Memecoin : Un holder de Pepe perd 1,4 million de dollars dans une attaque phishing
Les attaques de type phishing font des ravages dans l’écosystème crypto. Dans ce type d’attaque, le hacker va usurper l’identité d’un protocole ou d’une personne afin de siphonner le wallet de sa victime. Ainsi, il va pousser sa victime à signer une transaction frauduleuse. De son côté, la victime pense qu’elle interagit avec un site légitime alors qu’il s’agit en réalité d’un site vérolé.
1,4 million de dollars en PEPE envolés dans une attaque phishing
Dimanche 13 octobre, les équipes de Scam Sniffer ont alerté face à une importante attaque phishing. Pour rappel, Scam Sniffer est une organisation spécialisée dans l’analyse on-chain.
Ainsi, ils ont dévoilé qu’un internaute avait été victime d’une importante attaque phishing. Au total, près de 1,4 million de dollars en jetons Pepe (PEPE), Microstrategy (MSTR) et Apu (APU) ont été dérobés par le hacker lors de cette attaque phishing.
En pratique, il semblerait que la victime ait signé par inadvertance une transaction Permit2, une fonctionnalité introduite par Uniswap. Comme expliqué par Scam Sniffer sur X :
« Les signatures de phishing basées sur ce système peuvent être approuvées pour plusieurs jetons à la fois. Une fois qu’ils ont la signature d’une victime, ils peuvent transférer plusieurs actifs. »
Qu’est-ce que Permit et Permit2 ?
Permit et Permit2 sont des fonctionnalités introduites par Uniswap pour améliorer l’expérience utilisateur lors des interactions avec les smart contracts. L’objectif étant notamment de réduire les coûts en gas.
Ainsi, leur but est d’autoriser la signature de transactions off-chain, simplifiant ainsi les interactions sur les protocoles DeFi.
Permit2, va plus loin que Permit en permettant d’approuver plusieurs tokens en une seule transaction.
Dans les attaques de phishing qui se basent sur Permit2, les utilisateurs sont généralement dirigés vers des fausses dApps qui imitent des interfaces légitimes.
Ces plateformes demandent à la victime de signer une transaction qui, en réalité, octroie un accès illimité à leur wallet. La signature off-chain ne nécessite pas de confirmation supplémentaire on-chain, ce qui rend l’attaque extrêmement efficace.
Une fois la transaction Permit2 signée, le hacker peut avoir accès à l’ensemble des tokens, qu’il peut ensuite transférer vers une nouvelle adresse.
Ainsi, bien que Permit2 ait été créé pour améliorer l’efficacité des transactions, il est devenu une arme à double tranchant qui nécessite une vigilance accrue de la part des utilisateurs, afin de ne pas signer involontairement des autorisations frauduleuses.
Dans certains cas, les escrocs vont encore plus loin. Ainsi, une stratégie de phishing a récemment été mise en évidence par un utilisateur de Gmail. Il a dû faire face à une attaque extrêmement sophistiquée, qui pourrait tromper même les plus vigilants d’entre nous.
Renaud H.
Ingénieur en software et en systèmes distribués de formation, passionné de cryptos depuis 2013. Touche à tout, entre mining et développement, je cherche toujours à en apprendre plus sur l’univers des cryptomonnaies et à partager le fruit de mes recherches à travers mes articles.
