Les utilisateurs de Bitcoin ciblés dans une série d'arnaques par empoisonnement d'adresse, met en garde Lopp, CSO de Casa

Jameson Lopp, Chief de la sécurité chez Casa, a repéré et alerté les détenteurs de Bitcoin contre une nouvelle arnaque ciblant des adresses Bitcoin connues sous le nom d'empoisonnement d'adresse.

Selon un avertissement partagé via les réseaux sociaux, Lopp a détaillé comment les attaquants inondent les utilisateurs peu méfiants de petites quantités de Bitcoin à partir d'adresses de portefeuille qui ressemblent étroitement aux leurs. L'objectif ? « Empoisonner » l'historique des transactions de l'utilisateur dans l'espoir que la victime copie accidentellement l'adresse falsifiée lors de transferts futurs, envoyant ainsi des fonds directement à l'escroc.

Après avoir analysé les données de l'ensemble de la blockchain Bitcoin, Lopp a constaté que plus de 48 000 tentatives suspectes d'empoisonnement d'adresse ont été signalées depuis le début de 2023. C'est beaucoup, et cela continue d'augmenter.

Une raison importante de cette croissance est une forte baisse des frais de transaction Bitcoin depuis juillet 2024. Avec des coûts réduits, les escrocs peuvent envoyer des milliers de fausses transactions pour presque rien, rendant le ciblage des portefeuilles généralisé simple.

Selon Lopp, l'incidence des attaques d'empoisonnement d'adresse diminuerait drastiquement si le réseau Bitcoin fonctionnait dans un environnement de frais élevés, comme démontré lors de la MIT Bitcoin Expo. Il a déclaré que les faibles coûts de transaction permettent aux escrocs de mener ces attaques à bon marché.

Les escrocs jettent un large filet, mais la stratégie reste négligente, selon Lopp

Dans son analyse, Lopp a cherché à comprendre quels types de portefeuilles étaient victimes d'attaques d'empoisonnement d'adresse. Il a ajouté qu'il était difficile d'identifier un schéma définitif. Mais il pense que les attaquants ont peut-être ciblé des adresses qui étaient revenues à la vie au cours de l'année précédente environ.

À sa grande surprise, 12 199 de ces adresses n'avaient jamais dépensé de fonds. Il a décrit cela comme une occasion manquée pour les attaquants, affirmant que cela trahit une stratégie faible pour choisir les cibles.

S'il menait l' attaque, il se concentrerait sur les portefeuilles qui dépensent, a noté Lopp dans son rapport, en particulier les portefeuilles qui envoient régulièrement de l'argent aux mêmes adresses. Cette stratégie, a-t-il argumenté, offrirait une plus grande chance de tromper un utilisateur réel en lui faisant copier une mauvaise adresse.

La plupart des portefeuilles ciblés ont dépensé des fonds, mais les montants étaient faibles, la plupart des transactions envoyant moins de 10 BTC, ce qui soutient l'idée que les escrocs recherchent du volume et des gains rapides plutôt que des cibles à haute valeur. Au lieu de viser de gros détournements à partir d'un seul coup, les auteurs vont probablement large, espérant plusieurs petits gains qui s'accumulent au fil du temps.

Il a remarqué qu'un escroc génère une adresse de portefeuille qui ressemble le plus possible à une vraie. Ses caractères de début et de fin correspondent à ceux de l'adresse du portefeuille de la cible ou à celle qu'une victime a utilisée récemment.

L'escroc utilise ensuite cette adresse sosie pour envoyer une petite quantité de Bitcoin — parfois juste une petite transaction de « poussière » — à la cible. La transaction apparaît dans l'historique du portefeuille de l'utilisateur.

Si l'utilisateur revient plus tard pour effectuer un paiement, il pourrait copier-coller cette chaîne de caractères au look suspect issue de ses transactions précédentes, croyant agir correctement. Mais ce n'est pas le cas : les Bitcoins atterrissent dans le portefeuille de l'escroc.

Lopp a découvert au moins un a confirmé cas où une victime s'est fait arnaquer. Elle envoyait 0,1 BTC à une adresse frauduleuse, et 12 heures plus tard, elle envoyait un autre 0,1 BTC à ce qui était très probablement l'adresse destinataire. Le portefeuille qui a perdu les fonds détenait près de 8 BTC, soit environ 560 000 $ aux prix actuels, mettant en lumière le potentiel de pertes bien plus importantes.

Lopp a souligné que même un succès rare de ce type d'arnaques peut générer des profits substantiels pour les auteurs.

Les attaques inter-chaînes appellent à des fonctionnalités de sécurité de portefeuille plus intelligentes

Selon Lopp, le arnaque n'est pas unique à Bitcoin. Ethereum et d'autres réseaux blockchain avec des structures d'adresse similaires ont vu des variantes de la même attaque.

En mai 2024, un utilisateur d'Ethereum a perdu 71 millions de dollars dans une attaque similaire. L'argent n'a été récupéré qu'après négociation. Une attaque similaire a également été utilisée contre l'échange de crypto-monnaies japonais DMM Bitcoin, indiquant qu'il s'agit d'une menace inter-chaînes.

Lopp est convaincu que les développeurs de portefeuilles peuvent mieux protéger les utilisateurs contre ces attaques. Il a suggéré que les portefeuilles devraient inclure des fonctionnalités de sécurité capables de détecter lorsqu'un utilisateur interagit avec une adresse suspecte ou un faux-semblant.

« Je peux voir les portefeuilles dire : 'Oh, cela vient juste d'une adresse qui ressemble un peu à celle-ci', et afficher un grand drapeau rouge : ne pas interagir », a déclaré Lopp. Une simple alerte permettrait aux utilisateurs d'économiser beaucoup d'argent.

Il met également en garde les utilisateurs contre l'utilisation de transactions passées pour dupliquer les adresses de portefeuille. Au lieu de cela, ils devraient vérifier indépendamment ou recouper les adresses à partir de sources fiables connues à chaque fois qu'ils envoient de l'argent.

Lopp conseille également aux utilisateurs d'adopter des pratiques plus sûres, telles que l'utilisation de fonctionnalités de liste blanche d'adresses, l'étiquetage des transactions et la numérisation de codes QR. Il recommande également les portefeuilles multisignatures et la vérification régulière de l'historique des transactions pour s'assurer qu'aucune adresse inconnue ne s'est glissée dans l'usage.