanchiment d'argent liées à une opération criminelle crypto d'envergure mondiale. La totalité des 53 portefeuilles associés contenait de l'USDT qui, selon des sources, était destiné au programme d'armement du régime.
Parallèlement, Europol et Eurojust ont démantelé une vaste opération de blanchiment de crypto impliquant plus de 600 sociétés écrans. Lors de la récente Conférence mondiale sur les finances criminelles et les crypto-actifs, Europol a déclaré : « Les forces de l'ordre, les partenaires du secteur privé et le monde académique renforcent rapidement leur capacité à contrer les menaces posées par les crimes sophistiqués liés aux cryptomonnaies et le blanchiment d'argent. Des outils avancés réduisent la dépendance au traçage manuel, tandis qu'une série d'opérations transfrontalières réussies illustre la puissance de la collaboration. »
Une erreur d'arrondi exploitée dans Balancer V2 entraîne le vol de 128 millions de dollars et l'arrêt du réseau Berachain
Début novembre, il a été rapporté qu'environ 128 millions de dollars en crypto avaient été dérobés dans les pools de liquidité de Balancer, poussant Berachain à interrompre et forker son réseau. Une analyse ultérieure a révélé qu'une faille critique dans le mécanisme de fournisseur de taux de Balancer V2, se résumant à une erreur d'arrondi, était à l'origine de l'exploit. Des correctifs ont depuis été mis en place, mais l'événement a suscité des discussions sur les dangers du « vibe coding » et des pratiques de développement insuffisamment rigoureuses.
Le portail australien ReportCyber détourné pour du phishing crypto imitant la police fédérale
Des escrocs détournent le portail officiel ReportCyber australien pour se faire passer pour la police fédérale et voler des cryptomonnaies. Le système ne vérifiant pas l'identité des expéditeurs de signalements, des criminels peuvent envoyer de faux avis d'apparence officielle affirmant que les portefeuilles des destinataires ont été signalés pour activité suspecte.
Erin West nous rappelle que nous sommes tous susceptibles d'être victimes d'escrocs et nous plonge dans l'univers tragique du « pig butchering ».
Des utilisateurs crypto arnaqués par un faux exploit promettant des profits sur swapzone.io
Attirés par des promesses de gains rapides et abondants, des utilisateurs de swapzone.io sont piégés en exécutant du code JavaScript malveillant directement dans leur navigateur. Des e-mails usurpés affirment qu'un exploit zero-day peut être manipulé pour générer des gains. Une fois exécuté, le code télécharge un programme caché plus volumineux qui manipule ce que les victimes voient à l'écran, gonfle les montants de paiement de 37 % ou plus et ajoute de faux comptes à rebours pour créer un sentiment d'urgence. Plus grave encore, il détourne le processus de transaction en remplaçant silencieusement l'adresse du portefeuille destinataire par une adresse contrôlée par les attaquants.
Comment les utilisateurs peuvent se protéger
Ne collez jamais de fragments de code dans la barre d'adresse de votre navigateur s'ils proviennent de sources non fiables. Méfiez-vous des e-mails promettant des profits garantis ou des exploits secrets, en particulier ceux qui vous incitent à agir rapidement avant l'application de correctifs. Vérifiez attentivement les adresses des expéditeurs et enregistrez les sites officiels des services DEX/CEX dans vos favoris pour éviter de cliquer sur des liens dans des e-mails non sollicités.
L'extension Chrome malveillante « Safery » vole les phrases de récupération secrètes via des microtransactions Sui
L'équipe de recherche sur les menaces de Socket a découvert une extension Chrome malveillante appelée « Safery: Ethereum Wallet », conçue pour voler les phrases de récupération secrètes (SRP, aussi appelées seed phrases) des utilisateurs. Safery a été mise en ligne sur le Chrome Web Store le 29 septembre 2025, mais a été retirée après la publication du rapport de Socket à la mi-novembre. Le faux portefeuille contenait une backdoor qui exfiltrait les SRP en « les encodant dans des adresses Sui et en diffusant des microtransactions depuis un portefeuille Sui contrôlé par l'acteur malveillant ».
Comment les utilisateurs peuvent se protéger
Vérifiez attentivement le classement et les avis des extensions de portefeuille : les portefeuilles légitimes disposent généralement de milliers d'avis et d'une réputation établie, contrairement aux nouvelles entrées. Renseignez-vous soigneusement sur tout portefeuille en consultant le site officiel du projet, ses réseaux sociaux et ses forums communautaires pour en confirmer l'authenticité. Soyez attentif aux signaux d'alerte tels que les adresses e-mail génériques, les politiques de confidentialité vagues ou les développeurs sans historique établi dans l'espace crypto.
Le spyware DarkComet RAT refait surface dissimulé dans de fausses applications de portefeuille Bitcoin
Dans d'autres nouvelles liées aux faux portefeuilles, un outil espion vieux de 16 ans, DarkComet RAT (abréviation de remote access trojan), a été dissimulé dans de fausses applications de portefeuille et de trading Bitcoin. L'équipe Lat61 Threat Intelligence de Point Wild a découvert la dernière version distribuée sous forme d'archive RAR compressée contenant un exécutable nommé « 94k BTC wallet.exe », compressé avec UPX pour échapper à la détection. Une fois que les victimes lancent le fichier déguisé, le RAT se copie dans des dossiers système cachés et commence à enregistrer chaque frappe au clavier, y compris les mots de passe et les clés privées. Le malware intègre également des fonctionnalités de vol de fichiers, d'espionnage par webcam et de contrôle complet du bureau à distance.
Comment les utilisateurs peuvent se protéger
Téléchargez les portefeuilles et applications exclusivement depuis les sites officiels ou les boutiques d'applications vérifiées, jamais depuis des sites tiers ou des liens non sollicités. Méfiez-vous immédiatement des fichiers exécutables promettant un accès à des fonds, car les portefeuilles légitimes ne sont généralement pas préchargés de cette façon. Évitez d'ouvrir des archives RAR ou ZIP provenant de sources inconnues, en particulier celles prétendant contenir des logiciels de portefeuille, car il s'agit d'une méthode de distribution courante pour les malwares.
Ce rapport de novembre 2025 a couvert le recrutement de collaborateurs par des agents nord-coréens sur des plateformes freelance, un exploit Balancer de 128 millions de dollars causé par une erreur d'arrondi, ainsi que de fausses extensions et applications de portefeuille volant des phrases de récupération secrètes et des identifiants. Consultez les éditions précédentes du rapport de sécurité crypto MetaMask pour découvrir d'autres menaces, tendances et conseils pour rester en sécurité dans l'écosystème.
