Les cybercriminels ont désormais modifié leurs stratégies pour exploiter les propriétaires d'actifs numériques en lançant des attaques ClickFix qui usurpent l'identité de capital-risqueurs ou piratent des extensions de navigateur. Cela indique que l'ingénierie sociale reste un vecteur d'attaque majeur dans l'écosystème crypto. En 2022, Moonlock Lab, un fournisseur de cybersécurité, a signalé que des attaquants usurpaient l'identité d'investisseurs légitimes et escroquaient des internautes via de fausses connexions LinkedIn, des liens de visioconférence et des instructions malveillantes en ligne de commande déguisées en processus de vérification légitimes. Le résultat final crée un chemin d'attaque très sophistiqué qui combine l'image de marque d'entreprise, le flux de travail des développeurs et les exploits basés sur le navigateur en un seul stratagème cohérent.<h2>Comment l'arnaque aux faux VC commence</h2>Les attaquants usurpent des noms à consonance légitime comme "SolidBit", "MegaBit" et "Lumax Capital" lors d'attaques contre des entreprises de cryptomonnaies via des sites web de capital-risque frauduleusement créés, qu'ils utilisent pour envoyer des e-mails sollicitant des partenariats auprès de fondateurs et de développeurs d'entreprises de cryptomonnaies. Les attaquants ont créé des sites web et des comptes LinkedIn d'apparence très crédible pour mener à bien leur escroquerie. Les méthodes les plus courantes utilisées par les attaquants pour établir le contact avec les victimes incluent :- Exprimer un intérêt pour un financement de démarrage (seed funding) dans un projet Web3 à un stade précoce. - Inviter à discuter d'une opportunité de financement de l'entreprise. - Demander une démonstration du produit de l'entreprise. - Présenter des entreprises dans le cadre du développement d'un partenariat stratégique. Le contact initial a généralement lieu sur LinkedIn, où la plupart des cibles s'attendent à recevoir des sollicitations professionnelles. Les attaquants utilisent une image de marque de haute qualité et le niveau de formalité approprié dans leurs communications, ce qui diminue les soupçons que la cible pourrait avoir concernant la communication reçue. Après avoir contacté la victime, celle-ci sera invitée à un appel Zoom ou Google Meet pour discuter des détails supplémentaires de l'opportunité.<h2>Les faux pièges Zoom et Google Meet</h2>Une fois qu'une cible a accepté une réunion, elle recevra un faux lien de visioconférence. Bien qu'il ressemble à un lien réel, il est également conçu de manière similaire aux véritables liens Zoom et Google Meet. Lorsqu'un utilisateur tente de rejoindre la réunion, au lieu de se connecter à une visioconférence, le lien le redirigera vers ce qui semble être une page d'événement conçue par des professionnels. La page de l'événement présente généralement une invite de sécurité de type Cloudflare avec une case à cocher "Je ne suis pas un robot". La case à cocher "Je ne suis pas un robot" est choisie exprès, car les utilisateurs associent cette image à un contrôle de sécurité normal. La méthode ClickFix est lancée à ce stade. Lorsque la victime clique sur la case à cocher, une commande malveillante est subrepticement copiée dans le presse-papiers. L'utilisateur infecté aura désormais un code pour vérifier son identité via le serveur de la plateforme de réunion. En réalité, il n'y a pas de processus de vérification ; les acteurs malveillants demandent plutôt de supprimer un contrôle de sécurité (qu'ils qualifient d'étape technique). Si quelqu'un n'est pas familier avec l'utilisation du terminal ou des commandes, il peut être confus ou avoir du mal à comprendre ce qu'il doit faire. Pour les développeurs professionnels et les professionnels axés sur les cryptomonnaies qui utilisent la ligne de commande presque quotidiennement, cela ne suscitera pas de soupçon.<h2>Que se passera-t-il après avoir tapé la commande dans le terminal ?</h2>Une fois cette commande saisie dans le terminal, elle commencera à s'exécuter immédiatement. Selon la configuration de l'attaque, la commande pourrait effectuer une ou plusieurs des actions suivantes : • Installer des programmes d'accès à distance• Déployer un pirate de presse-papiers• Injecter un script malveillant dans le navigateur de l'utilisateur• Extraire les clés privées de l'utilisateur de son portefeuille de navigateur.• Installer un logiciel malveillant ciblant les extensions de navigateur de cryptomonnaies Quelques variantes récentes de ces attaques ont spécifiquement ciblé les extensions de navigateur couramment utilisées pour la gestion des portefeuilles crypto. Les portefeuilles basés sur le navigateur représentent l'une des plus grandes vulnérabilités aux attaques car ils donnent généralement un accès direct aux actifs numériques ; un attaquant capable de compromettre un portefeuille basé sur le navigateur peut le vider facilement et de manière irréversible. La complexité réside ici dans les nombreuses couches de tromperie de cette attaque : <ol><li data-list="bullet"> Usurpation de l'identité d'un investisseur professionnel</li><li data-list="bullet"> Création d'un faux lien de réunion</li><li data-list="bullet"> Utilisation d'invites de sécurité de type Cloudflare</li><li data-list="bullet"> Injection d'une commande via le presse-papiers</li><li data-list="bullet"> Exécution sur un terminal</li></ol> Chaque étape est crédible en soi et elles créent ainsi un piège unique et simultané.<h2>Pourquoi les extensions de navigateur sont une cible privilégiée</h2>Les extensions de portefeuille de navigateur pour cryptomonnaies prennent en charge l'infrastructure de base qui permet aux utilisateurs d'accéder au Web3. Elles détiennent votre clé privée, vous permettent de signer des transactions et donnent aux développeurs accès à vos informations de transaction. Les extensions de navigateur sont pratiques, mais elles représentent également une zone de vulnérabilité très concentrée. Si un attaquant compromet les éléments suivants :• La session du navigateur d'un utilisateur• Les permissions d'une extension• Le contenu du presse-papiers• Le stockage des phrases de récupération (seed phrases) Alors les résultats peuvent être immédiats. Contrairement à la fraude bancaire traditionnelle, lorsque le vol de cryptomonnaies se produit, il est normalement irréversible, et une fois les fonds transférés vers le portefeuille d'un attaquant, il est rare qu'ils soient récupérés. L'activité récente des campagnes ClickFix a montré que les attaquants sont conscients des zones de valeur et concentrent leurs efforts sur la couche humaine, plutôt que d'essayer d'effectuer des attaques par force brute sur les réseaux blockchain. Attaquer par ingénierie sociale reste une méthode moins chère et plus facile pour eux que de tenter d'exploiter les faiblesses au niveau du protocole.<h2>La psychologie derrière ClickFix</h2>ClickFix est une technique malveillante qui abuse de notre confiance inhérente envers les invites de sécurité ; les utilisateurs sont entraînés par l'expérience à interagir de manière routinière avec des éléments tels que les boîtes CAPTCHA, les pop-ups de vérification et les pratiques de contrôle de sécurité. Cela aide les attaquants à exploiter leur exposition antérieure et leur familiarité avec ces messages dans le cadre de leur stratégie d'attaque. La méthode crée un niveau d'urgence élevé : -- Début d'une réunion imminente-- Achèvement d'une vérification de sécurité-- Agir rapidement En conséquence, les cibles peuvent négliger leur prudence, surtout lorsqu'elles sont confrontées à la possibilité de recevoir un financement de VC.Les fondateurs et développeurs à la recherche d'investissements subissent une pression psychologique considérable concernant leur protection s'ils manquent une opportunité d'investissement, par rapport au risque qu'ils encourent en effectuant une seule tâche. Ce biais d'urgence joue également un rôle important dans le succès de l'escroquerie.<h2>Pourquoi les professionnels de la crypto sont ciblés</h2>Cibler vos efforts d'usurpation d'identité vers des entreprises traditionnellement impliquées dans l'investissement en capital peut être une bonne stratégie. La plupart du temps, les startups crypto se connectent avec leur communauté d'investisseurs via Internet. Ce type de démarchage est devenu assez courant via la plateforme LinkedIn. L'application Zoom est un moyen courant d'effectuer des appels de démonstration, et les instructions techniques utilisant des systèmes basés sur un terminal sont également courantes dans les flux de travail Web3. Les personnes qui attaquent délibérément : - Possèdent d'importantes quantités de cryptomonnaies- Contrôlent des trésoreries- Gèrent les fonds d'un projet- Ont un accès développeur au système. En d'autres termes, ce sont des cibles de grande valeur. Il s'agit de plus qu'un simple spam aléatoire ; c'est une attaque par ingénierie sociale qui vise directement les centres économiques des cryptomonnaies.<h2>Mesures de défense pour les utilisateurs de crypto</h2>En raison de la manière avancée dont ces attaques se produisent, une stricte adhésion aux protocoles de sécurité est nécessaire. Voici des exemples de pratiques de sécurité :• N'exécutez jamais de commandes de terminal à partir d'un lien non sollicité • Vérifiez l'investisseur en recherchant sur Internet, en vérifiant en personne ou avec des sources fiables basées dans un pays où vous faites des affaires ou pouvant vous aider avec la diligence raisonnable. • N'accédez à Zoom et Google Meet que pour initier des réunions via leurs adresses de nom de domaine respectives • N'utilisez aucune commande collée dans le presse-papiers à moins d'être certain de son authenticité • Les montants importants doivent être stockés sur des portefeuilles matériels (hardware wallets) • Activez l'authentification multifacteur sur tous les comptes Seules des sources autorisées devraient fournir des modules complémentaires ou des plug-ins de navigateur ; vérifiez-les toujours pour des permissions anormales au moment de l'installation, et à nouveau périodiquement par la suite. De plus, toute entreprise qui exige une authentification basée sur un terminal pour participer à ses appels de visioconférence ne répond pas aux exigences de base des entreprises légitimes. Enfin, toute demande de copier-coller une commande dans le terminal de votre système d'exploitation doit être traitée comme un signe d'alerte urgent.<h2>La tendance générale du ciblage crypto</h2>Les attaques ClickFix illustrent un changement dans la cybercriminalité axée sur la cryptographie. Au lieu d'attaquer directement le code de la blockchain, les pirates s'attaquent à : - Les interfaces utilisateur- Les canaux de communication- Les systèmes de vérification d'identité- Les sites de médias sociaux À mesure que l'adoption des cryptomonnaies s'étend, leur cible potentielle d'attaques est passée des vulnérabilités dans les protocoles au comportement humain et aux flux de travail.Ce changement signifie qu'un accent sur la formation en cybersécurité ainsi que sur les protections techniques est nécessaire.Les blockchains peuvent être protégées, mais les points d'extrémité des utilisateurs n'ont aucune méthode de défense contre elles.<h2>Conclusion : Pourquoi les arnaques ClickFix sont une menace croissante dans la crypto</h2>Les attaques ClickFix ont engendré une récente vague d'attaques via un nouveau niveau d'ingénierie sociale axée sur la crypto. Alors que les attaquants copient/usurpent l'identité de sociétés de capital-risque via LinkedIn et prennent le contrôle d'extensions de navigateur via l'accès à la ligne de commande du terminal, ils créent une méthode très efficace pour perpétrer des actions trompeuses qui exploitent à la fois les méthodes traditionnelles de tromperie d'entreprise et les méthodes d'exploitation technique. Cette méthode est efficace car elle imite une activité légitime qui a lieu au sein de l'industrie. Les investisseurs et les professionnels des cryptomonnaies ont une chose en commun : ils savent qu'aucun profit ne justifie de prendre des risques avec leur sécurité personnelle. Vous ne devriez jamais utiliser une ligne de commande et exécuter des commandes basées sur une autorité masquée de manière élaborée. Ce n'est pas parce que vous voyez une invite demandant votre vérification que c'est réel. Le logo d'une entreprise peut également être altéré. Même dans un monde décentralisé où les gens contrôlent leurs propres finances, la sécurité relève réellement de la responsabilité des utilisateurs. Comme en témoignent ces violations, la blockchain elle-même n'est généralement pas le maillon le plus faible ; le risque survient lorsque vous faites confiance à la personne qui vous présente des informations.

Découvrez comment les arnaques crypto ClickFix usurpent l'identité de capital-risqueurs pour tromper les fondateurs et les pousser à installer des logiciels malveillants qui volent les fonds des portefeuilles de navigateur.

Arnaque ClickFix Crypto : Comment les fausses réunions de VC volent les portefeuilles crypto

/media/contribution/car12d76d28ce524d1997b50f287ea62da3/rb3_0403085105794.stxt

Comment identifier un arnaqueur en crypto ?

/media/contribution/car6b517213a1854f5e8a435eb6da3daeb5/fsn_0403091102571.stxt

Une baleine retire 32 879 ETH (~69 M$) de Kraken : un changement discret vers l'auto-garde

/media/contribution/car832e7e2eaa8c4b838f483dc1d9f96003/efy_0403090731605.stxt

Comment Suivre Facilement et En Toute Sécurité les Transactions Cryptographiques

/media/contribution/car43446d2901a64eb49d97f5f509ce0115/xuu_0403055136369.stxt

Identifier le point de retournement du marché ! Maîtrisez le retracement de Fibonacci pour trouver vos positions d'achat et de vente idéales

/media/contribution/care730a226381a45a098827a8d57c9e2fd/ouq_0330024447488.stxt

La fiscalité des cryptomonnaies en Afrique en 2026 : ce que les traders des marchés émergents comprennent mal

/media/contribution/carb8b0146954c24b7a872d53bdf30d8eee/6af_0330024815437.stxt

L'investissement ne consiste pas à gagner plus, mais à durer plus longtemps : Les règles de survie de la gestion des positions indispensables pour les débutants