Après un hack, MetaMask déconseille aux utilisateurs d’Apple d’activer la sauvegarde automatique d’iCloud

MetaMask met en garde les utilisateurs d’Apple

Vendredi dernier, un investisseur dénommé Domenic Iacovone a reçu un prétendu appel du service client d’Apple, les voleurs lui ont ensuite fait faire des manipulations pour s’emparer de l’intégralité de son portefeuille MetaMask.

Hey y’all, let’s see how amazing this community can be. My entire wallet was just stolen. Totally wiped out,

MAYC 28478, MAYC 8952, MAYC 7536

Gutter cat 2280 , 2769, 2325
Also stole 100k in ape coin.
Looking for all the help I can get.

100kreward @BoredApeYC @GutterCatGang

— Domenic Iacovone (@revive_dom) April 14, 2022

Le portefeuille contenait plusieurs tokens non fongibles (NFT) des collections Mutant Ape Yatch Club et Gutter Cat Gang, ainsi que 100 000 dollars en ApeCoin (APE). Le total du larcin s’élève à une valeur de 655 000 dollars environ.

L’utilisateur Twitter sous le pseudonyme de Serpent, décrit ce qui est arrivé à Domenic Iacovone pour en arriver là :

https://twitter.com/Serpent/status/1515545806857990149?s=20&t=bll80Qh-nsV9wheZw-rsaA

Dans un premier temps, les voleurs ont déclenché des réinitialisations aléatoires de l’identifiant Apple de la victime afin de mettre celle-ci sur ses gardes. Puis ils ont appelé à plusieurs reprises avec une fausse identification d’appelant, afin que Domenic Iacovone pense à des appels manqués d’Apple.

Il a donc rappelé le numéro et il lui a été demandé de réinitialiser son identifiant lui-même à cause d’une soi-disant activité suspecte, puis de transmettre le code de double authentification sous prétexte de prouver son identité.

Grâce à cette manipulation, les voleurs ont ainsi eu accès au service Apple iCloud de Domenic Iacovone et ont pu lui dérober le contenu de son portefeuille MetaMask.

C’est à cause de cette histoire que MetaMask a publié une mise en garde sur les sauvegardes automatiques et a expliqué la procédure pour empêcher celles-ci :

🔒 If you have enabled iCloud backup for app data, this will include your password-encrypted MetaMask vault. If your password isn’t strong enough, and someone phishes your iCloud credentials, this can mean stolen funds. (Read on 👇) 1/3

— MetaMask 🦊🫰 (@MetaMask) April 17, 2022

? Pour aller plus loin – 7 bonnes pratiques pour protéger son portefeuille de cryptomonnaies d’un hack

Une sauvegarde de clé privée en local

Suite à cette mésaventure, la victime s’est offusquée d’apprendre que MetaMask sauvegardait les clés privées à notre insu. En vérité, ce n’était pas un secret. Il est même logique que celles-ci soient stockées en local, sinon nous ne pourrions pas avoir accès à notre phrase de récupération dans les paramètres de sécurité du portefeuille.

C’est d’ailleurs ce qu’expliquait Charles Guillemet, directeur technique chez Ledger, lors de son interview auprès de Cryptoast :

La clé privée d’un hot wallet est stockée sur notre machine (ou iCloud en l’occurrence) et celle-ci est simplement encodée. Mais quelqu’un de suffisamment qualifié pour passer outre cet encodage aura alors accès à l’entièreté du portefeuille. La façon la plus efficace de se protéger face à cela reste alors le hardware wallet, qui plus est pour des sommes aussi importantes.

Si Domenic Iacovone en avait eu un, le phishing dont il a été victime aurait échoué. Étant très actif sur son Twitter et son Instagram, il est fort probable qu’il ait été ciblé spécifiquement et que les voleurs avaient préparé leur coup après une période d’observation et de préparation.

Bien que ce malheureux épisode ait touché un utilisateur d’Apple, il faut garder à l’esprit que cela aurait pu arriver sur n’importe quelle machine. Personne n’est à l’abri de ce type d’attaques, et souvent, l’humain reste la principale faille.

Cela nous rappelle que dans les cryptomonnaies, nous sommes entièrement responsables de notre argent et par conséquent, de la sécurité qui va avec.

💡 Sur le même sujet – Sécurité : Google Chrome nécessite d’être mis à jour suite à une faille majeure

Depuis 2021, je consacre mon temps libre à me former sérieusement sur les cryptomonnaies afin d'acquérir un maximum de connaissances et de crédibilité. J'ai souvent l'opportunité de réaliser des interviews de personnalités influentes de l'industrie blockchain. Je mène également des analyses approfondies sur des thématiques du Web3 pour proposer du contenu exclusif aux lecteurs de Cryptoast.

Vincent Maire

1511 articles

Tous ses articles