Une arnaque de phishing Trezor promue par une annonce sponsorisée par Google aurait drainé les économies de toute une vie d'un utilisateur, selon la victime. Par ailleurs, BTCPay Server a expédié un correctif d'urgence pour une faille critique déjà exploitée activement.
Les deux incidents se sont produits dans un intervalle d'environ 24 heures l'un de l'autre. Aucun d'eux n'a touché le protocole Bitcoin (BTC) lui-même, mais tous deux ont mis les fonds des utilisateurs en danger direct.
Les annonces Google dirigent les victimes vers un site de phishing Trezor
La victime, postant sur X (Twitter) sous le nom de David, a blâmé une annonce de recherche sponsorisée jeudi. Selon le rapport, l'annonce a placé une page Trezor contrefaite, hébergée sur Google Sites, au-dessus du véritable site web du fabricant de portefeuilles.
Quiconque a saisi une phrase de récupération sur la page a remis aux attaquants le contrôle total de son portefeuille.
Les données on-chain montrent que le portefeuille signalé dans le rapport a reçu 24,04 BTC à travers 80 transactions. Ce montant équivaut à environ 1,6 million de dollars au prix actuel du Bitcoin, près de 65 172 $. Cependant, presque tout a été déplacé, ne laissant derrière que 0,04 BTC.
Trezor a déclaré avoir escaladé le cas en interne et signalé la page pour suppression.
« Pour tous ceux qui lisent : vérifiez toujours que vous utilisez le site officiel de Trezor et n'entrez jamais votre sauvegarde de portefeuille sur un site ou un formulaire », a exhorté l'équipe.
Le matériel lui-même n'a jamais été compromis. L'attaque a fonctionné parce que la phrase a quitté l'appareil. Le scénario rappelle un faux site de phishing Uniswap qui a drainé 400 000 $ de portefeuilles en mai.
BTCPay Server publie en urgence un correctif pour une faille exploitée
Pendant ce temps, BTCPay Server, un logiciel open-source qui permet aux commerçants d'accepter des paiements en bitcoin directement, a émis son propre avertissement vendredi.
Suivez-nous sur X pour obtenir les dernières nouvelles au fur et à mesure qu'elles se produisent
L'équipe a demandé aux opérateurs de mettre à jour vers la version 2.4.2 immédiatement ou d'éteindre les serveurs jusqu'à ce qu'ils puissent le faire.
« Cette version contient la correction d'une vulnérabilité critique qui est activement exploitée. Vous devez mettre à jour aussi vite que possible », indiquent les notes de version du projet.
L'équipe de sécurité Bitcoin Red, un groupe de recherche en sécurité bénévole, a signalé la faille aux développeurs.
Cependant, le simple patchage ne met pas fin au nettoyage. Les opérateurs doivent également rafraîchir les macaroons, les identifiants d'accès sur lesquels reposent les nœuds Lightning, ainsi que les chaînes d'authentification pour d'autres backends.
Quiconque a généré un portefeuille chaud à l'intérieur de BTCPay devrait déplacer ces fonds et le recréer. Les intégrateurs devraient également mettre à jour NBXplorer, un outil d'indexation compagnon, vers la version 2.6.10.
Pourquoi les deux incidents sont importants pour la garde autonome de Bitcoin
Une attaque a exploité la confiance dans les annonces de recherche. En revanche, l'autre a exploité le code exécuté sur les serveurs des commerçants. Les deuxont contourné le modèle de sécurité de Bitcoin et ont frappé le logiciel et les habitudes qui l'entourent à la place.
Le phishing reste la menace la plus coûteuse dans la crypto. Les pertes dues au vol de crypto en janvier ont atteint environ 400,3 millions de dollars, et une attaque de phishing a représenté plus de 70 % de ce chiffre.
Google n'a pas encore expliqué comment l'annonce frauduleuse a passé la révision. La rapidité avec laquelle la page est supprimée et le nombre d'opérateurs BTCPay qui réagissent à temps détermineront l'ampleur des dégâts.
Source : BeInCrypto
