Backdoor de vol de cryptomonnaies détectée sur la plateforme Snap Store pour les utilisateurs Linux
- Les cybercriminels exploitent des domaines de développeurs expirés pour pirater des comptes Snap Store de confiance et distribuer des logiciels malveillants destinés au vol de cryptomonnaies.
- Des applications de portefeuille frauduleuses se faisant passer pour Exodus, Ledger Live et Trust Wallet incitent les utilisateurs à saisir leurs phrases de récupération, entraînant une perte totale des fonds.
- Au moins deux comptes éditeurs du Snap Store ont été confirmés comme compromis.
Les utilisateurs Linux font face à une nouvelle menace alors que les cybercriminels exploitent une vulnérabilité critique dans le Snap Store de Canonical, détournant des comptes de développeurs de confiance pour distribuer des logiciels malveillants de vol de cryptomonnaies déguisés en applications de portefeuille légitimes.
23pds, responsable de la sécurité de l'information chez SlowMist, qui a le handle X @im23pds, a averti que les attaquants surveillent les comptes de développeurs dont les noms de domaine associés ont expiré.
Comment fonctionne l'attaque du Snap Store ?
23pds a écrit, « Les utilisateurs Linux, méfiez-vous : un nouveau type d'attaque fait rage sur le Snap Store — des domaines expirés ont été repris par des pirates et transformés en portes dérobées pour voler les actifs cryptographiques des utilisateurs. »
Les applications altérées sont déguisées en portefeuilles cryptographiques bien connus tels qu'Exodus, Ledger Live ou Trust Wallet, incitant les utilisateurs à saisir leur « phrase de récupération de portefeuille », ce qui entraîne le vol intégral des fonds.
Une fois qu'un domaine cible expire et devient disponible à l'enregistrement, les achètent immédiatement, puis utilisent l'adresse e-mail liée à ce domaine pour déclencher des réinitialisations de mot de passe sur le Snap Store. Cela leur donne un contrôle total sur des identités d'éditeurs de confiance établies de longue date sans éveiller de soupçons immédiats.
Au moins deux comptes de développeurs ont été confirmés comme compromis en utilisant cette méthode, avec les domaines storewise.tech et vagueentertainment.com tombant entre les mains des attaquants.
Les acteurs malveillants, qui seraient basés en Croatie selon Alan Pope, ancien développeur de Canonical et contributeur à Ubuntu, mènent des campagnes contre les utilisateurs du Snap Store depuis environ deux ans.
La prise de contrôle de domaine est l'évolution la plus récente et la plus préoccupante des actions de ces mauvais acteurs, car cela signifie désormais que « un logiciel légitime installé et approuvé par les utilisateurs depuis des années pourrait voir du code malveillant injecté par des pirates via des canaux de mise à jour officiels du jour au lendemain. »
Selon 23pds, « Les applications altérées sont généralement déguisées en portefeuilles cryptographiques bien connus tels qu'Exodus, Ledger Live ou Trust Wallet, avec des interfaces presque indiscernables des versions authentiques. »
Il a déclaré : « Une fois l'application lancée, elle se connecte d'abord à un serveur distant pour vérifier le réseau, puis invite immédiatement l'utilisateur à saisir sa « phrase mnémonique de récupération de portefeuille ». Une fois que l'utilisateur la soumet, ces détails sensibles sont instantanément transmis au serveur de l'attaquant, entraînant le vol des fonds. »
Les victimes découvrent souvent que leurs fonds ont été volés avant de remarquer qu'il y avait un problème, car l'attaque exploite des relations de confiance de longue date.
Que font les grandes plateformes pour limiter les attaques de résurrection de domaines ?
GitHub, PyPI et npm ont tous subi des attaques similaires de résurrection de domaines. Une étude académique de 2022 a identifié plus de 2 800 comptes de développeurs npm configurés avec des adresses e-mail dont les domaines avaient par la suite expiré, mettant en évidence l'ampleur de la vulnérabilité potentielle.
En juin 2025, l'équipe de sécurité de Python a supprimé plus de 1 800 adresses e-mail expirées des comptes de développeurs, obligeant les développeurs à revérifier leurs identifiants avec des domaines actifs lors de leur prochaine connexion.
Le problème découle de ce que les experts en sécurité appellent la pourriture d'internet ou des liens (link rot), où les développeurs qui changent d'emploi ou de fournisseur d'e-mail ne mettent pas à jour les informations de compte sur toutes les plateformes, créant ainsi des failles de sécurité exploitables.
Pope a déclaré que Canonical doit résoudre le problème en mettant en œuvre des sauvegardes, qui pourraient inclure la surveillance de l'expiration des domaines sur les comptes d'éditeurs, l'exigence d'une vérification supplémentaire pour les comptes inactifs, la mise en œuvre d'une authentification multifacteur obligatoire ou d'autres mesures.
Si vous lisez ceci, vous êtes déjà en avance. Restez ainsi grâce à notre newsletter.
Avertissement. Les informations fournies ne constituent pas des conseils en matière d'investissement. Cryptopolitan.com ne saurait être tenue responsable des investissements réalisés sur la base des informations fournies sur cette page. Nous recommandons vivement de mener vos propres recherches et/ou de consulter un professionnel qualifié avant de prendre toute décision d'investissement.
Hannah Collymore
Hannah est rédactrice et éditrice avec près de dix ans d'expérience dans la rédaction de blogs et le reporting d'événements dans l'espace crypto. Chez Cryptopolitan, Hannah contribue à la page actualités, en rapportant et en analysant les derniers développements dans les secteurs de la DeFi, des RWA, de la régulation des crypto-monnaies, de l'IA et des technologies de pointe. Elle est diplômée de l'Université Arcadia avec un diplôme en administration des affaires.
