Ce que révèle une attaque de 440 000 $ sur la menace croissante des arnaques de « permission » sur Ethereum

Source : PortaldoBitcoin Titre original : Ce qu’une attaque de 440 000 $ révèle sur la menace croissante des arnaques de « permission » sur Ethereum Lien original : Un hacker a volé plus de 440 000 $ en USDC après qu’un propriétaire de portefeuille a signé, sans le savoir, une signature malveillante de « permission ».

Le vol intervient dans un contexte d’augmentation des pertes dues au phishing. Environ 7,77 millions de dollars ont été perdus par plus de 6 000 victimes en novembre, ce qui représente une augmentation de 137 % des pertes totales par rapport à octobre, malgré une baisse de 42 % du nombre de victimes.

« La chasse aux baleines s’est intensifiée, avec un préjudice maximal de 1,22 million de dollars (signature de permission). Malgré la réduction du nombre d’attaques, les pertes individuelles ont considérablement augmenté. »

Qu’est-ce que les arnaques de permission ?

Les arnaques basées sur la permission consistent à tromper les utilisateurs pour qu’ils signent une transaction qui semble légitime, mais qui, en réalité, donne à l’attaquant le droit de dépenser leurs tokens. Les applications décentralisées (dapps) malveillantes peuvent dissimuler des champs, falsifier des noms de contrats ou présenter la demande de signature comme quelque chose de routinier.

Si un utilisateur n’examine pas attentivement les détails, signer la demande donne à l’attaquant la permission d’accéder à tous les tokens ERC-20 de l’utilisateur. Une fois la permission accordée, les escrocs drainent généralement les fonds immédiatement.

La méthode exploite la fonction de permission d’Ethereum, conçue pour faciliter le transfert de tokens, en permettant aux utilisateurs de déléguer des droits de dépense à des applications fiables. Cette commodité devient une vulnérabilité lorsque ces droits sont accordés à un attaquant.

« Ce qui est particulièrement compliqué dans ce type d’attaque, c’est que les attaquants peuvent effectuer la permission et le transfert de tokens en une seule transaction (une approche ‘smash and grab’) ou peuvent donner accès via la permission tout en restant inactifs, en attendant de transférer les fonds ajoutés ultérieurement (à condition de définir un délai d’accès suffisamment long dans les métadonnées de la fonction de permission). »

« Le succès de ce type d’arnaque dépend de votre signature sans comprendre pleinement ce qui va se passer. Tout se résume à la vulnérabilité humaine et à l’exploitation de la naïveté des gens. »

Il existe de nombreux exemples d’arnaques de phishing de grande valeur et volume, conçus pour tromper les utilisateurs et les amener à signer quelque chose qu’ils ne comprennent pas entièrement. Souvent, ces arnaques sont déguisées en distributions d’argent gratuites, pages de destination frauduleuses de projets pour connecter leur portefeuille ou alertes de sécurité frauduleuses.

Comment se protéger

Les fournisseurs de portefeuilles numériques ont mis en place davantage de fonctionnalités de protection. MetaMask, par exemple, alerte les utilisateurs si un site semble suspect et tente de traduire les données de la transaction dans un langage compréhensible pour l’humain. D’autres portefeuilles mettent également en avant les actions à haut risque. Mais les escrocs continuent de s’adapter.

Il est conseillé aux utilisateurs de vérifier les adresses des expéditeurs et les détails du contrat. « C’est la manière la plus claire de savoir si le protocole ne correspond pas à la destination réelle des fonds, car quelqu’un essaie probablement de les voler. Vous pouvez vérifier le montant ; souvent, ils tentent d’accorder des approbations illimitées. »

La vigilance reste la meilleure défense des utilisateurs. « La meilleure façon de se protéger contre les arnaques de type ‘permission’ est de s’assurer que vous savez ce que vous signez. Quelles actions seront réellement effectuées dans la transaction ? Quelles fonctions sont utilisées ? Correspondent-elles à ce que vous pensiez signer ? »

« De nombreux portefeuilles et applications décentralisées ont amélioré leurs interfaces utilisateur pour garantir que vous ne signez rien à l’aveugle et que vous pouvez voir le résultat, tout en affichant des avertissements sur les fonctions à haut risque. Cependant, il est important que les utilisateurs vérifient activement ce qu’ils signent et ne se contentent pas de connecter leur portefeuille et de cliquer sur signer. »

Une fois les fonds volés, leur récupération est improbable. Dans les attaques de phishing, vous faites face à une personne dont le seul objectif est de voler vos fonds. Il n’y a pas de négociation, pas de point de contact et, souvent, aucune idée de qui est l’autre partie.

« Ces attaquants jouent avec les chiffres. Une fois que l’argent est parti, il est parti pour toujours. La récupération est essentiellement impossible. »