Réseaux sociaux d'Immutable AI Labs compromis, propagation de liens de phishing

Immutable AI Labs semble avoir été compromis après avoir été repartagé un lien risqué pour son airdrop de jetons IMMU. Des chercheurs en sécurité Web3 ont trouvé d'autres instances de profils de réseaux sociaux compromis récemment. 

Immutable AI Labs a eu son profil de réseaux sociaux compromis, comme découvert par Web3 Antivirus. La découverte est intervenue après que le compte X d'Immutable AI a été trouvé en train de diffuser un faux lien pour que les utilisateurs vérifient leur éligibilité avant son nouvel airdrop de jetons IMMU. 

Le risque est toujours présent, car le compte X d'Immutable AI n'est toujours pas gelé ou suspendu. Le lien malveillant était toujours actif plusieurs heures après la publication initiale. Le faux lien utilise un site web ImmutableAI spoofé, avec une légère différence par rapport au vérificateur d'éligibilité réel. Le compte piraté a également diffusé le lien de phishing via des réponses.

Les vérificateurs d'adresse ne signalent pas le site spoofé comme risqué, et l'outil Web3 Antivirus ne signale le risque que lors de la tentative de connexion d'un portefeuille.

Les comptes de réseaux sociaux piratés sont l'une des principales méthodes de distribution de fausses adresses de tokens et de liens de phishing. Cette fois, le mélange comprenait également un site web entièrement usurpé. Le service Web3 Antivirus marque l'adresse comme risquée, contenant un draineur de portefeuille et une adresse Ethereum usurpée qui semble légitime. 

Les pirates d'Immutable AI Labs publicisent de faux tokens IMMU

Pour Immutable AI Labs, le token IMMU n'est mentionné nulle part ailleurs sur les réseaux sociaux, sans conditions détaillées sur le airdrop. Immutable AI n'a aucun lien avec ImmutableX, qui est un projet distinct qui prétend sécuriser les modèles d'entraînement d'IA sur la blockchain. 

Les attaques sur les réseaux sociaux ont usurpé les utilisateurs de jusqu'à 3,5 millions de dollars au cours des derniers mois, selon le suivi blockchain par ZachXBT. Les comptes attaqués étaient principalement des initiés de la crypto, bien qu'ils comprenaient également le nom d'utilisateur Twitter de McDonald’s. 

Les comptes X volés peuvent être particulièrement délicats, car il y a eu des cas où le pirate a repris le contrôle de l'application même après la reprise. Parfois, un pirate peut configurer une clé d'accès (passkey) sur une application mobile, ce qui est généralement suffisant pour se reconnecter au compte et envoyer des messages.

L'exploitation reposait sur la création de la clé d'accès, qui n'est pas immédiatement visible pour le véritable propriétaire du compte. Pour Web3 et d'autres projets, les récupérations de compte doivent prendre en compte le potentiel d'accès via une clé d'accès, qui doit être révoquée.  

À mesure que les tokens gagnent en valeur et que l'activité augmente, les liens de phishing ont désormais plus d'opportunités de se cacher sous diverses formes. L'activité DeFi, les ventes de tokens, les mints NFT ou d'autres activités Web3 sont toutes des options viables pour créer des draineurs de portefeuille, de faux tokens ou des rug pulls Pump.fun. 

La DEX Aerodrome a également été impersonnée par des publicités Google malveillantes

Dans les cas où les pirates ne peuvent pas prendre le contrôle d'un compte de réseau social, les fausses publicités sur les recherches Google restent un outil courant pour diffuser des liens usurpés. Une attaque récente impliquait le DeFi Llama service de trading.

La meilleure approche pour éviter ces pièges est de marquer les liens légitimes comme favoris pour la plupart des services DEX et DeFi au lieu de s'appuyer sur une recherche Google à chaque fois. Certains liens peuvent nécessiter une double vérification ou, en dernier recours, être testés avec un portefeuille ne contenant pas de réserves importantes.

🚨 Alerte de sécurité : Nous avons détecté des publicités de phishing imitant Aerodrome sur Google ! Ces fausses publicités pourraient voler vos actifs si vous connectez votre portefeuille et signez des transactions.

🛡️ Conseils de sécurité :
• Ignorez les résultats des publicités Google
• Mémorisez les sites de confiance
• Ne vous précipitez jamais pour signer des transactions pic.twitter.com/OkCg3uK4Zy

— Scam Sniffer | Web3 Anti-Scam (@realScamSniffer) 27 novembre 2024

La popularité de la blockchain Base et sa capacité à atteindre des actifs précieux ont poussé les pirates à poster une fausse publicité pour Aerodrome, l'une de ses DEX les plus actives. 

Cette fois, le contenu sponsorisé a été supprimé presque immédiatement. L'attaque contre Base montre que la chaîne s'est imposée comme l'un des principaux lieux de stockage de valeur. Jusqu'à récemment, les services de suivi des arnaques notaient que plus de 95 % des exploitations ciblaient Ethereum. Base, en tant que Layer 2, détient toujours des actifs précieux, y compris des tokens USDC. 

Les exploitations de portefeuilles Solana sont encore plus risquées car la permission signée ne peut pas être révoquée. Une fois qu'un draineur contrôle le portefeuille avec une permission signée, cette adresse est à jamais entachée et ne stocke plus aucun actif en toute sécurité, même si l'utilisateur contrôle ses clés privées. 

Les liens d'arnaque vident souvent les petits portefeuilles. Cependant, certaines des plus grandes exploitations ont atteint plus de 32 M$. Pink Drainer, l'outil de vidage de portefeuille le plus courant, a jusqu'à présent accumulé plus de $8Mds en actifs multi-chaînes, avec 22 161 victimes. Le vidage ciblé de portefeuilles pour de grosses sommes est généralement l'option la plus efficace, mais les liens génériques usurpés tentent toujours de vider les portefeuilles des utilisateurs particuliers.