Les cryptomonnaies enregistrent 62 M$ de pertes suite à des arnaques par empoisonnement d'adresses

Comment les erreurs de portefeuille et le phishing ont conduit à 62 millions de dollars de pertes en crypto-monnaies

Deux utilisateurs de crypto-monnaies ont perdu 12,25 millions de dollars et 50 millions de dollars après avoir copié des adresses de portefeuille incorrectes, selon CryptoPotato. Le total combiné de 62 millions de dollars montre comment une seule erreur de copier-coller peut dégénérer en une perte on-chain permanente. Dans chaque cas, un transfert mal adressé a déplacé des fonds vers une destination non prévue sans recours pratique.

Le détournement d'adresse, une tactique qui insère une adresse similaire dans l'activité récente d'une victime afin qu'elle soit ensuite copiée par erreur, émerge comme l'une des arnaques les plus coûteuses du secteur des crypto-monnaies, selon Invezz. Les attaquants exploitent des comportements routiniers, et non nécessairement des vulnérabilités logicielles.

Les erreurs opérationnelles au niveau des plateformes d'échange constituent une catégorie de risque distincte du phishing côté utilisateur. Les régulateurs sud-coréens ont ouvert des enquêtes sur Bithumb après que la plateforme ait accidentellement envoyé environ 43 milliards de dollars de Bitcoin en raison d'une erreur interne, selon Decrypt. Cet incident reflète une défaillance de traitement institutionnel, tandis que le détournement d'adresse et les erreurs de copier-coller sont des voies initiées par l'utilisateur.

Pourquoi c'est important maintenant et mesures immédiates pour prévenir les pertes

Ces incidents sont importants maintenant car les pertes proviennent de flux de travail quotidiens comme la copie d'un destinataire à partir d'un chat ou d'une liste d'activité récente. Le renforcement de la vérification de base autour des adresses de destination peut réduire significativement l'exposition.

Les pratiques de réduction des risques incluent la validation de l'intégralité de la chaîne de destination à partir d'une source indépendante et fiable et éviter de s'appuyer sur des adresses récemment consultées. De nombreuses plateformes proposent des listes blanches d'adresses et des alertes de transaction, et un petit transfert de test peut confirmer qu'une nouvelle adresse se comporte comme prévu. Les clés privées et les seed phrases ne doivent jamais être partagées, et les contacts de « support » non sollicités méritent un scepticisme extrême.

Les directives de la plateforme font écho à ces mesures de sécurité et mettent en garde contre les leurres d'ingénierie sociale se faisant passer pour des problèmes de compte urgents. « Coinbase ne vous demandera jamais vos identifiants de connexion, votre clé API ou vos codes d'authentification à deux facteurs. Nous ne vous demanderons pas non plus de transférer des fonds », a déclaré Jaclyn Sales, directrice de la communication chez Coinbase. L'accent est mis sur la vérification des demandes et des canaux avant d'entreprendre toute action susceptible de déplacer des actifs.

Au moment de la rédaction, les données de cotation différées du NasdaqGS indiquaient que l'action COIN avait clôturé près de 165,12 $ le 6 février, avec des niveaux après bourse autour de 165,86 $. Les chiffres ont été signalés comme différés et sont fournis à titre de contexte plutôt que de conseils de transaction. Les niveaux de marché ne modifient pas les mécanismes de vérification d'adresse, mais ils encadrent l'environnement dans lequel les risques opérationnels et de phishing se matérialisent.

Détournement d'adresse expliqué : comment les adresses similaires trompent les expéditeurs

Dans une configuration de détournement d'adresse, un attaquant génère une adresse qui ressemble visuellement à un bénéficiaire légitime, puis envoie une transaction de petite valeur ou de valeur nulle afin que le leurre apparaisse dans l'historique de la victime. Plus tard, lorsque la victime copie une adresse à partir d'une activité antérieure, l'adresse similaire est sélectionnée au lieu de celle prévue. Étant donné que les blockchains finalisent les transferts sans vérification de nom, les fonds suivent exactement la chaîne usurpée.

Les atténuations simples se concentrent sur l'intégrité de la source et la comparaison de bout en bout. Obtenez l'adresse du destinataire directement auprès de la contrepartie prévue via un canal vérifié, puis comparez chaque caractère avant de valider la transaction ; dans la mesure du possible, utilisez des listes blanches enregistrées et effectuez un transfert de test nominal avant d'envoyer le principal.