Topic: Intrigant et... effrayant ! Vague de siphonnage de wallets en cours ? (Read 583 times)

Peut être une des raisons expliquant les siphonnages récents : https://milksad.info/

"The main theft occurred around 12 July 2023, although initial exploitation likely began at a smaller scale in May 2023.
A separate but similar vulnerability in another wallet software was detected in November 2022 and actively exploited shortly after, which may be the prequel to this story."


Ceci dit, et comme déja écrit ici ainsi que résumé dans le thread suivant : https://twitter.com/tayvano_/status/1689599497616388096, les raisons pour lesquelles les siphonnages interviennent sont le plus souvent :

1. Vous avez enregistré la seed dans le cloud, délibérément ou accidentellement (par exemple, icloud, dropbox, google, etc.)
2. Logiciels malveillants/enregistreurs de frappe
3. Votre ex
4. Vous l'avez pris en photo
5. Vous l'avez dans votre gestionnaire de mots de passe
6. Vous vous l'êtes envoyé
7. Vous l'avez envoyé à quelqu'un d'autre

Mais carrément... même avec des jpeg on peut se faire pigeonner. il y a tellement de manière de se faire avoir  Le mieux est d'interagir avec des wallets auxquels on ne tient pas (et encore, si le pc se fait infecter...). Mais bon, ne sombrons pas dans la paranoïa pour autant, un bon antivirus ou anti malware et des pratiques raisonnées doivent nous éviter un gros % de risques.

Grâce à ce tweet je viens de capter qu'on pouvait mettre du Javascript dans un PDF (exemple).
Bon après c'est pas pire que sur n'importe quelle page web, me direz-vous. Mais dans l'inconscient collectif, un PDF c'est un truc relativement inerte (quoique pas tant que ça, quand on y pense ; juste assez pour ne pas y prêter attention et finir par se rendre compte du truc en mode "ah ben oui j'suis con, évidemment").

Le même compte twitter qui avait publié au sujet d'une recrudescence de siphonnage a mis en ligne un thread dans lequel sont présentés certains des moyens récemment utilisés par des groupes tels que Lazarus.

https://twitter.com/tayvano_/status/1661473965825740800

Même si ce n'est pas nouveau, il est entre autres confirmé que naviguer sur un pc tournant sous Linux ou MacOs n'est plus tellement un gage de sécurité (bon tout est relatif).

Et les méthodes décrites sont très (très!) techniques et tellement ingénieuses... Gaffe à ne pas ouvrir n'importe quel doc 

Mouais... comme d'hab ça a probablement été un peu exagéré. Le mec qui a écrit le fil twitter a peu être deux trois potes 'og' qui se sont fait siphonner dans la même période... En tout cas ça confirme qu'il faut être carré avec nos gestions d'identifiants, seed et compagnie.  Et c'est probablement des manquements (comme cités plus haut : hébergement clés privées dans cloud, seed sur bureau windows, valider des txs sans trop comprendre ce que ça implique etc...) qui ont conduit la plupart à se faire siphonner.   

De toute manière c'est pas la dernière fois qu'on entendra parler de ce genre de choses (et c'est malheureusement parfois tellement facile de tomber dans le panneau...).

Quel suspens 

Ouais j'ai aussi un peu regardé sur Reddit, rien de neuf ou alors ça m'échappe totalement.  
Quelques posts de Metamask qui annoncent qu'ils travaillent encore sur le hack, mais ça date déjà pas mal.

J'aimerais bien en savoir plus également. Je viens de faire une recherche twitter avec 'wallet draining' en mots clé et les résultats sont... inattendus 

Alors le siphonnage est toujours en cours ?

On en entend plus trop parler, on en sait plus à ce sujet ?
J'espère qu'on en connaîtra les causes (dès qu'il y a du sucre à casser sur le dos de Metamask je suis preneur  )

Dans ce domaine, il vaut mieux prévenir que guérir. Et donc penser qu'il s'agit de théorie sans fondement n'est certainement pas suffisant pour rassurer.

Mouai, cela me semble un peu tiré par les cheveux.

Si T. Monahan préfère se taire : je pensais le contraire. D'un point de vue business, ils feraient mieux d'être transparents. Il me semble que c'est la stratégie la plus sage à suivre. Sinon, ce serait risquer la réputation de l'entreprise (son image, voire son activité). D'un autre côté, essayer d'étouffer l'affaire, en sachant que la vérité pourrait être connue plus tard... Franchement, c'est risqué... Je n'oserais pas.

Quant aux portefeuilles de papier : Je me souviens de ces failles, mais je pense que si tu es une baleine à plusieurs millions de dollars, tu sais très bien comment tu as généré des clés. L'argent ne fait pas perdre le nord, comme on dit...
Et un bitcoiner, ca suit l'actualité et tout ça, encore plus avec quelques millions.

Ce qui pouvait être siphonné, l'a été depuis longtemps. Je n'aurais pas attendu des années pour le faire.

Je pense surtout que ça part dans tous les sens sur des théories sans fondement.

Le genre de rumeur qui pourrait expliquer pourquoi les plus anciennes baleines se réveillent actuellement et se mettent à  bouger leur wallets...

Desastre en vue ?  

---

Au début, les logiciels permettant de générer des "paper wallets" ont été baclés et avaient des failles et des hackeurs pourraient (ou ont peut-être commencer à) exploiter ces failles pour découvrir les clés privées. Les baleines qui avaient peut-être utilisé ces logiciels (ou qui ne s'en souviennent pas) chercheraient donc à déplacer leurs btc vers de nouvelles adresses plus sûres.

https://cryptopotato.com/bitcoin-whale-moves-11-million-in-btc-after-12-years-of-inactivity/



https://www.coindesk.com/tech/2023/04/25/bitcoin-whales-spook-crypto-twitter-with-sudden-wallet-movements/



https://cryptoslate.com/old-wallets-activate-sparking-fears-of-mass-hack-targeting-bitcoin-veterans/

---

Edit modo : Fusion double post
Archive

Ouais.... elle aurait plutôt intérêt à se taire non ?

Toujours rien de clair dans cette histoire et même si il y a quelque chose de louche ça part toujours dans des délires genre celui ci --> https://twitter.com/crypto_bitlord7/status/1650604763585585167 (bon le mec est un toxico notoire  ).

"Rumours on the dark net that someone has been cracking older $BTC paper wallets."

Ce hack a été mis à jour par Taylor Monahan, fondatrice du gestionnaire de portefeuille Ethereum MyCrypto désormais employée par MetaMask.

Taylor Monahan n'est donc pas neutre. N'a-t-elle pas intérêt à "noyer le poisson" et à faire croire que le hack ne concerne pas que MM.

Parce qu'il semble bien tout de même que ce sont essentiellement des wallets MM qui ont été vidés.

Il y aurait apparemment aussi des wallets Ledger mais peut-être que ces wallets étaient connectés à MM.

Je reconnais qu'il ne s'agit que d'une théorie du complot probablement fausse mais comme cette idée me trotte dans la tête depuis le début, je préfère m'en débarrasser en la livrant dans ce forum.

ça me parait trop sophistiqué. Je crois que si hackeur peut vider un wallet, il va le faire complètement car il ne sait pas s'il aura une seconde chance. En plus, la plupart des wallets contiennent plus de btc que d'eth.

La question qui se pose c'est est-ce que ça ne serait pas justement la tactique du hackeur? Il se concentre sur ETH et épargne délibérément BTC pour l'instant, pour pouvoir convertir ses ETH volés en une crypto qui garde un prix stable en cas de crash de l'ETH dû au retentissement de ses hacks? Mais une fois qu'il aura vidé ce qu'il peut vider sur ETH, rien ne l'empêchera alors de s'attaquer à des wallets BTC...

J'ai installé sur chrome oui. La version desktop a l'air de plaire à pas mal de monde à lire les discussions sur discord. La différence principale réside dans le fait qu'il ne s'agit plus d'une extension et qu'elle peut être installée comme une application classique (donc utilisable à côté de firefox alors que l'extension n'est pas dispo dessus actuellement).

Et aucun problème pour conserver metamask à côté. Bon après il faut le temps de s'y faire et comme il ne s'agit pas, dans le cas de rabby, d'un wallet encore ultra connu il semble qu'il y a parfois quelques petits bugs et incompatibilités mineurs. C'est le cas d'ailleurs de 'fire' cité au dessus, qu'il faudra parfois désactiver. Mais tout ceci devrait être peaufiné avec le temps j'imagine.

Merci pour "Fire", je connaissais pas, ça semble très astucieux.

Pour Rabby Wallet, tu utilises la version Chrome ou desktop ? D'ailleurs c'est quoi une version desktop, ça interagit comment avec les apps ?
Techniquement, tu peux garder metamask et ajouter à côté rabby ?

Je parlais des techniques de scammeurs hier. Il y en a un qui vient de hacker le compte twitter de Kucoin. Combien de malheureux vont encore tomber dans le panneau ? 

https://twitter.com/EricCryptoman/status/1650265724470845441?t=3dGhb-G1rvOo7AI6In2Y-A&s=35

Pour revenir sur le sujet du thread :

Pour ceux qui (comme moi) aiment bien essayer pas mal de choses (nouveaux projets/réseaux/protocoles ou je ne sais quoi) en plus du conseil de base d'utiliser un wallet dédié à ça, vous pouvez utiliser une extension telle que 'fire' (dispo uniquement sur chrome je pense).

Cette extension va simuler et expliquer de façon claire ce qui va se passer avant que vous validiez une tx avec metamask.

C'est sans risque puisque la seed n'est pas en contact avec l'addon. Le projet est suivi sur twitter par des pointures et des gros comptes. Bref, c'est pas indispensable mais c'est une précaution de plus,imo.   

https://twitter.com/_joinfire

Et sinon, pour ceux qui veulent carrément se séparer de metamask il existe par exemple 'rabby wallet', qui rempli la même fonction que mm mais avec des sécurités en plus.

https://twitter.com/Rabby_io

On pourrait en citer d'autres bien sûr...

Parce que cette baleine sait des choses que nous ne savons pas ? 

En rapport avec ce mystérieux hack ? 

pourquoi maintenant ? aprés tous ce temps. il aurez pue vendre à 60k, ou paniquer au bear à 15k en tous cas il a une sacré paire de noix.

178 millions de dollars en BTC sorte du néant

Un article qui ne nous apprend rien de plus sur ce hack mais qui a le mérite d'en parler.

https://cryptoast.fr/hack-depuis-decembre-mysterieux-vols-cryptomonnaies-touchent-wallets/

Ce qui est étonnant, c'est:
- qu'on en parle aussi peu dans les médias.
- que les gens n'ont pas l'air d'avoir peur.

oui et surtout ils s'engagent à rembourser. "As a commitment to transparency and user protection, we want to assure users that we will reimburse eligible losses from hacks due to the vulnerability and have created a reimbursement process for the affected users"

Je trouve que l'info n'a pas tourné beaucoup même dans la sphère crypto. Probablement parce qu'on n'y voit pas trop clair. Entre ceux qui ont des comportements à risques (stockage des seeds...), qui cliquent sur des liens vérolés etc il y a un écremage à faire. Mais clairement il reste de nombreux cas d'users avertis qui se sont fait siphonner.

D'ailleurs concernant les liens verolés, c'est incroyable la quantité et le niveau de qualité (triste à dire) que les scammeurs atteignent. Moi qui aime bien tester pas mal de truc j'y vais à pas de velours 

C'est bizarre que ce truc n'est pas été couvert dans les medias de masse. Normalement dès qu'il s'agit d'une mauvaise nouvelle, tu la vois partout sur BFM, Capital, RTL, etc... et même France Culture.
J' ai vu un article qu'une ou deux fois, mais c'était sur des sites de niche orientés cryptos


Y'a quand même 170 000$ qui sont partis. Les 2/3. Mais bon, ca reste des cacahuetes pour eux j'avoue

De même. Je zieute un peu vite fait tous les jours mais rien n'a l'air d'émerger.

Il y a Trust wallet qui a communiqué aujourdhui concernant des wallets vulnérables (comme quoi ça arrive...) après avoir été générés chez eux en utilisant un outil corrompu. https://community.trustwallet.com/t/wasm-vulnerability-incident-update-and-recommended-actions/750786

Ils précisent que cela n'a aucun rapport avec la vague récente de drainages de wallets.

"Is this vulnerability related to the massive wallet drain mentioned in this Twitter post https://twitter.com/tayvano_/status/1648187031468781568 22?

No. They are two completely unrelated events. None of the wallet addresses affected by this vulnerability are found in this massive wallet drain mentioned in the Twitter post.
"

Les fonds en danger sur ces quelques wallets représentent en effet un somme 'ridicule' (88 000$ restants).

Keypass ne stocke pas les données en ligne (en tout cas pas chez moi ?), et si le mot de passe maitre est bon, ça semble presque impossible de déchiffrer le fichier en local.
North Korea ou pas, ce qui compte c'est la manière de faire, pas qui le fait non ?
Brute-forcing keys, j'y crois pas du tout personnellement..

ChatGPT je suis curieux de savoir comment on pourrait s'y prendre, je gère peut cet outil et je me demandais si ça pouvait être une source d'emmerdes?

J'ai hâte qu'on en sache plus. L'hypothèse d'un plugin, ou d'un problème de Cloud/Onedrive etc.. me semble parfaitement crédible. Pareil pour un accès au clipboard.

Y'a un autre truc qui je pense peut produire un siphonnage massif un jour et qui concerne BTC également, c'est l'archivage par inadvertance (ou parce que la personne ne se rend pas compte de ce que c'est) de sa seed dans un dossier "OneDrive" de Windows. Le manque de warnings de Windows à ce sujet peut rendre le phénomène massif dans les années à venir. Un hackeur ou un employé mal intentionné pourrait alors accéder aux seeds archivées dans le cloud OneDrive.

Apparemment on n'a toujours pas trouvé la cause, le dénominateur commun, le patient 0.

Quelques hypothèses évoquées (certaines farfelues) :

Metamask failure ?
zero-day vulnerability disclosed in chrome ?
password manager hacks (LastPass, KeyPass, ...) ?
some backdoor in some wallets ?
a widespread malware that searches for seedphrases on devices ?
ChaosGPT ?
Nort Korea ?
access to clipboard history, via an extension ?
brute-forcing keys ?

Merde j'y croyais 

On a trouvé la cause. 

https://twitter.com/AnonShopApp/status/1648431561157771264

Et lightning la direction assistée ou les ceintures à l'arrière.

J'aime bien la comparaison

Finalement c'est l'essence même de ces deux projets et ce qui les différencie. Sur Ethereum on raisonne comme une entreprise : on construit un maximum de fonctionnalités le plus vite possible, quitte à pousser des mises à jour de manière pas toujours démocratique, à centraliser le réseau ou à recourir à des tiers de confiance pour certaines activités, bref à affaiblir la sécurité du réseau.
Sur Bitcoin au moindre risque de centralisation, de censurabilité, de vulnérabilité quelle qu'elle soit, on se retrouve avec une véritable guerre civile dans la communauté, et les mises à jour sont lentes car non seulement on s'arrure que le code marche, mais surtout il faut que plus ou moins tout le monde soit d'accord pour l'appliquer (dévs Core, mineurs, utilisateurs (ie. noeuds), dévs de logiciels client). Donc oui Bitcoin se développe ultra lentement pour s'assurer de ne pas faire d'erreur et ne pas impacter négativement ce qui fait sa force.
Ça n'empêche pas de bâtir de nouvelles choses, c'est juste plus lent. On finira par avoir des smarts contracts sur Bitcoin, ça fait un moment que c'est en projet. Bitcoin se concentre peut-être plus aussi sur les aspects monétaires : alors que les utilisateurs d'Ethereum découvrent les protocoles Layer 2, sur Bitcoin on utilise Lightning depuis belle lurette (même si je sais que tu n'en es pas un adepte).

C'est vrai que Bitcoin parait être un dinosaure à côté d'Ethereum et ses smart contracts, ses NFT, sa DeFi, et son PoS mais sa basicité est peut-être sa force principale finalement. Un peu comme une vieille bagnole sans vitres électriques, c'est moins confortable à utiliser mais t'es sûr qu'elles tomberont pas en panne et que tu pourras toujours les fermer même si la batterie est à plat.

Une discussion interessante sur le sujet:

https://twitter.com/everlasting_io/status/1648856928003702785



etc...

Une autre façon de diminuer le risk est d'échanger ses eth contre des btc.

Un wallet physique froid open source et c'est tout.

Dans ce cas, pourquoi ne pas simplement garder ses euros à la banque ? C'est encore plus sûr.

Not your keys, not your coins ? Et si c'était l'inverse qui était vrai. Nos cryptos ne sont elles pas davantage en sécurité sur Binance ou Kraken ?

(Rhhaaa vous en mettez partout (dans plusieurs topics))



Mmmmm je veux pas foutre la merde ('fin si un peu ) mais ça fait combien de temps que ETH est passé en PoS ? Ce serait "marrant".

hack eth ?

Pour le moment, on ne sait pas exactement comment ces 5000 eth ont disparu. On est certain que ce ne sont pas que des Metamask qui sont attaqués. Il ya aussi des hard wallets qui ont été attaqués. C'est donc trés inquiétant et ça explique pourquoi eth a plongé ces dernières heures (davantage que btc).

Mieux vaut ne pas mettre tous ses eth au même endroit.

edit: un truc qui n'est pas encore clair pour moi. D'autres cryptos ont elles été hackées ? Si quelqu'un, profitant par exemple du hack de lastpass, met la main sur des seeds, il pourrait voler des eth mais aussi des btc et d'autres cryptos...

Il y aurait un vol de l'équivalent de 5000 ETH sur 11 blockchains différentes.

https://twitter.com/MetaMask/status/1648422183436451840

Affaire à suivre ... Le ou les hackers s'activent surtout le week-end apparemment.

C'est exactement ce que j'allais dire,vu que c'est de l'ETH, il y a de grandes chances que ça soit encore une histoire de plugin vérolé, parce que je ne pense pas que les gens soient assez inconscients pour stocker leur seed sans aucune protection/chiffrage dans un cloud ou un webmail, et même si c'est le cas, comment expliquer qu'ils y stockeraient seulement leur seeds/clefs privées Ethereum et pas celles pour Bitcoin avec? Même si ca reste une hypothèse plausible.

---

Encore une bad news pour les cryptos... c'est désespérant

Il semblerait que ça ne touche pas que des MM wallets.

https://twitter.com/tayvano_/status/1648190273594482688


Mais peut-être que les autres cas sont à chaque fois des cas particuliers qui ont une autre cause.

Ouais en effet ça semble être l'explication la plus plausible...

Je me demande où les gens stockent les seeds des fois, on est quand même vraiment tous au courant que ça doit être stocké hors ligne maintenant, je suis toujours choqué du nombre de gens qui prennent des risques inconsidérés..

Apparement il s'agit en majorité de wallets Metamask, on pourrait aussi imaginer un pulgin ou un addon malhonnête qui pourrait siphonner la seed ?

Quelqu'un a peut-être trouvé une explication qui tient la route.

https://twitter.com/PabloSabbatella/status/1648426382509346816

Tout est expliqué ici : https://twitter.com/tayvano_/status/1648187031468781568

Enfin, ce qui est explicable car pour l'heure beaucoup de monde semble se poser des questions...

Alors, pas de panique mais... restons vigilants