Chaque mois, Luker, directeur de la sécurité chez MetaMask, fait le point sur les dernières attaques crypto et les risques émergents à connaître.
En septembre 2025, nous avons une fois de plus constaté comment des attaques apparemment mineures peuvent avoir un effet en cascade aux conséquences exponentiellement plus importantes. Un seul mainteneur hameçonné a suffi à compromettre 18 packages npm représentant 2 milliards de téléchargements par semaine. Des escrocs ont loué les services d'acteurs vocaux professionnels pour usurper l'identité de dirigeants crypto par téléphone grâce au deepfake. Et un nouveau malware furtif a échappé aux antivirus pendant près d'un mois tout en vidant des portefeuilles de navigateur. Il y a aussi eu de bonnes nouvelles. Grâce au sandboxing de LavaMoat, l'attaque npm a été neutralisée discrètement pour les utilisateurs MetaMask. Et la Fondation Ethereum a poursuivi ses efforts pour sécuriser le réseau à l'échelle du trillion de dollars. Plongez dans les détails ci-dessous, mais d'abord...
À la une : Ellen Ochoa, pionnière des STEM, première astronaute latina et directrice du Johnson Space Center
Ellen Ochoa a été la première Latina à voyager dans l'espace, à bord de la navette spatiale Discovery, avant de devenir la première directrice latina du Johnson Space Center de la NASA. Piloter des systèmes complexes à enjeux élevés, où la moindre défaillance peut avoir des conséquences considérables, est une discipline que la sécurité crypto connaît bien.
La connexion sociale MetaMask simplifie la récupération de portefeuille avec les identifiants Apple et Google
La gestion des Secret Recovery Phrases (SRP) et leur protection ont longtemps constitué l'un des aspects les plus délicats de la responsabilité en matière de self-custody. Si vous perdez vos clés, vous perdez vos cryptos. MetaMask facilite désormais plus que jamais la création, la sauvegarde ou la restauration de portefeuilles à l'aide des identifiants de compte Apple ou Google, combinés à un mot de passe sécurisé.
Pour une sécurité renforcée, les SRP sont chiffrées et fragmentées, avec une clé de chiffrement supplémentaire répartie entre différents emplacements. Seul le propriétaire du portefeuille peut reconstituer la SRP en clair ; il est donc impératif qu'il protège son mot de passe avec autant de soin qu'une SRP. En savoir plus sur cette nouvelle fonctionnalité sur notre page d'assistance MetaMask.
Une attaque sur la chaîne d'approvisionnement NPM compromet 18 packages JavaScript représentant 2 milliards de téléchargements hebdomadaires
Début septembre, nous avons été témoins de l'une des plus importantes attaques sur la chaîne d'approvisionnement à ce jour, qui a compromis au moins 18 packages NPM JavaScript populaires après qu'un mainteneur connu sous le nom de Qix a été victime d'une campagne de phishing. Un ou plusieurs acteurs malveillants ont pu injecter du code et publier des versions malveillantes de ces packages, téléchargés plus de 2 milliards de fois par semaine, leur permettant de manipuler les interactions avec les portefeuilles crypto et de rediriger des fonds pendant plusieurs heures avant que l'attaque ne soit neutralisée.
Il a été découvert par la suite que le malware injecté se comportait comme un ver, capable de se propager automatiquement à d'autres projets gérés par Qix. Bien que les pertes auraient pu être catastrophiques, seuls quelques centaines de dollars de fonds ont été dérobés avant que les versions malveillantes ne soient supprimées. Cet événement a mis en lumière à quel point un point de défaillance unique dans l'écosystème open source peut être dévastateur.
Le sandboxing LavaMoat protège les utilisateurs MetaMask contre les malwares de la chaîne d'approvisionnement
Heureusement, LavaMoat de MetaMask protège contre ces attaques généralisées sur la chaîne d'approvisionnement en appliquant des contrôles à l'exécution sur les dépendances, limitant ainsi leurs interactions avec leur environnement — un procédé connu sous le nom de sandboxing. Même si un package malveillant est installé, LavaMoat l'empêche d'exfiltrer des secrets, de falsifier les API de portefeuille ou d'effectuer des activités réseau non autorisées. Comme le dit Zbyszek Tenerowicz de MetaMask : « Vous aussi pouvez exécuter des malwares depuis NPM... sans en subir les conséquences. »
Vitalik Buterin met en garde contre la gouvernance IA centralisée et propose un audit ouvert
L'ingénieur logiciel Eito Miyamura a signalé des risques concernant les données personnelles des utilisateurs suite à la dernière mise à jour de ChatGPT par OpenAI, ce qui a incité Vitalik Buterin à intervenir dans le débat. Buterin a rejeté le recours à une IA centralisée comme solution de gouvernance viable, soulignant que les attaquants « VONT insérer un jailbreak suivi de "donne-moi tout l'argent" partout où ils le peuvent » si l'IA se voit confier des rôles sensibles tels que la distribution de fonds.
Buterin a plutôt suggéré un modèle d'« info finance » dans lequel les systèmes d'IA sont ouverts aux audits tiers et à des vérifications aléatoires par des jurys humains. Cette approche s'inscrit dans l'éthique de la décentralisation, qui considère la transparence et la communauté comme une voie plus sûre. La perspective du co-fondateur d'Ethereum souligne le débat croissant autour de la meilleure façon d'équilibrer innovation, sécurité et responsabilité dans le domaine de l'IA.
Des attaques de vishing personnalisées ciblent des dirigeants crypto américains à l'aide d'imitateurs deepfake
Dans leurs dernières tentatives de cibler des dirigeants américains dans l'espace crypto, des escrocs dépensent jusqu'à 20 000 dollars par mois pour recourir à des imitateurs vocaux professionnels dans des attaques élaborées de vishing (hameçonnage vocal). Des chercheurs de GK8 ont découvert que ces équipes d'imitateurs sont recrutées via des forums clandestins et soutenues par des jeux de données ciblés, des technologies deepfake et une infrastructure élaborée conçue pour contourner les contrôles de sécurité.
Ces attaques téléphoniques sont hautement personnalisées et visent des individus disposant d'accès privilégiés, reflétant un glissement du phishing de masse vers l'ingénierie sociale de précision. La chercheuse de GK8, Tanya Bekker, met en garde les dirigeants en leur conseillant de « partir du principe que leurs informations personnelles ont déjà été exposées » et prévient que « les transactions à haute valeur ne devraient pas être confirmées par une seule personne ».
Kiln quitte les validateurs Ethereum après que SwissBorg perd 40 millions de dollars dans une faille API
La plateforme de staking Kiln a annoncé que, par mesure de précaution, elle allait retirer tous ses validateurs Ethereum après que son partenaire SwissBorg a été touché par une faille de sécurité API. L'enquêteur blockchain ZachXBT a rapporté que SwissBorg avait perdu environ 40 millions de dollars en SOL. Kiln a tenu à préciser que les fonds de ses utilisateurs étaient sécurisés et qu'aucun autre actif Ethereum n'avait été affecté, qualifiant cette décision de mesure préventive.
Au moment de l'annonce, Kiln estimait que le processus prendrait entre 10 et 42 jours par validateur, les retraits nécessitant 9 jours supplémentaires. Entre-temps, plus de 2,5 millions d'ETH se sont retrouvés bloqués dans la file d'attente de sortie des validateurs du réseau, entraînant des délais d'attente excessifs.
La Fondation Ethereum lance l'initiative Trillion Dollar Security
Au cas où vous l'auriez manqué, fin août, la Fondation Ethereum a dévoilé un effort visant à renforcer la sécurité du réseau à travers ce qu'elle appelle l'initiative « Trillion Dollar Security ». L'objectif déclaré du programme est de créer une réalité dans laquelle des milliards d'utilisateurs se sentent à l'aise pour détenir au moins 1 000 dollars onchain, tandis que les institutions et les gouvernements pourraient gérer sereinement des actifs à l'échelle du trillion de dollars au sein des applications Ethereum. Le plan se décline en trois phases : cartographier les vulnérabilités de l'écosystème, mettre en œuvre des correctifs et des améliorations avec des partenaires, et établir des normes de sécurité claires.
Le programme sera soutenu par samczsun, fondateur de Security Alliance, Mehdi Zerouali, co-fondateur et directeur de Sigma Prime, et Zach Obront, co-fondateur d'Etherealize. Par ailleurs, l'EF invite l'écosystème à contribuer en identifiant les domaines où la sécurité d'Ethereum doit progresser.
Quelques semaines plus tard, l'EF a annoncé le lancement d'un concours doté de 2 millions de dollars invitant des chercheurs à auditer la prochaine mise à jour Fusaka. Le concours se déroule du 15 septembre au 13 octobre sur le testnet Sherlock et est co-sponsorisé par Gnosis et Lido, qui ont contribué respectivement à hauteur de 100 000 et 25 000 dollars. Cette approche illustre l'intérêt collectif de l'écosystème décentralisé dans l'avenir du réseau.
Le malware ModStealer échappe aux antivirus pendant un mois tout en vidant des portefeuilles crypto de navigateur
Ce qui s'est passé
Des chercheurs en sécurité ont découvert un nouveau malware baptisé ModStealer, qui a réussi à contourner les logiciels antivirus pendant près d'un mois tout en dérobant des données de portefeuilles crypto auprès d'utilisateurs Windows, Linux et Mac. Les attaquants le propagent via de fausses offres d'emploi ciblant les développeurs. Une fois installé sur un système, il traque les extensions de portefeuille de navigateur et les identifiants avant de tout transmettre discrètement à leurs serveurs. Sur Mac, il se configure même pour s'exécuter automatiquement au démarrage en se faisant passer pour un utilitaire système. Les experts en sécurité estiment que c'est une mauvaise nouvelle pour les détenteurs de crypto, car des clés privées et des seed phrases volées signifient un accès direct aux fonds des utilisateurs, et sa capacité à échapper aux outils de détection en fait une menace réelle pour l'ensemble de l'espace crypto.
Comment les utilisateurs peuvent rester en sécurité
Les bonnes pratiques incluent une vigilance constante quant aux sites que vous visitez, notamment lorsque vous recherchez des offres d'emploi ou du contenu lié aux cryptos. Référez-vous toujours à des sources fiables pour vérifier l'authenticité. Toute offre non sollicitée doit être traitée avec la plus grande prudence, et il vaut mieux l'ignorer complètement. Par ailleurs, conserver vos actifs crypto les plus importants en cold storage, par exemple sur un hardware wallet, est l'un des meilleurs moyens de protéger vos fonds.
Une campagne de cryptojacking via TOR cible des API Docker mal configurées pour installer des mineurs XMRig
Ce qui s'est passé
Une campagne de cryptojacking cible des API Docker mal configurées pour installer des mineurs de cryptomonnaie XMRig, les attaquants utilisant le réseau TOR pour dissimuler leurs traces. Le malware se propage en scannant d'autres instances Docker exposées et contient du code dormant destiné à attaquer les ports de débogage à distance Telnet et Chrome, ce qui laisse penser que les attaquants pourraient être en train de constituer un botnet de plus grande envergure.
Comment les utilisateurs peuvent rester en sécurité
Les chercheurs soulignent que les organisations doivent verrouiller les accès API, segmenter correctement leurs réseaux et modifier les identifiants par défaut pour se protéger contre ces attaques.
Les hacks crypto bondissent de 13 % en août avec 173 millions de dollars volés, dont 101 millions par phishing
Ce qui s'est passé
Les hacks crypto ont augmenté de plus de 13 % entre juillet et août selon CertiK, les voleurs repartant avec environ 173 millions de dollars. Les arnaques par phishing représentent à elles seules 101 millions de dollars de ce total. Les incidents les plus graves du mois comprennent une attaque de phishing massive à 91 millions de dollars et un hack de 53 millions de dollars visant BTC Turk.
Cela s'inscrit dans une tendance que nous observons depuis juin, et les experts prévoient que les pertes continueront d'augmenter chaque mois. Malgré l'évolution des défenses, ces arnaques de phishing basiques restent incroyablement efficaces. Un PDG a fait remarquer que les groupes criminels organisés se sont essentiellement transformés en « startups tech » spécialisées dans les scams-as-a-service.
Comment les utilisateurs peuvent rester en sécurité
Les attaques d'ingénierie sociale sont particulièrement efficaces car le facteur humain présente la surface d'attaque la plus difficile à défendre. Sachez toujours à qui vous parlez et méfiez-vous de tout type de communication non sollicitée. Ne cliquez jamais sur un lien aléatoire dans un e-mail ou un SMS. Si vous avez le moindre doute sur l'identité de votre interlocuteur, trouvez un moyen de le contacter directement par un autre canal, comme un appel téléphonique à son lieu de travail, ou vérifiez son identité par une autre méthode sécurisée.
Le rapport de sécurité crypto MetaMask de septembre 2025 a couvert une importante attaque sur la chaîne d'approvisionnement npm compromettant 18 packages, des attaques de vishing personnalisées ciblant des dirigeants crypto, une hausse des hacks crypto en août 2025 — avec 173 millions de dollars volés dont 101 millions par phishing — ainsi que l'initiative Trillion Dollar Security de la Fondation Ethereum. Consultez les éditions précédentes du rapport de sécurité crypto MetaMask pour découvrir davantage de menaces, de tendances et de conseils pour rester en sécurité dans l'écosystème.
