Drainware : Malheureusement, un portefeuille de crypto-monnaies près de chez vous.

TRM Labs a suivi l'émergence d'une nouvelle menace pour l'écosystème cryptographique : le drainware, un type de smart contract malveillant précédemment appelé "drainer", "balayer" et "drainer les portefeuilles". 

Les enquêteurs de TRM ont baptisé ces attaques "drainware" car elles drainent les crypto-monnaies et les NFT directement du portefeuille d'un utilisateur après qu'il ait signé à son insu une transaction pour acheter et frapper un NFT, ou qu'il ait interagi avec un site web d'hameçonnage. L'évaluation de TRM est que le drainware n'a pas d'utilisation légitime. 

‍AuroryNFT Attack

L'une des premières attaques de drainware largement signalées s'est produite avant le lancement du NFT Aurory, très médiatisé, en août 2021. Les attaquants ont acheté un domaine avec un DNS similaire à celui du vrai domaine Aurory. Une fois que les utilisateurs ont signé et approuvé la prétendue transaction, le contrat malveillant a vidé leurs portefeuilles. 

L'attaque a entraîné des pertes de plus de 1,5 million de dollars et le vol de plus de 70 NFT à des investisseurs potentiels d'Aurory. Le ou les attaquants ont ensuite rapidement tenté de vendre les NFT drainés sur les places de marché et ont utilisé un pont Solana DeFi pour sauter des chaînes vers Ethereum. Au 19 décembre 2022, tous les fonds volés, d'une valeur d'environ 1,5 million de dollars, se trouvaient toujours dans le portefeuille Ethereum ponté.

Draineur de singe

Monkey Drainer est l'une des dernières grandes attaques de drainware ciblant massivement le secteur de la cryptographie. Le contrat malveillant ne demande aux utilisateurs que d'approuver et de signer les transactions, ce qui le rend plus simple que de nombreuses méthodes d'attaque traditionnelles.

Monkey Drainer a été identifié publiquement pour la première fois par Zachxbt, enquêteur sur la chaîne, qui l'a relié à plus de 3,5 millions de dollars de crypto-monnaie volée. Dans un tweet en six parties publié fin octobre, Zachxbt a publié des informations confirmant qu'au cours d'une période de 24 heures, 700 Ethereum avaient été volés à des victimes. L'historique du portefeuille Ethereum montre un total de 7300 transactions sur une période de deux mois, comme indiqué ci-dessous.

‍

‍

Jusqu'en décembre, de nombreux utilisateurs ont signalé des adresses associées à au moins dix rapports sur TRM Labschainabuse.com, qui permet désormais de recevoir des alertes en temps réel sur les escroqueries signalées par le public. 

TRM Labs a examiné plusieurs portefeuilles signalés par des utilisateurs de Chainabuse comme étant probablement associés à Monkey Drainer, confirmant l'utilisation de Tornado Cash pour blanchir les produits volés et répartir les fonds principalement entre trois bourses centralisées. L'un des plus importants rapports de Monkey Drainer sur chainabuse.com est associé au vol de NFT de grande valeur, dont sept Crypto Punks, 20 Otherside Meta et un Azuki.

‍

La plupart des crypto-monnaies volées à Monkey Drainer sont ensuite blanchies par l'intermédiaire de Tornado Cash. Dans certains cas, les fraudeurs utilisent des portefeuilles intermédiaires avant de tenter d'encaisser les fonds volés sur trois bourses centralisées, comme le montre le graphique ci-dessous. 

Drainware en tant que service

Dans les premiers temps de la cryptographie, les attaques par hameçonnage incitaient souvent les utilisateurs à envoyer des cryptomonnaies à une adresse prétendument associée à un projet légitime. Ces types d'attaques ont pris de l'ampleur lors du boom des ICO (Initial Coin Offering) en 2017. Les victimes ciblées par ces attaques de phishing ne perdaient que le montant de crypto qu'elles avaient envoyé par erreur à la mauvaise adresse.

En revanche, les attaques de phishing Web3 sont souvent plus sophistiquées et impliquent des contrats personnalisables capables de vider des portefeuilles entiers. Le vecteur d'attaque est généralement distribué par le biais de prises de contrôle de comptes (ATO) sur des plateformes de médias sociaux telles que Twitter et Discord.

Lorsque les NFT sont devenus monnaie courante, les attaquants ont commencé à cibler les investisseurs novices en exploitant la "FOMO" (peur de manquer) et le battage médiatique qui entourent le monde des NFT. TRM Labs a observé des centaines d'attaques de phishing au cours de l'année écoulée ciblant des projets NFT, où la messagerie en temps réel sur de multiples plateformes a permis aux attaquants de cibler les investisseurs NFT en publiant rapidement des liens vers des sites web de phishing.

TRM a constaté que les attaques de phishing liées à des escroqueries de frappe de monnaie NFT déployées par le biais de comptes Discord compromis ont augmenté de 55 % en juin 2022 par rapport au mois précédent.

Cette augmentation spectaculaire des attaques par Drainware a même conduit à l'émergence de Drainer Templates as a Service (DTaaS), fournissant des modèles préconstruits prêts à l'emploi et permettant aux attaquants de lancer des contrats malveillants à grande échelle, comme on l'a vu lors du boom du NFT en 2021.

Si l'adoption des crypto-monnaies a le potentiel de révolutionner le secteur financier, elle présente également de nouveaux défis. Sans une formation adéquate sur les risques de sécurité, les entreprises de crypto-monnaies et les particuliers sont vulnérables aux activités criminelles. Pour aider à lutter contre les drainwares et autres fraudes, visitez Chainabuse et alertez la communauté cryptographique des escroqueries en temps réel. 

TRM s'efforce également d'empêcher les auteurs d'attaques par drainware de blanchir et d'encaisser le produit de ces attaques en marquant les adresses de portefeuilles connues pour être associées à des escroqueries par drainware dans nos outils de conformité et de criminalistique. Ces outils sont utilisés par les plateformes cryptographiques, les institutions financières et les organismes d'application de la loi pour détecter et enquêter sur le blanchiment d'argent et d'autres activités illicites telles que les escroqueries, les piratages et l'évasion des sanctions.

A propos de TRM Labs

TRM fournit une blockchain intelligence pour aider les institutions financières, les entreprises de crypto-monnaies et les organismes publics à détecter, enquêter et gérer la fraude et la criminalité financière liées aux crypto-monnaies. La plateforme de gestion des risques de TRM comprend des solutions pour la surveillance des transactions et le filtrage des portefeuilles, la notation des risques des entités - y compris la diligence raisonnable VASP - et le traçage de la source et de la destination des fonds. Ces outils permettent à un nombre croissant d'organisations dans le monde entier d'adopter en toute sécurité les transactions, produits et partenariats liés aux crypto-monnaies.

L'équipe Global Investigations de TRM mène et soutient des enquêtes sur les crypto-monnaies afin de lutter contre les activités illicites et de renforcer la confiance dans l'économie des crypto-monnaies. Nos enquêteurs utilisent TRM Forensics pour retracer les flux d'actifs volés et coordonnent leurs activités avec celles des partenaires chargés de l'application de la loi. Signalez une piste concernant les crypto-monnaies à l'adresse investigations@trmlabs.com.