Community Trust ScoreVérifié
Les portefeuilles crypto se vident. Discrètement, méthodiquement et à grande échelle — à travers quelque chose que la plupart des utilisateurs ne remarquent jamais : les extensions de navigateur.
La société de cybersécurité Socket a découvert une campagne construite autour de 19 extensions de navigateur malveillantes, dont 18 ciblant Google Chrome et une ciblant Microsoft Edge. L’opération est active depuis environ six mois, avec des signes indiquant qu’elle a probablement commencé vers février 2024. Les chercheurs de Socket ont trouvé que 14 des 19 extensions avaient été créées de toutes pièces par les acteurs de la menace. Les cinq autres ? Des extensions légitimes que les développeurs avaient déjà publiées — acquises puis transformées en armes. Cette seconde catégorie est la plus difficile à détecter. Les utilisateurs qui ont installé ces extensions avant qu’elles ne deviennent malveillantes n’avaient aucune raison évidente de se méfier.
La plus grande extension unique du groupe comptait environ 70 000 utilisateurs.
C’est « Enable Right Click & Copy — Smart Unlock + OCR », que Socket a signalée comme l’extension la plus dangereuse de la campagne. Chrome l’a retirée du Web Store. Mais la version Microsoft Edge de la même extension — environ 10 000 utilisateurs — reste active au moment où Socket a publié ses conclusions. Aucun détail pour l’instant sur quand ou si Edge prévoit de la retirer.
Comment fonctionne réellement le vidage de portefeuille
La configuration technique est assez sophistiquée. Les chercheurs de Socket ont trouvé un vidangeur de portefeuille de crypto-monnaie multi-chaînes intégré dans les extensions. Il cible les portefeuilles compatibles EVM, les portefeuilles Solana et les portefeuilles Tron — il n’est donc pas limité à une seule chaîne ou à un seul type d’utilisateur. Le malware peut manipuler les boutons légitimes « Connect Wallet » et « Swap » sur lesquels les utilisateurs cliquent chaque jour sur les plateformes DeFi, redirigeant discrètement le flux de transactions vers des processus contrôlés par les attaquants. Vous pensez échanger des tokens. Ce n’est pas le cas.
Les utilisateurs de portefeuilles matériels ne sont pas non plus en sécurité. La campagne inclut de fausses pages de récupération et de mise à jour conçues pour ressembler à des interfaces officielles de Ledger et Trezor. L’objectif est simple : amener l’utilisateur à entrer sa phrase de récupération. Une fois que les attaquants l’ont, le portefeuille est perdu.
Et la portée va au-delà des simples boutons DeFi et des astuces de portefeuille matériel. Les extensions incluent des modules conçus pour récolter des données de session authentifiées et des identifiants de compte d’une longue liste de grandes plateformes : Binance, Coinbase, Kraken, OKX, MEXC, KuCoin, Bybit et MetaMask. C’est en gros un who’s-who de l’infrastructure crypto. Si un utilisateur est connecté à l’une de ces plateformes tout en exécutant une extension compromise, ses données de session sont probablement à risque.
L’un des aspects techniquement les plus alarmants est ce que Socket a dit à propos des protections de la politique de sécurité du contenu. Ces extensions peuvent supprimer les en-têtes CSP des sites web, ce qui démolit essentiellement l’une des principales défenses au niveau du navigateur contre les scripts malveillants. Les scripts qui seraient normalement bloqués peuvent maintenant s’exécuter. C’est une escalade significative — ce n’est pas seulement voler des données, c’est créer une porte ouverte pour une exploitation ultérieure.
Les comptes de réseaux sociaux également dans la ligne de mire
La crypto n’est pas la seule cible. La campagne s’attaque également aux comptes Facebook et LinkedIn. Des modules conçus pour compromettre ces comptes sont intégrés dans les mêmes extensions. Que l’objectif soit de récolter des données personnelles, d’utiliser les comptes pour diffuser plus de malware, ou les deux — ce n’est pas clair. Mais la présence de cibles sur les réseaux sociaux rend la campagne plus large qu’une simple attaque crypto.
Il y a aussi un composant de type ClickFix. De fausses pages de mise à jour de navigateur qui imitent les invites de mise à jour légitimes de Chrome ou Edge incitent les utilisateurs à télécharger des malwares supplémentaires. C’est une astuce bien rodée d’ingénierie sociale, mais elle fonctionne, surtout lorsque les utilisateurs exécutent déjà une extension qui manipule discrètement ce qu’ils voient à l’écran. Les fausses pages de mise à jour ajoutent une autre couche de confusion, rendant plus difficile de déterminer où la compromission a réellement commencé.
L’historique de navigation est également collecté. Ces données peuvent être utilisées pour établir des profils, identifier les plateformes crypto que fréquente un utilisateur et adapter les attaques futures en conséquence.
Ce que Socket conseille aux utilisateurs de faire
Les conseils de Socket sont directs : auditez régulièrement vos extensions de navigateur. Supprimez tout ce qui semble suspect ou que vous n’utilisez pas activement. Ce n’est pas une solution glamour, mais elle est pratique. Les extensions s’accumulent au fil du temps — les gens les installent pour une tâche spécifique et les oublient. C’est exactement le genre de surface à faible attention que les attaquants exploitent.
Au-delà des audits d’extensions, Socket avertit les utilisateurs d’être sceptiques face à toute invite de mise à jour de navigateur inattendue. Les mises à jour légitimes ne se présentent généralement pas sous forme de pop-ups vous demandant de télécharger quelque chose. Si une page pousse une mise à jour de navigateur, cela vaut la peine de s’arrêter.
Pour les utilisateurs de portefeuilles matériels en particulier, les fausses pages Ledger et Trezor sont le risque le plus aigu. Les phrases de récupération ne devraient jamais être saisies dans une interface basée sur un navigateur, point final. Les processus de récupération officiels pour ces appareils ne se déroulent pas dans un onglet Chrome.
La version Chrome de « Enable Right Click & Copy — Smart Unlock + OCR » est désactivée. La version Edge, avec ses 10 000 utilisateurs, est toujours active.
Questions Fréquentes
Quelle extension de navigateur a été identifiée comme la plus dangereuse dans cette campagne ?
« Enable Right Click & Copy — Smart Unlock + OCR » a été signalée comme l’extension la plus dangereuse, avec environ 70 000 utilisateurs sur Chrome avant son retrait et environ 10 000 utilisateurs sur Microsoft Edge, où elle reste active.
Quelles plateformes crypto ont été ciblées par les extensions malveillantes ?
Les extensions comprenaient des modules ciblant Binance, Coinbase, Kraken, OKX, MEXC, KuCoin, Bybit et MetaMask, récoltant des données de session authentifiées et des identifiants de compte des utilisateurs sur ces plateformes.
Pourquoi c'est important
L'émergence de ces extensions malveillantes souligne la vulnérabilité croissante des utilisateurs de crypto-monnaies face aux cybermenaces, un enjeu majeur dans un marché en pleine expansion. À une époque où la confiance dans les outils numériques est primordiale, la prolifération de telles attaques pourrait entraver l'adoption des crypto-actifs et ternir leur image auprès du grand public. Cette situation met en lumière la nécessité impérieuse d'une vigilance accrue et de mesures de sécurité robustes pour protéger les investisseurs et les utilisateurs.
