- ZachXBT a retracé des drains de portefeuilles à travers les réseaux EVM, avec des pertes restant faibles par adresse.
- Une seule adresse Ethereum continue de recevoir des fonds, ce qui signale une activité inter-chaînes.
- Les analystes étudient les autorisations, signatures et extensions, mais la méthode d’exploitation reste inconnue.
L’enquêteur blockchain ZachXBT a alerté la communauté crypto au sujet d’une activité inexpliquée de drainage de portefeuilles affectant plusieurs blockchains compatibles EVM. Cette activité a déjà entraîné plus de 107 000 $ de pertes. Les portefeuilles individuels perdent généralement moins de 2 000 $. Cependant, le nombre d’adresses touchées continue d’augmenter. L’origine de ces drains reste non identifiée.
Le suivi on-chain a lié les fonds volés à une seule adresse Ethereum qui reçoit de façon répétée des transferts provenant de victimes non liées. L’adresse, 0xAc2e5153170278e24667a580baEa056ad8Bf9bFB, est apparue dans de multiples transactions liées à cette activité. Les fonds continuent d’affluer vers cette adresse, indiquant que le drainage n’a pas cessé.
Plutôt que de gros vols isolés, l’activité repose sur de petits retraits répartis sur de nombreux portefeuilles. Ce schéma semble retarder la détection. En conséquence, les pertes s’accumulent discrètement tandis que les victimes ne s’en rendent compte que lorsque leur solde diminue.
Le schéma inter-chaînes attire l’attention
Les rapports montrent que l’activité touche plusieurs réseaux basés sur EVM. Selon BitPinas, des portefeuilles concernés apparaissent sur Ethereum, BNB Chain, Base, Arbitrum, Polygon, Optimism et d’autres écosystèmes EVM. L’ampleur des réseaux impliqués soulève des questions sur un point de défaillance commun.
Parce que les chaînes EVM s’appuient sur des normes de portefeuille et des flux de signature similaires, les enquêteurs soupçonnent que l’exploit ne cible pas un protocole en particulier. Il pourrait plutôt impliquer une logique de portefeuille commune ou une gestion des permissions partagée. De nombreux portefeuilles utilisent des processus d’approbation et des invites utilisateur similaires.
Malgré l’accumulation de données, aucune cause confirmée n’a émergé. Les analystes continuent d’examiner les abus d’approbation de jetons, les requêtes de signature trompeuses et d’éventuels problèmes de chaîne d’approvisionnement affectant les logiciels de portefeuille. Certaines recherches se concentrent également sur les extensions de navigateur. Aucune de ces théories n’a pour l’instant été confirmée.
À lire aussi : ZachXBT révèle le cofondateur caché de BlockDAG et des millions disparus
Les exploits de décembre offrent un contexte plus large
Ces drains de portefeuilles interviennent après un mois marqué par plusieurs incidents majeurs de sécurité crypto. PeckShield a signalé 26 exploits importants en décembre. Un petit nombre de cas ont représenté la majorité des pertes. Le plus important impliquait un utilisateur unique ayant perdu 50 millions $ dans une escroquerie de « address poisoning ».
Dans les attaques par usurpation d’adresse (« address poisoning »), les attaquants envoient de petites transactions à partir d’adresses ressemblant fortement à des adresses légitimes. Les victimes copient ensuite la mauvaise adresse depuis l’historique de transaction lors d’un transfert. Les fonds sont alors transférés de façon irréversible vers l’attaquant. Ces escroqueries reposent sur la ressemblance visuelle plutôt que sur des failles techniques.
PeckShield a également documenté un autre incident en décembre impliquant une fuite de clé privée liée à un portefeuille multi-signature. Cette brèche a entraîné des pertes d’environ 27,3 millions $. Ce cas a démontré que même les portefeuilles nécessitant plusieurs approbations restent vulnérables lorsque la sécurité des clés échoue.
Les portefeuilles de navigateur restent exposés
Les portefeuilles basés sur navigateur restent toujours les plus ciblés par les attaquants, principalement parce qu’ils sont en permanence connectés à Internet. PeckShield a été cité parmi les exploits du jour de Noël ayant vidé environ 7 millions $ depuis l’extension navigateur de Trust Wallet. Un autre incident en décembre a visé le protocole Flow avec une perte estimée à 3,9 millions $.
La survenue de ces incidents témoigne des risques qui subsistent dans les environnements de portefeuilles en ligne. La plupart des chercheurs en sécurité recommandent les portefeuilles matériels, qui conservent les clés privées hors ligne, comme l’option la plus sûre pour un stockage à long terme.
En ce qui concerne le drainage actuel des portefeuilles EVM, les équipes de sécurité suggèrent aux utilisateurs de révoquer les autorisations inutilisées, de vérifier les applications connectées et de réduire l’activité de signature. Nombre d’entre eux recommandent également de transférer les actifs vers de nouveaux portefeuilles avec de nouvelles phrases de récupération pendant que la surveillance est en cours.
