76 portefeuilles vidés suite à une faille sur CoinMarketCap
Un récent exploit sur le site de CoinMarketCap a causé des pertes financières importantes pour certains utilisateurs. En effet, une faille de sécurité a permis à un attaquant d’intégrer temporairement une fenêtre pop-up malveillante sur la page d’accueil du site, entraînant ainsi le drainage de 76 portefeuilles.
Une attaque ciblant les utilisateurs de MetaMask
Le vendredi soir, l’équipe de MetaMask a alerté ses utilisateurs sur le risque de connecter leurs portefeuilles au site de CoinMarketCap, suite à la compromission de l’interface pour promouvoir une arnaque de vidage de portefeuille. Environ une heure plus tard, CoinMarketCap a confirmé que les visiteurs de son site ne devaient pas connecter leurs portefeuilles lorsqu’ils y étaient invités.
La faille technique : une image « doodle » compromise
Dans la soirée, CoinMarketCap a expliqué qu’une vulnérabilité dans une « image doodle » sur sa page d’accueil contenait un lien qui déclenchait du code malveillant via un appel API, provoquant ainsi l’apparition inattendue d’une fenêtre pop-up pour certains utilisateurs. La firme de cybersécurité Coinspect Security a pu recréer la vulnérabilité d’injection JavaScript facilitée par une exploitation des fichiers JSON d’animation Lottie.
Expertise et recommandations en cybersécurité
Des experts en cybersécurité ont confirmé l’évaluation de Coinspect. Trey Blalock, fondateur de la société Verification Labs, a analysé l’incident en récupérant le code source de CoinMarketCap via la Wayback Machine de l’Internet Archive. Il a noté l’utilisation intensive des images SVG, souvent exploitées pour y intégrer des balises de script HTML, permettant une forme de cross-site scripting.
Blalock recommande aux entreprises d’utiliser des outils de sécurité pour tester les éléments du site et détecter les scripts dans les fichiers SVG. Himanshu Anand, analyste chez C/Side Security, souligne l’importance de surveiller en continu l’activité du côté client pour détecter et alerter sur des comportements inhabituels tels que les injections DOM (JavaScript).
De plus, Nic Adams, PDG de 0rcus, conseille d’éliminer toutes les dépendances JSON tierces. Selon lui, les attaques de type phishing « browser-in-the-browser » ont évolué, permettant aux acteurs malveillants de créer des superpositions interactives et crédibles pour tromper les utilisateurs.
Les mesures de CoinMarketCap et incidents similaires
CoinMarketCap a annoncé avoir résolu le problème et s’est engagé à dédommager les 76 comptes touchés, représentant une perte totale de 21 624,47 $. Par ailleurs, Cointelegraph a également subi une attaque similaire le week-end dernier, où une fenêtre pop-up de phishing a été injectée sur leur site.
Le PDG de Binance, CZ, a mis en garde contre les attaques ciblant désormais les sites d’information et a conseillé de rester prudent lors de l’autorisation de connexion de portefeuilles.
Vous aimerez peut-être
