Lido Phishing. Difficile de savoir à qui faire confiance dans le secteur des cryptomonnaies. Car les arnaques et autres opérations de phishing sont légion dans cet écosystème numérique. Et les acteurs malveillants à l’origine de ces procédures frauduleuses ne manquent pas d’imagination pour tromper leurs cibles. Une activité responsable de la perte de 573 millions de dollars durant le deuxième trimestre de cette année. Fort heureusement, le récent piratage d’un e-mail de la Fondation Ethereum ne sera pas à comptabiliser dans ce carnage…

La Fondation Ethereum perd le contrôle de son mail « updates »

Participer activement au développement du secteur des cryptomonnaies expose à certaines déconvenues presque inévitables. Car il y a toujours un moment où l’excitation prend le pas sur la méfiance, face à la promesse d’une opportunité à ne surtout (SURTOUT) pas manquer.

Mais fort heureusement ce genre de faux pas s’estompe avec le temps et l’expérience. Et les projets visés ou contrefaits commencent à trouver des parades efficaces afin d’en limiter les conséquences néfastes.

Une expérience que vient de subir récemment la Fondation Ethereum, suite au piratage de l’une de ses adresses e-mail officielles. En effet, son compte de messagerie « updates » ([email protected]) est tombé sous le contrôle d’un pirate visiblement bien informé.

Une prise de contrôle dont la conséquence directe a été l’envoi immédiat de 35 794 e-mails frauduleux à ses abonnées directs. Le but ? Rediriger les victimes ciblées vers un site de phishing dédié.

Plus de peur que de mal

Et comme le principe d’une bonne arnaque est d’être juste assez véridique pour ne pas paraître fausse, cette opération redirigeait les victimes vers un site en apparence associée au protocole de Liquid Staking Lido Finance. Cela dans le cadre d’un partenariat avec l’organisation autonome décentralisée LidoDAO afin de leur offrir des rendement de staking à hauteur de 6,8 % (APY).

Une procédure bien plus intéressante que les 3,34 % proposés actuellement par le protocole Lido. Surtout si l’on considère que cela devrait être « protégé et vérifié par la Fondation Ethereum. » Mais, de toute évidence, le piège était trop gros pour attirer les pigeons souhaités.

« L’analyse des transactions on-chain effectuées auprès de l’acteur malveillant, entre le moment où il a envoyé la campagne par e-mail et le moment où le domaine malveillant a été bloqué, semble montrer qu’aucune victime n’a perdu de fonds au cours de cette campagne spécifique. »

Fondation Ethereum

Les nombreux abonnés aux e-mails de la Fondation Ethereum semblent donc assez méfiants pour ne pas tomber dans les pièges dressés à leur attention. Une bonne nouvelle, car c’est souvent le facteur humain qui s’impose comme le maillon faible des chaînes de sécurité. Même si, dans ce cas précis, c’est bien la Fondation Ethereum qui est à l’origine de la faille…