Après un hack, MetaMask déconseille aux utilisateurs d’Apple d’activer la sauvegarde automatique d’iCloud
Suite à un hack de 655 000 dollars, MetaMask invite ses utilisateurs possédant des appareils Apple à désactiver la sauvegarde automatique iCloud. En effet, des personnes mal intentionnées se sont fait passer pour Apple auprès d’une victime, qui a eu la mauvaise surprise de constater le vol de l’intégralité de son portefeuille.
le 19 avril 2022 à 9:00.
3 minutes de lecture
MetaMask met en garde les utilisateurs d’Apple
Vendredi dernier, un investisseur dénommé Domenic Iacovone a reçu un prétendu appel du service client d’Apple, les voleurs lui ont ensuite fait faire des manipulations pour s’emparer de l’intégralité de son portefeuille MetaMask.
Hey y’all, let’s see how amazing this community can be. My entire wallet was just stolen. Totally wiped out,
MAYC 28478, MAYC 8952, MAYC 7536
Gutter cat 2280 , 2769, 2325
Also stole 100k in ape coin.
Looking for all the help I can get.100kreward @BoredApeYC @GutterCatGang
— Domenic Iacovone (@revive_dom) April 14, 2022
Le portefeuille contenait plusieurs tokens non fongibles (NFT) des collections Mutant Ape Yatch Club et Gutter Cat Gang, ainsi que 100 000 dollars en ApeCoin (APE). Le total du larcin s’élève à une valeur de 655 000 dollars environ.
L’utilisateur Twitter sous le pseudonyme de Serpent, décrit ce qui est arrivé à Domenic Iacovone pour en arriver là :
https://twitter.com/Serpent/status/1515545806857990149?s=20&t=bll80Qh-nsV9wheZw-rsaA
Dans un premier temps, les voleurs ont déclenché des réinitialisations aléatoires de l’identifiant Apple de la victime afin de mettre celle-ci sur ses gardes. Puis ils ont appelé à plusieurs reprises avec une fausse identification d’appelant, afin que Domenic Iacovone pense à des appels manqués d’Apple.
Il a donc rappelé le numéro et il lui a été demandé de réinitialiser son identifiant lui-même à cause d’une soi-disant activité suspecte, puis de transmettre le code de double authentification sous prétexte de prouver son identité.
Grâce à cette manipulation, les voleurs ont ainsi eu accès au service Apple iCloud de Domenic Iacovone et ont pu lui dérober le contenu de son portefeuille MetaMask.
C’est à cause de cette histoire que MetaMask a publié une mise en garde sur les sauvegardes automatiques et a expliqué la procédure pour empêcher celles-ci :
🔒 If you have enabled iCloud backup for app data, this will include your password-encrypted MetaMask vault. If your password isn’t strong enough, and someone phishes your iCloud credentials, this can mean stolen funds. (Read on 👇) 1/3
— MetaMask 🦊🫰 (@MetaMask) April 17, 2022
? Pour aller plus loin – 7 bonnes pratiques pour protéger son portefeuille de cryptomonnaies d’un hack
Le livre de Cryptoast pour tout comprendre aux cryptosUne sauvegarde de clé privée en local
Suite à cette mésaventure, la victime s’est offusquée d’apprendre que MetaMask sauvegardait les clés privées à notre insu. En vérité, ce n’était pas un secret. Il est même logique que celles-ci soient stockées en local, sinon nous ne pourrions pas avoir accès à notre phrase de récupération dans les paramètres de sécurité du portefeuille.
C’est d’ailleurs ce qu’expliquait Charles Guillemet, directeur technique chez Ledger, lors de son interview auprès de Cryptoast :
La clé privée d’un hot wallet est stockée sur notre machine (ou iCloud en l’occurrence) et celle-ci est simplement encodée. Mais quelqu’un de suffisamment qualifié pour passer outre cet encodage aura alors accès à l’entièreté du portefeuille. La façon la plus efficace de se protéger face à cela reste alors le hardware wallet, qui plus est pour des sommes aussi importantes.
Si Domenic Iacovone en avait eu un, le phishing dont il a été victime aurait échoué. Étant très actif sur son Twitter et son Instagram, il est fort probable qu’il ait été ciblé spécifiquement et que les voleurs avaient préparé leur coup après une période d’observation et de préparation.
Bien que ce malheureux épisode ait touché un utilisateur d’Apple, il faut garder à l’esprit que cela aurait pu arriver sur n’importe quelle machine. Personne n’est à l’abri de ce type d’attaques, et souvent, l’humain reste la principale faille.
Cela nous rappelle que dans les cryptomonnaies, nous sommes entièrement responsables de notre argent et par conséquent, de la sécurité qui va avec.
💡 Sur le même sujet – Sécurité : Google Chrome nécessite d’être mis à jour suite à une faille majeure
Ledger : la meilleure solution pour protéger vos cryptomonnaies 🔒Recevez un récapitulatif de l'actualité crypto chaque jour par mail 👌
Ce qu’il faut savoir sur les liens d’affiliation. Cette page peut présenter des actifs, des produits ou des services relatifs aux investissements. Certains liens présents dans cet article peuvent être affiliés. Cela signifie que si vous achetez un produit ou que vous vous inscrivez sur un site depuis cet article, notre partenaire nous reverse une commission. Cela nous permet de continuer à vous proposer des contenus originaux et utiles. Il n'y a aucune incidence vous concernant et vous pouvez même obtenir un bonus en utilisant nos liens.
Les investissements dans les crypto-monnaies sont risqués. Cryptoast n'est pas responsable de la qualité des produits ou services présentés sur cette page et ne pourrait être tenu responsable, directement ou indirectement, par tout dommage ou perte causé suite à l'utilisation d'un bien ou service mis en avant dans cet article. Les investissements liés aux crypto-actifs sont risqués par nature, les lecteurs doivent faire leurs propres recherches avant d'entreprendre toute action et n’investir que dans les limites de leurs capacités financières. Cet article ne constitue pas un conseil en investissement.
Recommandations de l'AMF. Il n’existe pas de rendement élevé garanti, un produit présentant un potentiel de rendement élevé implique un risque élevé. Cette prise de risque doit être en adéquation avec votre projet, votre horizon de placement et votre capacité à perdre une partie de cette épargne. N’investissez pas si vous n’êtes pas prêt à perdre tout ou partie de votre capital.
Pour aller plus loin, lisez nos pages Situation Financière, Transparence du Média et Mentions Légales.
Depuis 2021, je consacre mon temps libre à me former sérieusement sur les cryptomonnaies afin d'acquérir un maximum de connaissances et de crédibilité. J'ai souvent l'opportunité de réaliser des interviews de personnalités influentes de l'industrie blockchain. Je mène également des analyses approfondies sur des thématiques du Web3 pour proposer du contenu exclusif aux lecteurs de Cryptoast.
Vincent Maire
1464 articles
Ai je une chance de récupérer mes fonds volés sur mon wallet métamask par phishing ? 175000 usdt ! je suis ruiné
Perdre 650.000 dollars de nft en donnant son code de double authentification, j'ai envie de dire bien fait.
Comment en 2022 des gens peuvent encore oublier d'aller consulter le site du fournisseur de service pour y constater qu'il y'a bien un soucis, comment peut on donner à quelqu'un un code 2fa alors qu'il est bien indiqué de ne jamais le donner à quiconque ??? Je ne sais pas pour apple mais il me semble qu'ils disent bien que jamais un agent clientèle ne peut réclamer un code d'accès ou de validation pour effectuer une vérification ou une bizarrerie de la sorte. 600k sérieux ça me fait mal pour lui mais en même temps...