Comment une attaque sophistiquée par malware a vidé le portefeuille de huit ans d'un investisseur en crypto à Singapour

Lorsque Mark Koh a rencontré ce qui semblait être une opportunité légitime de test de jeu sur Telegram début décembre, il n’avait aucune raison de suspecter un danger. Le fondateur de la plateforme de soutien aux victimes RektSurvivor, qui possède une vaste expérience dans l’évaluation de projets Web3, a été impressionné par le site web soigné de MetaToy, sa communauté Discord active et ses interactions réactives avec l’équipe. La présentation professionnelle du lanceur de jeu lui donnait une apparence digne de confiance — ce genre de niveau d’évidence suspecte, comme un meme facial douteux, n’était tout simplement pas là.

Mais les apparences sont trompeuses. L’installation du lanceur MetaToy a infecté son système à son insu avec un malware avancé conçu spécifiquement pour cibler les détenteurs d’actifs crypto.

L’attaque se déploie : une sophistication technique au-delà des menaces de base

Dans les 24 heures suivant la mise en place de mesures de sécurité complètes — scans complets du système, suppression de fichiers suspects, et même une réinstallation complète de Windows 11 — tous les portefeuilles logiciels connectés ont été vidés. Le dommage : 14 189 USD ( équivalent à 100 000 yuans ) accumulés en huit ans, entièrement drainés des extensions de navigateur Rabby et Phantom.

La réaction de Koh a été méthodique. Malgré le détection et le blocage par son antivirus d’activités suspectes, y compris deux tentatives de détournement de DLL, les attaquants ont réussi. « J’avais des phrases de récupération séparées. Rien n’était sauvegardé numériquement », a-t-il confié aux chercheurs en sécurité, mais les fonds ont disparu malgré tout.

L’analyse technique a révélé une attaque à plusieurs couches. L’attaque combinait le vol de jetons d’authentification avec l’exploitation d’une vulnérabilité zero-day de Google Chrome, documentée pour la première fois en septembre — permettant l’exécution de code à distance sur sa machine. « Elle avait plusieurs vecteurs et implantait aussi un processus planifié malveillant », a expliqué Koh, indiquant que les escrocs avaient déployé simultanément d’autres méthodes d’attaque.

L’incident à Singapour et les tendances plus larges de la cybercriminalité

Koh a signalé l’incident à la police de Singapour, qui a confirmé la réception du rapport de fraude. Une deuxième victime, basée dans la même région et identifiée comme Daniel, a subi une compromission similaire après avoir téléchargé le même lanceur de jeu infecté par un malware. Notamment, l’arnaqueur est resté en contact avec Daniel, croyant à tort qu’il restait intéressé par l’accès à la plateforme.

Cet incident à Singapour illustre des tactiques de distribution de malware de plus en plus élaborées. Parmi les tendances récentes en cybercriminalité, on trouve des dépôts GitHub weaponisés pour maintenir la persistance de logiciels malveillants bancaires, des contrefaçons d’outils d’IA diffusant des variantes de vol de crypto, des pull requests malveillantes infiltrant des extensions Ethereum, et des systèmes de Captcha fabriqués pour la récolte de crédentiels.

Mesures de protection : recommandations de Koh pour les cibles de grande valeur

Face à la sophistication démontrée, Koh insiste sur des protocoles préventifs pour les développeurs, investisseurs providentiels et autres susceptibles de télécharger des applications bêta :

Supprimez les phrases de récupération des hot wallets dans le navigateur lorsqu’ils sont inactifs. Les pratiques de sécurité standard se sont révélées insuffisantes face à cette attaque, rendant une isolation supplémentaire essentielle.

Privilégiez la gestion des clés privées plutôt que le stockage de phrases de récupération. L’utilisation de clés privées limite l’exposition — si un portefeuille est compromis, les portefeuilles dérivés restent protégés.

Supposez que des attaquants sophistiqués déploient plusieurs vecteurs d’infection. La détection antivirus de certaines menaces ne garantit pas une sécurité complète du système ; supposez que des mécanismes d’attaque de secours existent.

L’incident MetaToy sert de rappel brutal que même les investisseurs crypto expérimentés, dotés d’un jugement professionnel et d’outils de sécurité, restent vulnérables face à des menaces coordonnées et technologiquement avancées. La combinaison d’ingénierie sociale (la façade professionnelle), la livraison de malware (le lanceur de jeu), et l’exploitation zero-day a créé une surface d’attaque que les défenses classiques ne pouvaient pas entièrement prévenir.