MyEtherWallet : 125 000 euros d’Ethers dérobés à travers une attaque DNS

Le wal­let « cloud » MyE­ther­Wal­let a été vic­time ce mar­di d’une attaque de détour­ne­ment de DNS. Celle-ci a per­mis aux pirates de redi­ri­ger les uti­li­sa­teurs vers une ver­sion mal­veillante du site, et d’ob­te­nir ain­si leurs clés privées.

L’in­ci­dent a été rap­por­té par des uti­li­sa­teurs de MyE­ther­Wal­let à tra­vers le réseau social Reddit :

MEW got hacked from r/MyEtherWallet

Il a ensuite été confir­mé sur Twit­ter par MyEtherWallet :

Couple of DNS ser­vers were hija­cked to resolve https://t.co/xwxRJ4H4i8 users to be redi­rec­ted to a phi­shing site. This is not on @myetherwallet side, we are in the pro­cess of veri­fying which ser­vers to get it resol­ved asap.

— MyEtherWallet.com (@myetherwallet) 24 avril 2018

« Cer­tains ser­veurs DNS ont été détour­nés, et ont redi­ri­gé les uti­li­sa­teurs de myetherwallet.com vers un site de phi­shing. Il ne s’a­git pas de l’ex­ploi­ta­tion d’une faille sur @myetherwallet. Nous sommes tou­jours en train de véri­fier quels ser­veurs ont été impac­tés, afin de résoudre le pro­blème au plus vite ».

Des uti­li­sa­teurs se sont ain­si retrou­vés sur un site de phi­shing après avoir tapé l’a­dresse myetherwallet.com dans leur navi­ga­teur. Ce site est alors par­ve­nu à déro­ber les clés pri­vées de cer­tains de leurs portefeuilles.

It appears that Ama­zon’s DNS ser­vers were hija­cked in a mali­cious attack which affec­ted MEW. https://t.co/ycdAcy8Uso

— MyEtherWallet.com (@myetherwallet) 24 avril 2018

Selon le spé­cia­liste en cyber­se­cu­ri­té Kevin Beau­mont, cette attaque a d’ailleurs pu impac­ter d’autres sites.

Il sem­ble­rait que les pirates soient par­ve­nus à obte­nir envi­ron 215 ETH (soit approxi­ma­ti­ve­ment 125 000 euros) à tra­vers cette attaque, qui a duré plu­sieurs heures. L’une de leurs vic­times s’est faite voler à elle seule plus de 85 Ethers (soit près de 50 000 euros).

Les coins déro­bés ont été envoyés vers ce por­te­feuille. Asso­cié à de pré­cé­dentes escro­que­ries, il conte­nait, lors de la rédac­tion de cet article, près de 14 mil­lions euros d’E­thers et près de 125 000 euros de tokens.

En décembre der­nier, la pla­te­forme Ether­Del­ta avait été vic­time d’une attaque simi­laire.

Les utilisateurs de portefeuilles Ledger et Trezor n’ont pas été impactés

Les inter­nautes qui se sont connec­tés sur le site frau­du­leux avec un wal­let « hard­ware » – comme un Tre­zor ou un Led­ger – ont pu pro­té­ger leurs clés privées.

Il est tou­te­fois pos­sible que le site mal­veillant ait rem­pla­cé les adresses ados­sées à ces péri­phé­riques. C’est d’ailleurs la rai­son pour laquelle Tre­zor et Led­ger ont invi­té les uti­li­sa­teurs qui se seraient connec­tés aujourd’­hui sur MyE­ther­Wal­let à bien véri­fier les adresses qui s’af­fi­che­ront sur l’é­cran de leur portefeuille :

Your pri­vate keys never leave the TREZOR device, so even this DNS hijack does not endan­ger your funds. Howe­ver, it is pos­sible that the frau­dulent site might replace your addresses. Always veri­fy the address on your TREZOR screen when sen­ding and recei­ving. https://t.co/nWyN7OqeB8

— TREZOR (@TREZOR) 24 avril 2018

We’ve had ques­tions re. @myetherwallet : Your pri­vate keys are safe on your Nano S so this attack won’t put your funds at risk. We do remind you to double check the tran­sac­tion address & amount on your Nano S. This will gua­ran­tee your tran­sac­tions are safe https://t.co/Fd5dxuFCi9

— Led­ger (@LedgerHQ) 24 avril 2018

De son côté, MyE­ther­Wal­let a appe­lé les uti­li­sa­teurs qui sou­hai­te­raient uti­li­ser son ser­vice à regar­der atten­ti­ve­ment la barre verte SSL située en haut de leur navi­ga­teur. Celle-ci doit nor­ma­le­ment por­ter la men­tion « MyE­ther­Wal­let Inc ».

Make sure it is a green­bar SSL that says « MyE­ther­Wal­let Inc »

— MyEtherWallet.com (@myetherwallet) 24 avril 2018

Pour une sécu­ri­té ren­for­cée, notez qu’il est pos­sible de télé­char­ger une exten­sion pour navi­ga­teur qui va « bla­ck­lis­ter » cer­tains sites mal­veillants. Par­mi les solu­tions les plus popu­laires pour les inter­nautes qui uti­lisent Google Chrome, on retrouve Ethe­rAd­dress­Loo­kup et  Meta­Mask. Si ces outils ne per­mettent pas de se pré­mu­nir face au phi­shing, ils offrent la pos­si­bi­li­té de béné­fi­cier d’une sécu­ri­té supplémentaire.

Il est éga­le­ment pos­sible de suivre ce tuto­riel, qui explique com­ment lan­cer le logi­ciel MyE­ther­Wal­let à par­tir d’un ordi­na­teur non connec­té à Internet.

Enfin, nous vous invi­tons vive­ment à consul­ter ce guide :

It seems that eve­ry­thing is now back to nor­mal, BUT PLEASE STAY SAFE and read/share this guide : https://t.co/uBlsJ8IoNw

— MyEtherWallet.com (@myetherwallet) 24 avril 2018