Gabriel
Conclusion : Si vous utilisez le portefeuille crypto MetaMask sur un appareil Apple, assurez-vous de désactiver vos sauvegardes iCloud. Sinon, vous pourriez vous retrouver victime d’une arnaque de vos actifs numériques de la même manière que Domenic Lacovone, un commerçant de crypto qui a perdu 650 000 $ de crypto-monnaies et de NFT.
Lacovone a tweeté que l’incident avait commencé la semaine dernière avec plusieurs messages texte demandant de réinitialiser son mot de passe Apple ID. Il a ensuite reçu un appel téléphonique d’Apple affirmant qu’il y avait une activité suspecte sur son compte, comme indiqué par les messages. Il soupçonnait qu’il s’agissait d’une arnaque, comme nous le ferions tous, mais l’identification de l’appelant indiquait que le numéro était « Apple Inc. », qui est lié à l’Apple Store. Il a rappelé le numéro juste pour être sûr, et la personne lui a dit que son compte avait vraiment été compromis.
La personne au téléphone a dit à Lacovone qu’elle avait besoin d’un code de sécurité à usage unique qu’Apple a envoyé à son iPhone pour confirmer la propriété du compte. Il l’a remis, et deux secondes plus tard, tout son portefeuille MetaMask a été nettoyé.
C’est comme ça que ça s’est passé, j’ai reçu un appel téléphonique d’Apple, littéralement d’Apple (sur mon identifiant d’appelant). Je l’ai rappelé parce que je soupçonnais une fraude et que c’était un numéro Apple. Alors je les ai crus
Ils ont demandé un code qui a été envoyé sur mon téléphone et 2 secondes plus tard, tout mon MetaMask a été effacé– Domenic Iacovone (@revive_dom) 14 avril 2022
L’escroc, bien sûr, avait réussi à sécuriser les informations d’identification iCloud de Lacovone et avait juste besoin du code d’authentification à deux facteurs pour accéder à ses informations stockées, que la victime a remises parce qu’il pensait que le numéro de téléphone Apple usurpé était authentique.
Le portefeuille MetaMask compromis contenait 160 000 $ d’Ether, un Mutant Ape Yacht Club NFT d’une valeur d’environ 80 000 $, environ 100 000 $ de crypto-monnaie Ape Coin et 250 000 $ de stablecoin Tether.
Comment ce braquage numérique a-t-il été réalisé ? Un expert en sécurité utilisant le surnom de Serpent a tweeté que MetaMask enregistre automatiquement la phrase de départ d’un utilisateur, la phrase de 12 mots utilisée pour accéder au portefeuille sur un nouvel appareil, dans un fichier sur iCloud. Une fois que l’escroc a eu cette phrase, il a pu vider le portefeuille.
3) L’escroc demandera une réinitialisation du mot de passe pour l’identifiant Apple de la victime
4) L’escroc demandera le code à la victime, affirmant qu’il s’agit de vérifier qu’il est le véritable propriétaire de l’identifiant Apple, alors qu’en réalité, il utilise ce code pour réinitialiser le mot de passe de la victime.— Serpent (@Serpent) 17 avril 2022
MetaMask a confirmé la vulnérabilité et conseillé aux utilisateurs d’Apple de désactiver les sauvegardes pour MetaMask spécifiquement en allant dans Paramètres > Profil > iCloud > Gérer le stockage > Sauvegardes. Mais comme le note Serpent, la meilleure option serait de stocker des actifs numériques sur un portefeuille froid (non connecté à Internet) et rappelez-vous que des entreprises telles qu’Apple ne vous appelleront jamais.
« ‘ Si vous avez activé la sauvegarde iCloud pour les données d’application, cela inclura votre coffre-fort MetaMask crypté par mot de passe. Si votre mot de passe n’est pas assez fort et que quelqu’un hameçonne vos informations d’identification iCloud, cela peut signifier des fonds volés. (Lire la suite ‘) 1 /3
— MetaMask ?’ (@MetaMask) 17 avril 2022
La personne qui a volé les NFT de Lacovone a tenté de les vendre sur OpenSea, mais le marché non fongible les a signalés comme suspects, ce qui signifie qu’ils ne peuvent pas être recherchés, vendus ou transférés. Au moment d’écrire ces lignes, il semble que Lacovone n’ait toujours pas été en mesure de récupérer aucun de ses actifs volés.
Bien qu’il ne s’agisse pas d’escroqueries par hameçonnage, nous avons récemment vu des pirates nord-coréens voler plus de 615 millions de dollars de crypto du réseau Ronin, et deux hommes risquent 20 ans de prison pour une escroquerie NFT de 1,1 million de dollars.