Une publication non autorisée est apparue sur le compte X vérifié du PDG de Robinhood, Vlad Tenev, le 24 juillet, promouvant un memecoin frauduleux appelé VLAD et partageant une adresse de contrat de token frauduleuse. La publication est restée visible moins de 20 minutes, accumulant plus de 175 000 vues avant que des utilisateurs ne la signalent comme suspecte. Robinhood a par la suite confirmé que le compte avait été compromis et a déclaré qu'elle coordonnait ses efforts avec X pour rétablir l'accès et supprimer le contenu non autorisé.

Des services de surveillance on-chain ont estimé que les portefeuilles connectés à l'incident ont extrait environ 650 Ether (ETH), d'une valeur comprise entre 1,2 million et 1,3 million de dollars. L'attaque souligne comment des comptes vérifiés de dirigeants de haut niveau compromis peuvent conférer une fausse légitimité à des promotions de tokens frauduleux, même lorsque les publications ne sont en ligne que pendant une courte période.

Promotion du faux token VLAD

La publication non autorisée affirmait faussement que le VLAD était le token mascotte officiel de Robinhood Chain et incluait une adresse de contrat permettant aux utilisateurs de l'acheter. La publication indiquait également que le token serait listé sur la plateforme de négociation de Robinhood, bien que Robinhood n'ait fait aucune annonce de ce type.

Onchain Lens a signalé en premier la compromission du compte. L'explorateur de blockchain de Robinhood Chain a par la suite marqué le contrat comme une arnaque. Robinhood a confirmé l'incident via son compte Robinhood Comms sur X, indiquant qu'elle travaillait avec X pour récupérer l'accès. La publication non autorisée avait déjà été supprimée à ce moment-là.

Selon le moniteur on-chain MLM, les portefeuilles associés à l'incident ont extrait environ 650 ETH, d'une valeur approximative de 1,2 million à 1,3 million de dollars. Wu Blockchain a également partagé les résultats signalés sur X.

Un enquêteur en ligne identifié sous le nom de Jeff a rapporté qu'un portefeuille soupçonné d'être lié aux attaquants aurait dépensé environ 126,81 dollars pour acquérir 47,2 millions de tokens VLAD. Sur la base des prix du marché au moment des faits, la détention affichait une valeur non réalisée d'environ 159 000 dollars. Cependant, cette estimation n'indiquait pas que la totalité aurait pu être vendue, car la liquidité des tokens frauduleux est généralement limitée.

Activité de Robinhood Chain

La fausse promotion est apparue peu après le lancement de Robinhood Chain le 1er juillet. La blockchain est construite comme un réseau Ethereum de couche 2 (L2) utilisant la pile Arbitrum Orbit, traitant environ 6 millions de transactions par jour et prenant en charge à la fois les actifs du monde réel tokenisés et le trading actif de memecoins.

Les données de la blockchain ont montré que le token frauduleux avait enregistré environ 1 868 transactions peu après son déploiement par un contrat appelé PonsLaunchFactory, que l'explorateur de blockchain a ensuite signalé comme une arnaque.

L'incident a coïncidé avec l'annonce du lancement de V2 par Robinhood Chain, l'une de ses plateformes de lancement de tokens. La feuille de route comprend une courbe de liaison basée sur l'ETH, une intégration avec Uniswap V4, des paiements aux créateurs en ETH ou en actifs sélectionnés, la prise en charge de paires de négociation personnalisées correspondant à des actifs tels que USDG, AAPL, NVDA et HOOD, ainsi que des fonctionnalités optionnelles de token à réflexion. Le site a précisé que les nouveaux contrats sont toujours en cours d'audit et n'ont pas encore été mis en œuvre.

Schéma récurrent de compromissions de réseaux sociaux

Bien que la publication non autorisée n'ait été en ligne que brièvement, les données de transaction ont indiqué une interaction continue avec le token avant sa suppression. Le message s'appuyait sur l'activité existante autour des memecoins de Robinhood Chain et utilisait la fausse affirmation d'un listage officiel du token pour attirer les acheteurs.

L'incident s'ajoute à une série croissante d'attaques dans lesquelles des comptes de réseaux sociaux compromis ont été utilisés pour promouvoir des tokens frauduleux ou distribuer des adresses de contrat malveillantes. Les chercheurs en sécurité notent que si les pertes liées à certains types d'attaques par hameçonnage ont diminué, d'autres ont évolué vers des schémas de fraude cryptographique plus sophistiqués. La tactique suit un schéma bien documenté observé lors d'incidents antérieurs de prise de contrôle de comptes très visibles, où les attaquants exploitent la crédibilité des comptes vérifiés appartenant à des personnalités publiques et à des dirigeants d'entreprise pour amplifier les arnaques avant que la modération de la plateforme ne puisse intervenir.