Le malware Bom vole plus de 1.82 millions de dollars aux utilisateurs : SlowMist
- L'application BOM identifiée comme un malware ciblant les utilisateurs de cryptomonnaies.
- Une opération d'arnaque a volé plus de 1,82 million $ à plus de 13 000 victimes.
- Une enquête conjointe entre SlowMist et OKX révèle les détails techniques de l'attaque.
Un plan de vol massif de cryptomonnaies a été identifié après que différents utilisateurs ont signalé un accès non autorisé à leurs soldes de portefeuille le 14 février 2025.
Les sociétés de sécurité SlowMist et OKX ont publié un rapport indiquant qu'elles ont découvert qu'une application malveillante appelée BOM était responsable des attaques.
L'étude a établi que BOM était conçu pour tromper les utilisateurs afin qu'ils fournissent l'accès à leur bibliothèque de photos et à leur stockage local. Une fois les autorisations accordées, l'application scanne secrètement les captures d'écran ou les photos contenant des phrases mnémoniques de portefeuille ou des clés privées. Ces dernières étaient publiées sur les serveurs des attaquants.
Selon MistTrack, le malware a touché au moins 13 000 utilisateurs, avec des fonds volés s'élevant à plus de 1,82 million de dollars. Les attaquants ont transféré des fonds sur différentes blockchains telles qu'Ethereum, BSC, Polygon, Arbitrum et Base dans le but de masquer leurs actions.
L'analyse du malware révèle un schéma de collecte de données
L'analyse par l'équipe de sécurité Web3 d'OKX a montré que l'application a été construite avec le framework multiplateforme UniApp. Il s'agissait d'une architecture conçue pour extraire des données sensibles. BOM demande l'autorisation d'accéder à la galerie photo de l'appareil et aux fichiers locaux lors de l'installation. L'application indique de manière trompeuse que ces autorisations sont nécessaires au bon fonctionnement de l'application.
Le décompilation de l'application a révélé que son objectif principal était de récupérer et de télécharger les informations des utilisateurs. Lorsque les utilisateurs visitaient la page du contrat sur l'application, ils activaient des fonctions qui scannaient et récupéraient les fichiers multimédias depuis le stockage de l'appareil. Ceux-ci étaient emballés et téléchargés sur un serveur distant géré par les attaquants.
Le code de l'application comprenait des fonctions telles que « androidDoingUp » et « uploadBinFa », dont le seul but était de télécharger des images et des vidéos depuis l'appareil et de les envoyer aux attaquants. L'URL de rapport utilisait un domaine obtenu à partir du cache local de l'application ; il n'était donc pas facile pour les utilisateurs de tracer la destination de leurs données.
L'application escroquerie avait également un sujet de signature anomale avec des lettres aléatoires (« adminwkhvjv ») au lieu des lettres significatives normalement utilisées dans les applications authentiques. Cet aspect a également établi l'application comme frauduleuse.
L'analyse des fonds sur la chaîne trace les flux d'actifs volés
L'analyse de la blockchain du vol montre les flux de fonds sur plusieurs réseaux. L'adresse principale du vol a initié sa première transaction le 12 février 2025, avec la réception de 0,001 BNB depuis l'adresse.
Sur la chaîne BSC, les attaquants ont réalisé des profits d'environ 37 000 dollars, principalement en USDC, USDT et WBTC. Les hackers utilisaient fréquemment PancakeSwap pour échanger différents tokens en BNB. À ce jour, cette adresse détient 611 BNB et environ 120 000 dollars de tokens, tels que USDT, DOGE et FIL.
Le réseau Ethereum a subi le vol le plus important, perdant environ 280 000 dollars. La majorité de ces fonds provenaient de transferts ETH inter-chaînes depuis d'autres réseaux. Les attaquants ont déposé 100 ETH dans une adresse de secours, à laquelle 160 ETH ont été transférés depuis une autre adresse connectée. Au total, 260 ETH sont détenus à cette adresse sans mouvement supplémentaire.
Sur Polygon, les attaquants ont récolté des tokens d'une valeur d'environ 65 000 dollars, dont WBTC, SAND et STG. La majorité de ces fonds ont été échangés sur OKX-DEX pour près de 67 000 POL. D'autres vols ont été observés sur Arbitrum (37 000 $) et Base (12 000 $), la majorité des tokens ayant été échangés contre de l'ETH et pontés vers le réseau Ethereum.
Ne vous contentez pas de lire les actualités crypto. Comprenez-les. Abonnez-vous à notre newsletter. C'est gratuit.
Avertissement. Les informations fournies ne constituent pas des conseils en matière d'investissement. Cryptopolitan.com ne saurait être tenue responsable des investissements réalisés sur la base des informations fournies sur cette page. Nous recommandons vivement de mener vos propres recherches et/ou de consulter un professionnel qualifié avant de prendre toute décision d'investissement.
Vignesh Karunanidhi
Vignesh est rédacteur de contenu crypto, journaliste crypto, éditeur de contenu et gestionnaire des médias sociaux. Il a travaillé avec Watcher.guru, BeInCrypto, CoinGape, Milkroad et Airdrops pendant plus de 6 ans. Ses compétences dans la couverture des actualités technologiques, robotiques, commerciales et de l'IA ont été affinées grâce à un master en commerce.
