Microsoft a mis en garde contre les menaces émergentes dans le Web3 paysage, y compris les campagnes de « phishing sur glace », car une augmentation de l’adoption des technologies blockchain et DeFi souligne la nécessité d’intégrer la sécurité dans le Web décentralisé alors qu’il en est encore à ses débuts.
L’équipe de recherche Microsoft 365 Defender de la société a évoqué diverses nouvelles voies par lesquelles des acteurs malveillants peuvent tenter d’inciter les utilisateurs de crypto-monnaie à renoncer à leurs clés cryptographiques privées et à effectuer des transferts de fonds non autorisés.
« Un aspect que permet la blockchain immuable et publique est la transparence totale, de sorte qu’une attaque peut être observée et étudiée après qu’elle s’est produite », a déclaré Christian Seifert, directeur de recherche principal au sein du groupe Sécurité et conformité de Microsoft. mentionné. « Cela permet également d’évaluer l’impact financier des attaques, ce qui est difficile dans les attaques de phishing Web2 traditionnelles. »
Le vol des clés pourrait être effectué de plusieurs manières, notamment en usurpant l’identité d’un logiciel de portefeuille, en déployant des logiciels malveillants sur les appareils des victimes, en typosquattant des frontaux de contrats intelligents légitimes et en frappant des jetons numériques voyous pour Escroqueries Airdrop.
Une autre technique implique ce que Microsoft appelle « hameçonnage sur glace. » Plutôt que de voler les clés privées d’un utilisateur, la méthode fonctionne en trompant la cible en « signant une transaction qui délègue l’approbation des jetons de l’utilisateur à l’attaquant ».
« Une fois que la transaction d’approbation a été signée, soumise et extraite, le dépensier peut accéder aux fonds », a expliqué Seifert. « En cas d’attaque ‘ice phishing’, l’attaquant peut accumuler des approbations sur une période de temps, puis vider toutes [the] rapidement le portefeuille de la victime. »
le hack de haut niveau de la plate-forme DeFi BadgerDAO, qui a été révélée début décembre 2021, était l’un de ces exemples d’ice phishing, dans lequel un extrait injecté de manière malveillante utilisant une clé API compromise a permis à l’adversaire de siphonner 121 millions de dollars de fonds.
« L’attaquant a déployé le script de travail via une clé API compromise qui a été créée à l’insu ou sans l’autorisation des ingénieurs de Badger », a déclaré BadgerDAO. mentionné. « Le ou les attaquants ont utilisé cet accès API pour injecter périodiquement du code malveillant dans l’application Badger de sorte qu’il n’affecte qu’un sous-ensemble de la base d’utilisateurs. »
Le script a été programmé de telle sorte qu’il intercepte les transactions Web3 des portefeuilles sur un certain solde et insère une demande de transfert des jetons de la victime vers une adresse choisie par les attaquants.
Pour atténuer les menaces affectant la technologie blockchain, Microsoft recommande aux utilisateurs d’examiner et d’auditer les contrats intelligents pour une réponse adéquate aux incidents ou des capacités d’urgence et périodiquement réévaluer et révoquer indemnités symboliques.
