Dernières nouvelles : Les fonds crypto menacés par une attaque massive de la chaîne d'approvisionnement
Piratage Crypto : Que s'est-il passé ?
Un package npm largement utilisé, error-ex, a été compromis dans sa version 1.3.3. Du code obscurci y était caché, activant deux modes d’attaque dangereux :
- Détournement du presse-papiers : Lorsque vous collez une adresse de portefeuille, le malware la remplace silencieusement par une adresse similaire appartenant à l’attaquant.
- Interception de transaction : Si vous utilisez un portefeuille navigateur, le code peut intercepter les appels de transaction et modifier l’adresse du destinataire avant même que vous ne voyiez l’écran de confirmation.
Cela rend la détection presque impossible, à moins de vérifier minutieusement chaque caractère de l’adresse à laquelle vous envoyez.
Qui est à risque face à ce piratage crypto ?
- Développeurs : Tout projet important des dépendances sans verrouillage strict des versions peut avoir installé la version infectée. Cela peut affecter les pipelines CI, les builds de production et les applications qui reposent sur JavaScript.
- Utilisateurs crypto : Le malware cible les principaux actifs dont $BTC , $ETH, $SOL, $TRX, $LTC et $BCH. Les utilisateurs du presse-papiers et des portefeuilles navigateurs sont tous à risque.
- Plateformes : Même les applications centralisées intégrant des bibliothèques npm peuvent avoir inclus le code malveillant à leur insu.
Quelles entreprises ont été affectées ?
SwissBorg a déjà confirmé une faille liée à une API partenaire compromise. Environ 192,6K SOL (~41,5M$) ont été dérobés lors de l’attaque. Bien que l’application SwissBorg elle-même reste sécurisée, son SOL Earn Program a été touché, affectant moins de 1% des utilisateurs. La plateforme a promis des mesures de récupération, incluant des fonds de trésorerie et le soutien de hackers white-hat.
Comment se protéger
Voici ce que vous devez faire dès maintenant :
Pour les utilisateurs de portefeuilles
✅ Vérifiez toujours chaque transaction — contrôlez l’adresse complète du destinataire avant de signer.
✅ Utilisez un portefeuille matériel avec la signature claire activée.
✅ Évitez les extensions de portefeuille navigateur inutiles.
✅ Si quelque chose vous semble suspect (demandes de signature inattendues), fermez immédiatement l’onglet.
Pour les développeurs
⚙️ Passez les builds CI de npm install à npm ci pour verrouiller les dépendances.
⚙️ Exécutez npm ls error-ex pour détecter les installations infectées.
⚙️ Verrouillez les versions sûres (error-ex@1.3.2) et régénérez les fichiers lock.
⚙️ Ajoutez des scanners de dépendances comme Snyk ou Dependabot.
⚙️ Traitez les modifications de package-lock avec la même rigueur qu’une revue de code.
Perspectives
Cet incident met en lumière la fragilité des chaînes d’approvisionnement dans le Web3 et au-delà. Un petit compromis sur un package peut entraîner des milliards de téléchargements, touchant à la fois les développeurs et les détenteurs de crypto dans le monde entier. Le danger immédiat réside dans les attaques de substitution d’adresse, mais la préoccupation plus large est la profondeur à laquelle cela pourrait s’étendre dans l’infrastructure financière.
Pour l’instant : vérifiez avant de signer, verrouillez vos dépendances et ne négligez pas la sécurité.
Avertissement : le contenu de cet article reflète uniquement le point de vue de l'auteur et ne représente en aucun cas la plateforme. Cet article n'est pas destiné à servir de référence pour prendre des décisions d'investissement.
Vous pourriez également aimer
Les fonds spéculatifs viennent de reconstruire leur position longue sur la technologie, mais le support clé du Nasdaq commence déjà à s'affaiblir.
L'indice Nasdaq 100 s'approche de la limite inférieure de sa zone de fluctuation de plusieurs mois ; les contrats à terme ont franchi la ligne de tendance haussière et la moyenne mobile à 100 jours, montrant un affaiblissement technique. Les fonds spéculatifs ont massivement acheté des actions technologiques récemment, et leur concentration de positions accentue les risques de baisse. Les controverses sur la sécurité de l'IA et les risques d'approvisionnement énergétique constituent des catalyseurs doubles. Si le support clé est perdu alors que la peur du marché demeure faible, la volatilité pourrait être réévaluée.
Le rendement des obligations américaines à 10 ans dépasse 5 % ! L’« oracle » avertit : la vague de ventes n’est pas terminée
Steven Barrow, directeur de la stratégie G10 chez Standard Bank, qui avait été le premier à prédire une hausse de 5 % en février de cette année, a relevé sa prévision pour le rendement des obligations américaines à 10 ans à 5,2 % d'ici la fin de l'année, et prévoit qu'il atteindra 5,3 % au premier trimestre 2027. Il souligne que la pression sur les chaînes d'approvisionnement, le changement climatique et les restrictions de la politique migratoire américaine sur l'offre de main-d'œuvre deviennent plus fortes qu'auparavant. L'indice du dollar américain a enregistré une hausse quotidienne maximale de 0,6 %, laissant entrevoir sa meilleure performance quotidienne depuis le 17 juin.
Promouvoir à contre-courant dans la tempête du « ralentissement de l'IA » ? Selon les rumeurs, Kioxia prévoit une introduction en bourse aux États-Unis pour lever au moins 10 milliards de dollars.
Il est rapporté que Kioxia envisage de lever 10 milliards de dollars en s'inscrivant aux États-Unis.
La construction de la puissance de calcul IA passe de la « pénurie d’électricité » à la « pénurie de talents » : la montée de la modularité offre de nouvelles opportunités à Schneider, Vertiv et Eaton
Bernstein a récemment publié un rapport de recherche indiquant que, dans le contexte de l'expansion rapide des capacités de calcul de l’IA, la principale contrainte au développement des centres de données est en train de changer.
Prix des cryptos
Plus
