Piratage : une nouvelle méthode diabolique pour voler vos cryptomonnaies

En sécurité informatique, on appelle un pot de miel un dispositif permettant de piéger un pirate qui tenterait de pénétrer un système. C’est sous ce même nom – Honeypot – qu’une nouvelle méthode destinée à vous voler vos cryptomonnaies a vu le jour.

Les faux comptes désormais “certifiés”

Les messages expliquant qu’il faut envoyer X ETH ou BTC vers une adresse, pour en recevoir le centuple pullulent sur les fils Twitter. Une des méthodes “faciles” pour repérer ce type d’arnaque est de vérifier que le compte est bien approuvé avec le petit macaron bleu à côté du nom du compte Twitter.

Cette méthode cependant ne suffit plus, car comme l’a fait remarquer CryptoFR sur Twitter, de plus en plus de comptes frauduleux ont cette mention “approuvée”.

On peut constater une évolution dans les arnaques "giveaway" sur twitter : il semblerait désormais que des comptes "certifiés" soient utilisés pour faire ce genre d'arnaque 🤔

On peut supposer du vol ou rachat de comptes…

Dans tout les cas, évidemment, ne donnez rien … ☠️ pic.twitter.com/VTirRF8N3O

— CryptoFR (@CryptoFR) April 6, 2018

Ou encore ce tweet de Saleem Rashid :

https://twitter.com/spudowiar/status/984780857989828608

Une nouvelle méthode… diabolique !

Comme dit plus haut, en général, on vous donne une adresse publique et on vous promet de vous en envoyer le double. Mais avez-vous pensé à un système, ou l’arnaqueur vous donnait sa clé privée ?

Best scam I've ever seen:

1. Guy posts his MEW private key in a chat.
2. $5k worth of Minerium in it, no ETH for gas.
3. Half the people in the chat send gas to take it.
4. Smart contract. Auto-sends the $ETH to another address; keeps MNE in the account.

Fucking brilliant.

— 👯‍♀️.eth (@CryptoBunnyGirl) April 12, 2018

L’arnaque consiste à déposer une quantité de tokens ERC20 sur un portefeuille Ethereum. Ce portefeuille a deux particularités :

• Il ne contient pas de GAS
• Tout dépôt de GAS est automatiquement envoyé vers un autre portefeuille

Une fois le dispositif prêt, le pirate n’a plus qu’à dévoiler publiquement sa clé privée.

Ceux qui se rendent compte que c’est une clé privée se précipitent pour vider le portefeuille, mais constatent qu’il n’y a pas de GAS permettant de déplacer les ERC20. La victime envoie alors du GAS vers le wallet, mais le wallet étant programmé pour rediriger le GAS vers un autre portefeuille, il n’arrive finalement jamais, et malgré la clé privée dévoilée publiquement, personne ne peut en profiter. Le pirate n’a alors plus qu’à attendre que la clé privée se propage sur internet pour accumuler du GAS.

 

Sources : Financemagnates || image from Shutterstock.com