Sécurité

Alerte de sécurité Web3 – Scénarios courants de vol d'actifs

Débutant

2025-06-03 | 5m

Vue d'ensemble

● Situations courantes pouvant entraîner une perte d'actifs

● Mesures de protection de Bitget pour sécuriser les fonds des utilisateurs

Le Web3 ouvre la voie à la liberté financière et à l'innovation révolutionnaire, mais il introduit également de nouveaux risques en matière de sécurité. Cet article présente les principales formes de vol d'actifs dont sont victimes les utilisateurs, qu'il s'agisse de fuites de clés privées, d'approbations de signatures malveillantes, de fraudes au transfert ou d'autres attaques. Ici, nous partageons des études de cas réels et fournissons un aperçu des mesures de protection de Bitget, visant à armer les utilisateurs des connaissances dont ils ont besoin pour mieux sécuriser leurs actifs numériques dans l'écosystème de la blockchain.

Fuites de seed phrase ou de clé privée

Volées par de faux portefeuilles

Les attaquants se font souvent passer pour des membres de l'équipe officielle ou des administrateurs sur des plateformes telles que Telegram ou Discord. Ils envoient des e-mails d'hameçonnage ou partagent de faux liens de téléchargement de portefeuilles, souvent déguisés en "mises à jour de sécurité" provenant de noms fiables tels que MetaMask ou Trust Wallet. Certains diffusent même des annonces sur les moteurs de recherche pour diriger les utilisateurs vers des sites d'hameçonnage. Une fois que les victimes ont installé ces fausses applications et qu'elles ont saisi leurs seed phrases ou leurs clés privées, les informations sont immédiatement envoyées à des serveurs contrôlés par les pirates.

Volées dans le presse-papiers par un logiciel malveillant

Ces applications malveillantes apparaissent souvent comme des outils inoffensifs, tels que des scanners de QR codes, des gestionnaires de fichiers, des jeux piratés, des traqueurs de prix de cryptomonnaies ou des vérificateurs d'airdrop. Une fois installées, les applications demandent l'accès au presse-papiers et surveillent en permanence son contenu. Si les utilisateurs copient des données sensibles telles que des seed phrases ou des clés privées (généralement lors d'une sauvegarde ou d'un transfert), ces applications capturent instantanément les informations et les envoient aux serveurs des attaquants.

Fraudes à la signature ou à l'autorisation

Escroqueries eth_sign

eth_sign est une méthode de signature Ethereum de base qui permet aux utilisateurs de signer des données arbitraires. Le problème réside dans le fait que les utilisateurs ne voient qu'une chaîne illisible de codes hexadécimaux, et qu'ils n'ont souvent aucune idée de ce qu'ils signent réellement. Les attaquants exploitent cette situation en incitant les utilisateurs à signer des autorisations malveillantes, parfois même en leur accordant un accès complet à leurs actifs.

Hameçonnage par signature Permit2

Permit2, un protocole d'autorisation de token développé par Uniswap Labs, est sécurisé de par sa conception mais a été exploité dans des attaques par hameçonnage. Les attaquants incitent les utilisateurs à signer des autorisations Permit2 sous prétexte de vérification de portefeuille ou de récupération d'airdrop. Une fois la signature effectuée, l'attaquant peut déplacer les tokens de l'utilisateur sans avoir besoin d'autres autorisations.

Escroqueries à l'autorisation de tokens

Certains sites web malveillants convainquent les utilisateurs d'accorder une autorisation illimitée pour des tokens de valeur à un contrat intelligent, ce qui permet au site de manipuler leurs avoirs. Ces sites se font souvent passer pour de véritables plateformes DeFi ou NFT, et exigent une autorisation de la part de l'utilisateur pour pouvoir participer. Les attaquants créent un sentiment d'urgence en proposant de fausses offres ou promotions à durée limitée pour faire baisser la vigilance des utilisateurs. Une fois autorisés, ils peuvent retirer les tokens de la victime sans autre confirmation.

Escroqueries à l'autorisation de NFT

Certains sites malveillants invitent les utilisateurs à accorder les autorisations setApprovalForAll sur leurs NFT. En cas d'approbation, l'attaquant obtient un contrôle total sur la collection de NFT de l'utilisateur et peut transférer les actifs à tout moment, sans qu'aucune action supplémentaire ne soit nécessaire.

Fraudes aux transferts

Détournement de l'adresse du portefeuille dans les applications de messagerie

Certains attaquants distribuent des versions altérées d'applications de messagerie telles que Telegram par le biais de sources non officielles. Ces applications modifiées contiennent un code malveillant qui surveille les discussions et remplace toutes les adresses de portefeuilles crypto partagées. Lorsque les utilisateurs copient l'adresse d'un portefeuille à partir d'un chat pour envoyer des fonds, ils peuvent, sans le savoir, envoyer les fonds au portefeuille de l'attaquant. En 2023, plus de 500 utilisateurs ont perdu environ 8 millions de dollars en cryptomonnaie en transférant des fonds à leur insu via une version altérée de Telegram.

Hameçonnage par transfert vide

Les attaquants exploitent un comportement dans la fonction transferFrom de l'USDT qui permet des transferts de valeur nulle sans nécessiter l'autorisation de l'expéditeur. Cela leur permet de lancer des opérations de transfert sur des comptes d'utilisateurs actifs et d'inonder leur historique de transactions. Comme certains utilisateurs copient souvent les adresses de portefeuilles à partir de leur propre historique de transaction, ils peuvent accidentellement réutiliser l'adresse d'un pirate et envoyer des fonds au mauvais destinataire. Selon SlowMist, plus de 20 millions de dollars ont été volés par cette méthode au cours du seul premier semestre 2022.

Mesures de sécurité Bitget

La plupart des actifs sont stockés dans des cold wallets

Chez Bitget, la plupart des actifs numériques sont stockés dans des cold wallets multi-signatures hors ligne. Cette approche prudente, qui consiste à déconnecter les portefeuilles d'Internet, réduit considérablement le risque de cyberattaque.

Fonds de protection

Bitget dispose d'un Fonds de protection de 700 millions de dollars. Si votre compte Bitget est compromis, ou si vos actifs sont volés ou perdus (à l'exclusion des pertes dues à des actions ou des transactions personnelles), vous pouvez faire une demande d'indemnisation auprès du Fonds de protection Bitget.

Canal de vérification officiel

Pour aider les utilisateurs à éviter l'hameçonnage et les escroqueries, Bitget propose un canal de vérification officiel. Vous pouvez l'utiliser pour confirmer qu'un e-mail, une page web ou un compte de réseaux sociaux provient réellement de Bitget.

Éducation à la sécurité

Bitget partage régulièrement du contenu pédagogique pour sensibiliser les utilisateurs et les aider à renforcer leurs connaissances et leurs pratiques en matière de sécurité.

Bonnes pratiques pour les utilisateurs

Protection des seed phrases et clés privées

● Ne téléchargez jamais votre seed phrase ou votre clé privée sur un stockage dans le cloud sans chiffrement.

● Évitez de copier intégralement votre seed phrase ou votre clé privée dans le presse-papiers, car des logiciels malveillants pourraient s'en emparer.

● Ne téléchargez que des applications de portefeuille à partir de sources officielles, et vérifiez toujours l'éditeur ainsi que la signature du logiciel.

Gestion des signatures et des autorisations

● Ne signez jamais quelque chose que vous ne comprenez pas entièrement et examinez toujours attentivement le contenu avant de signer.

● Fixez une limite d'autorisation minimale nécessaire pour les projets peu familiers au lieu de leur accorder un accès illimité.

● Utilisez des outils de gestion des autorisations (par exemple, Revoke.cash) pour vérifier régulièrement et révoquer les autorisations inutiles.

Pratiques de transfert sûres

● Avant d'effectuer des transferts importants, testez toujours avec une petite quantité.

● Enregistrez les adresses de portefeuille fréquemment utilisées dans le carnet d'adresses.

Conclusion

La protection des actifs numériques nécessite des efforts conjoints. Tandis que les plateformes d'échange comme Bitget mettent en place des cadres de sécurité complets, les utilisateurs doivent également rester vigilants et informés. La finance traditionnelle a mis des siècles à développer des pratiques sûres. Le jeune Web3 est encore en évolution. Chaque incident de sécurité est riche d'enseignements. Bitget s'engage à investir dans la sécurité de la plateforme et à développer le contenu éducatif pour aider les utilisateurs à renforcer leurs défenses. Nous pensons que la plateforme et les utilisateurs doivent travailler ensemble pour créer un écosystème Web3 véritablement sûr et digne de confiance, où l'innovation blockchain peut s'épanouir tout en minimisant les risques.