Un prétendu exploit zero-day de Changelly circulant parmi de potentiels attaquants s'avère être un appât. Selon une enquête de ThreatMon, le code est un outil de détournement de transactions de cryptomonnaies, et les personnes les plus susceptibles d'être touchées sont celles qui l'exécutent. Ce faux stratagème de détournement de portefeuille zero-day de Changelly montre comment les attaquants peuvent cibler les curieux, les opportunistes et les imprudents avec un seul et même morceau de JavaScript.
Comment le faux exploit Changelly a attiré les victimes
La campagne était habillée en exploit fonctionnel d'une vulnérabilité dans Changelly, un service d'échange de cryptomonnaies. Les allégations de faille zero-day constituent un accrocheur efficace. Un zero-day est une vulnérabilité que le fournisseur ne connaît pas encore, de sorte que la promesse d'un exploit prêt à l'emploi attire les personnes qui espèrent en tirer profit ou simplement le tester.
C'est là le piège. Selon ThreatMon, les fausses allégations de vulnérabilité ont servi à attirer les utilisateurs vers le code. Au lieu d'attaquer Changelly, le script se retourne contre quiconque l'exécute. L'attaquant en herbe devient la cible.
L'approche n'est pas nouvelle dans l'esprit. Les chercheurs en sécurité observent depuis longtemps des codes de preuve de concept piégés et de faux outils destinés aux personnes qui cherchent des raccourcis. Ce qui rend ce cas notable, c'est la charge utile spécifique : un script conçu pour interférer directement avec les transactions crypto dans le navigateur.
Ce que le script malveillant fait aux adresses de portefeuille
Le JavaScript malveillant a été conçu pour faire deux choses, d'après les conclusions de ThreatMon :
- Remplacer les adresses de portefeuille. Lorsqu'un utilisateur saisit ou copie une adresse de destination pour une transaction, le script peut y substituer une adresse contrôlée par l'attaquant. Les fonds envoyés en toute bonne foi aboutissent dans le mauvais portefeuille.
- Manipuler les valeurs d'échange affichées. Le script peut altérer les chiffres affichés à l'écran, de sorte que les taux ou les montants vus par l'utilisateur ne correspondent pas à la réalité. Cela aide à dissimuler le vol et à donner à la transaction une apparence normale.
Les transactions crypto sont généralement irréversibles. Une fois les jetons envoyés à l'adresse d'un attaquant, il n'y a généralement aucune banque à appeler et aucun remboursement à demander. Cela rend particulièrement dommageable tout outil qui modifie discrètement une adresse de destination.
Pourquoi le détournement au niveau du navigateur est difficile à repérer
Ce type d'attaque n'a pas besoin de s'introduire dans un échange, de craquer un mot de passe ou de voler une clé privée. Elle opère au point où vous consultez et confirmez les informations : votre navigateur. Si la page elle-même est altérée par du JavaScript injecté, ce que vous voyez peut ne pas correspondre à ce qui se passe réellement.
Quelques raisons pour lesquelles c'est difficile à détecter :
- Les adresses longues sont difficiles à lire. Les adresses de portefeuille sont des chaînes de caractères aléatoires. Peu de gens vérifient chaque caractère, et les attaquants comptent souvent là-dessus.
- L'interface semble toujours légitime. Si les valeurs d'échange affichées sont manipulées, l'écran peut paraître cohérent et digne de confiance jusqu'au moment de l'envoi.
- Il n'y a pas d'avertissement évident. Contrairement à une connexion échouée ou à une alerte de sécurité, une adresse substituée ne produit aucun message d'erreur.
La leçon est que l'affichage du navigateur seul n'est pas une source fiable de vérité lorsqu'il s'agit d'argent réel.
Ce que cela signifie pour vous
La plupart des lecteurs ne chercheront jamais de code d'exploit, mais le risque sous-jacent s'applique largement. Tout script exécuté dans votre session de navigateur, qu'il provienne d'un téléchargement douteux, d'un extrait collé dans la console, d'une extension louche ou d'une page compromise, pourrait altérer ce que vous voyez lors d'une transaction crypto.
Si vous manipulez des cryptos, considérez par défaut comme hostiles les codes non officiels d'« exploit » ou de « bonus ». Un code qui promet un accès facile aux fonds de quelqu'un d'autre devrait susciter la méfiance, pas la curiosité. Et si vous êtes un chercheur en sécurité ou un passionné, n'analysez du code inconnu que dans un environnement isolé, jamais sur une machine ou un profil de navigateur lié à vos véritables portefeuilles.
L'hygiène réseau compte aussi. Les réseaux non fiables ajoutent un autre moyen pour les attaquants d'altérer ce que vous faites en ligne, comme le montre l'avertissement de Microsoft concernant des hackers russes sur les réseaux Wi-Fi d'hôtels. Ce rapport concernait le vol d'identifiants et les logiciels malveillants, pas la crypto, mais la prudence s'applique : évitez de manipuler des cryptos sur des réseaux auxquels vous ne faites pas confiance.
Vérifications qui protègent vos transactions crypto
Quelques habitudes réduisent fortement les risques de perdre des fonds à cause de scripts de substitution d'adresses :
- Vérifiez l'adresse sur l'écran d'un portefeuille matériel. L'affichage de l'appareil est séparé de votre navigateur, donc le JavaScript injecté ne peut pas le modifier. Comparez-y l'adresse avec le destinataire prévu.
- N'exécutez jamais de code d'exploit non officiel. Si un prétendu zero-day Changelly ou tout autre exploit apparaît sur un forum ou dans un chat, ne l'exécutez pas, et ne collez jamais de code inconnu dans la console de votre navigateur.
- Méfiez-vous des pop-ups d'échange. Accédez aux échanges en tapant vous-même l'adresse ou en utilisant un signet, et ignorez les invites inattendues.
- Utilisez un bloqueur de scripts. Limiter les JavaScript autorisés à s'exécuter réduit la marge de manœuvre du code injecté.
- Envoyez d'abord une petite transaction test. Pour les transferts importants, confirmez que les fonds arrivent au bon endroit avant d'envoyer la totalité du montant.
- Gardez l'activité crypto sur un profil de navigateur propre. Moins d'extensions et moins d'onglets sans rapport signifient moins de chances que quelque chose interfère.
Points clés à retenir
La campagne de faux détournement de portefeuille zero-day de Changelly rappelle que l'appât le plus convaincant cible souvent ceux qui pensent être l'attaquant. La défense pratique est simple : n'exécutez pas de code auquel vous ne pouvez pas faire confiance, bloquez les scripts inutiles et confirmez chaque adresse de portefeuille sur l'écran d'un portefeuille matériel avant d'approuver une transaction. Traitez votre navigateur comme non fiable pour la vérification finale, et restez prudent sur les réseaux publics ou inconnus lorsque vous déplacez des cryptos.
