La société de recherche en sécurité Socket a identifié 40 extensions Firefox malveillantes conçues pour voler l'accès aux portefeuilles de cryptomonnaies et vider leurs fonds — un nouvel avertissement pour quiconque gère des actifs numériques via un navigateur web.

Ce que Socket a découvert dans la campagne d'extensions Firefox malveillantes

Socket a identifié 40 extensions Firefox malveillantes conçues pour s'attaquer aux détenteurs de cryptomonnaies, selon The Hacker News. Ces extensions se faisaient passer pour des outils légitimes au sein de l'écosystème d'extensions de Firefox. Socket s'est fait connaître en analysant les packages de code open source à la recherche d'attaques sur la chaîne d'approvisionnement, et les extensions de navigateur posent un problème similaire : un canal de distribution de confiance pour des logiciels qui s'exécutent avec un large accès à l'activité en ligne de l'utilisateur.

Ces extensions ont été conçues pour accéder aux portefeuilles de cryptomonnaies, les logiciels que les gens utilisent pour stocker et envoyer des pièces numériques. Les chercheurs ont décrit cette opération comme une campagne coordonnée plutôt que comme une simple entrée malveillante isolée, comme l'a rapporté Cybernews.

Une partie du code malveillant se cachait derrière des extensions d'apparence ordinaire et s'est introduite via des mises à jour de routine, selon une enquête connexe sur des logiciels malveillants visant les portefeuilles Firefox détaillée par CryptoSlate. Cette approche a permis au code malveillant de s'infiltrer après que l'utilisateur avait déjà accordé sa confiance à l'extension. Elle fait écho aux tactiques observées dans des cas documentés antérieurement, dans lesquels des extensions auparavant légitimes, disposant de bases d'utilisateurs installées, ont été vendues ou détournées, puis mises à jour avec du code malveillant — ce qui signifie que l'examen initial d'une boutique offre peu de protection contre ce qu'une extension peut devenir par la suite.

Pourquoi les utilisateurs de cryptomonnaies sont des cibles de choix pour les extensions malveillantes

Une extension de navigateur se situe très près de l'activité en ligne de l'utilisateur. Elle peut observer les sessions, lire les pages et interagir avec les outils de portefeuille fonctionnant dans le navigateur. Cette proximité constitue le danger : une extension malveillante peut tenter de capturer une phrase de récupération (seed phrase) — les mots de sauvegarde secrets qui déverrouillent un portefeuille — ou inciter un utilisateur à approuver un transfert qu'il n'a jamais souhaité.

Les utilisateurs de cryptomonnaies sont des cibles de grande valeur, car l'accès volé à un portefeuille se convertit rapidement en argent. Une fois que les fonds ont quitté un portefeuille, les transactions sont difficiles à annuler, contrairement à une fraude par carte bancaire qu'une banque peut récupérer.

Le hameçonnage constitue l'autre risque. Une fausse extension peut se faire passer pour la page de connexion d'un portefeuille ou d'une plateforme d'échange authentique, récoltant les identifiants saisis par l'utilisateur. Ces attaques au niveau du navigateur sont importantes car elles contournent entièrement la sécurité propre du portefeuille.

Ce que cela signifie pour la sécurité des cryptomonnaies

Une campagne couvrant 40 extensions indique une réelle ampleur plutôt qu'une erreur isolée. Elle s'inscrit dans un schéma persistant d'attaquants cherchant à accéder aux portefeuilles et aux plateformes d'échange — la même pression qui pousse les régulateurs à rédiger de nouvelles règles sur les crypto-actifs et les plateformes d'échange à renforcer leurs garanties. Les places de marché d'extensions, y compris celles de Mozilla et de Google, ont retiré à plusieurs reprises des logiciels malveillants ciblant les cryptomonnaies lors d'incidents passés, et Mozilla maintient une liste de blocage pouvant désactiver à distance les extensions malveillantes dans les navigateurs des utilisateurs une fois qu'elles sont identifiées.

Pour un détenteur ordinaire, les mesures pratiques sont simples. Ouvrez le menu des extensions de Firefox et examinez chaque extension installée, en supprimant tout ce qui est inconnu ou devenu inutile. Soyez prudent avec les autorisations : traitez avec suspicion toute extension demandant à interagir avec un portefeuille ou à lire toutes les pages, et n'installez que des extensions d'éditeurs de confiance et bien notés, comme ceux listés dans le répertoire officiel de modules de Mozilla. Les fournisseurs de sécurité recommandent depuis longtemps de conserver les avoirs importants et à long terme dans des portefeuilles matériels, qui stockent les clés privées hors ligne, hors de portée des logiciels malveillants du navigateur.

Le vol de cryptomonnaies par des logiciels malveillants s'inscrit aux côtés d'histoires plus larges liées à l'application de la réglementation, notamment l'expansion des sanctions liées aux paiements en cryptomonnaies. Le fil conducteur est que les actifs numériques demeurent un aimant pour les acteurs malveillants, de sorte que le fardeau de la vigilance repose lourdement sur l'utilisateur individuel. Pour quiconque détient ne serait-ce qu'une petite quantité de cryptomonnaies dans un portefeuille de navigateur, cette découverte est une invitation à auditer ses extensions dès aujourd'hui — et à suivre les canaux de recherche qui ont exposé cette campagne pour tout complément d'information à mesure que les conclusions circulent.

Avertissement : cet article est fourni à titre informatif uniquement et ne constitue pas un conseil financier ou en investissement. Les marchés des cryptomonnaies et des actifs numériques comportent des risques importants. Faites toujours vos propres recherches avant de prendre une décision.