#cryptosecurity
cryptosecurity
8.3M vues
8,732 mentions
Populaire
Récents
三把多签钥匙全在一台电脑：一次钓鱼为何能击穿多签防线
L’illusion la plus dangereuse des multi-signatures, c’est de voir « 3 clés nécessaires » et d’en conclure qu’il existe forcément 3 couches de défense indépendantes. L’accident de Humanity Protocol apporte une réponse brutale : si plusieurs clés de signature sont regroupées sur un seul appareil, l’attaquant n’a peut-être réellement qu’un seul point de défaillance à compromettre.
Le compte-rendu officiel de Humanity, basé sur l’incident Quantstamp, montre que l’attaque a commencé par un e-mail de phishing se faisant passer pour Bithumb. Une pièce jointe malveillante a créé un accès à distance sur un ordinateur Windows, puis a récupéré des données de portefeuille de navigateur et des clés privées.
Le 8 juin, côté Ethereum, l’attaquant a remplacé le proxy cross-chain en utilisant la clé volée pour détourner environ 141,18 millions de H ; côté BSC, il a ensuite pris le contrôle du ProxyAdmin en utilisant 3 clés de signature Safe volées, émis et vendu environ 100 millions de H.
La vente s’est poursuivie pendant environ 8 heures, et le prix du H sur le marché public a chuté d’environ 89 % à un moment. Au moment de la publication du compte-rendu officiel, il est déjà connu que l’ETH dans les adresses d’attaque dépasse 21 millions de dollars ; les gains en BNB sont encore en cours de décompte. Par conséquent, considérer les « 36 millions de dollars » qui circulent sur le marché comme la perte finale officielle n’est pas rigoureux.
Regardons maintenant la conception de @grvt_io : la connexion Web2 et l’autorisation des actifs Web3 sont clairement séparées. L’e-mail, le mot de passe ou OAuth servent principalement à accéder au compte, visualiser les actifs et utiliser des fonctions non liées aux transactions ; toute action susceptible de modifier la propriété des actifs nécessite une signature SecureKey.
GRVT permet aussi de configurer à l’avance une Secondary SecureKey. Lorsque la principale Signing SecureKey semble compromise, l’utilisateur peut basculer la clé de secours déjà enregistrée vers une nouvelle Signing SecureKey, afin de réduire la poursuite de la dépendance à la clé d’origine.
Mais la Secondary SecureKey n’est pas un dispositif d’immunité automatique. Si la clé principale et la clé de secours se trouvent sur le même ordinateur, la même configuration de navigateur, le même gestionnaire de mots de passe ou le même compte cloud synchronisé, elles appartiennent malgré tout au même domaine de défaillance.
La démarche la plus raisonnable consiste donc à isoler réellement le SecureKey principal et le Secondary SecureKey : conserver la clé principale sur un appareil dédié ou dans un portefeuille matériel, enregistrer la clé de secours à l’avance et la stocker sur un autre appareil « propre », en utilisant des éléments de récupération indépendants ; ne mettez pas les deux séries de mots de passe mnémotechniques, les fichiers d’export ou les données de portefeuille de navigateur dans le même disque cloud.
#grvt #SelfCustody #Multisig #CryptoSecurity
L’illusion la plus dangereuse des multi-signatures, c’est de voir « 3 clés nécessaires » et d’en conclure qu’il existe forcément 3 couches de défense indépendantes. L’accident de Humanity Protocol apporte une réponse brutale : si plusieurs clés de signature sont regroupées sur un seul appareil, l’attaquant n’a peut-être réellement qu’un seul point de défaillance à compromettre.
Le compte-rendu officiel de Humanity, basé sur l’incident Quantstamp, montre que l’attaque a commencé par un e-mail de phishing se faisant passer pour Bithumb. Une pièce jointe malveillante a créé un accès à distance sur un ordinateur Windows, puis a récupéré des données de portefeuille de navigateur et des clés privées.
Le 8 juin, côté Ethereum, l’attaquant a remplacé le proxy cross-chain en utilisant la clé volée pour détourner environ 141,18 millions de H ; côté BSC, il a ensuite pris le contrôle du ProxyAdmin en utilisant 3 clés de signature Safe volées, émis et vendu environ 100 millions de H.
La vente s’est poursuivie pendant environ 8 heures, et le prix du H sur le marché public a chuté d’environ 89 % à un moment. Au moment de la publication du compte-rendu officiel, il est déjà connu que l’ETH dans les adresses d’attaque dépasse 21 millions de dollars ; les gains en BNB sont encore en cours de décompte. Par conséquent, considérer les « 36 millions de dollars » qui circulent sur le marché comme la perte finale officielle n’est pas rigoureux.
Regardons maintenant la conception de @grvt_io : la connexion Web2 et l’autorisation des actifs Web3 sont clairement séparées. L’e-mail, le mot de passe ou OAuth servent principalement à accéder au compte, visualiser les actifs et utiliser des fonctions non liées aux transactions ; toute action susceptible de modifier la propriété des actifs nécessite une signature SecureKey.
GRVT permet aussi de configurer à l’avance une Secondary SecureKey. Lorsque la principale Signing SecureKey semble compromise, l’utilisateur peut basculer la clé de secours déjà enregistrée vers une nouvelle Signing SecureKey, afin de réduire la poursuite de la dépendance à la clé d’origine.
Mais la Secondary SecureKey n’est pas un dispositif d’immunité automatique. Si la clé principale et la clé de secours se trouvent sur le même ordinateur, la même configuration de navigateur, le même gestionnaire de mots de passe ou le même compte cloud synchronisé, elles appartiennent malgré tout au même domaine de défaillance.
La démarche la plus raisonnable consiste donc à isoler réellement le SecureKey principal et le Secondary SecureKey : conserver la clé principale sur un appareil dédié ou dans un portefeuille matériel, enregistrer la clé de secours à l’avance et la stocker sur un autre appareil « propre », en utilisant des éléments de récupération indépendants ; ne mettez pas les deux séries de mots de passe mnémotechniques, les fichiers d’export ou les données de portefeuille de navigateur dans le même disque cloud.
#grvt #SelfCustody #Multisig #CryptoSecurity
Hacking des comptes de SpaceX et Starlink pour promouvoir une monnaie SCATMAN
Lors d’un nouvel incident, mettant en lumière les risques d’une confiance aveugle dans les comptes de célébrités, des comptes liés à SpaceX et Starlink ont été exploités sur la plateforme X afin de promouvoir une monnaie mème nommée SCATMAN sur le réseau Robinhood Chain.
D’après les données de Lookonchain, l’attaquant a réussi à exploiter ces comptes et à publier la promotion de la devise, poussant les investisseurs à acheter rapidement, ce qui a fait grimper temporairement la capitalisation boursière de la monnaie à environ 32 millions de dollars avant que l’attaquant ne vende ses avoirs et ne réalise des gains d’environ 135 000 $ en ETH.
Cet incident reflète un problème récurrent sur le marché des monnaies mèmes :
🔹 Compte piraté de confiance = confiance fallacieuse et entrée rapide des traders.
🔹 Les hausses rapides peuvent être dues à une manipulation plutôt qu’à une adoption réelle.
🔹 Même les comptes importants et vérifiés ne garantissent pas la sécurité.
Leçon pour les investisseurs :
Voir une annonce provenant d’un compte célèbre ne suffit pas. Avant d’acheter un jeton, il faut vérifier le contrat, la liquidité, la répartition des portefeuilles et le comportement de l’équipe. Sur le marché des memecoins, quelques minutes d’euphorie peuvent se transformer en pertes considérables.
#CryptoSecurity #Memecoins
#SCATMAN #Web3
Lors d’un nouvel incident, mettant en lumière les risques d’une confiance aveugle dans les comptes de célébrités, des comptes liés à SpaceX et Starlink ont été exploités sur la plateforme X afin de promouvoir une monnaie mème nommée SCATMAN sur le réseau Robinhood Chain.
D’après les données de Lookonchain, l’attaquant a réussi à exploiter ces comptes et à publier la promotion de la devise, poussant les investisseurs à acheter rapidement, ce qui a fait grimper temporairement la capitalisation boursière de la monnaie à environ 32 millions de dollars avant que l’attaquant ne vende ses avoirs et ne réalise des gains d’environ 135 000 $ en ETH.
Cet incident reflète un problème récurrent sur le marché des monnaies mèmes :
🔹 Compte piraté de confiance = confiance fallacieuse et entrée rapide des traders.
🔹 Les hausses rapides peuvent être dues à une manipulation plutôt qu’à une adoption réelle.
🔹 Même les comptes importants et vérifiés ne garantissent pas la sécurité.
Leçon pour les investisseurs :
Voir une annonce provenant d’un compte célèbre ne suffit pas. Avant d’acheter un jeton, il faut vérifier le contrat, la liquidité, la répartition des portefeuilles et le comportement de l’équipe. Sur le marché des memecoins, quelques minutes d’euphorie peuvent se transformer en pertes considérables.
#CryptoSecurity #Memecoins
#SCATMAN #Web3
$ETH HACKERS ONT UTILISÉ DES COMPTES COMPROMIS POUR FAIRE MONTER UN FAUX TOKEN 🚨
Les données en chaîne révèlent un pump-and-dump « textbook » via des comptes très médiatisés compromis. L’attaquant a frappé 10 000 milliards de tokens $SCATMAN, les a vendus pour 59 ETH (≈ 108 k$), avec un deuxième portefeuille qui a ensuite déversé encore 14,7 ETH. Butin total : ≈ 125 k$ — une somme modeste par rapport aux dégâts.
Ce schéma est prévisible : détourner la confiance, créer de la FOMO, puis sortir avant l’effondrement. Vérifiez toujours la légitimité d’un token via plusieurs canaux officiels, pas seulement une coche bleue.
Comment vérifiez-vous de nouveaux tokens avant d’entrer ?
Ce n’est pas un conseil financier. Gérez toujours votre risque.
#ETH #ScamAlert #CryptoSecurity #DYOR
⚡
Les données en chaîne révèlent un pump-and-dump « textbook » via des comptes très médiatisés compromis. L’attaquant a frappé 10 000 milliards de tokens $SCATMAN, les a vendus pour 59 ETH (≈ 108 k$), avec un deuxième portefeuille qui a ensuite déversé encore 14,7 ETH. Butin total : ≈ 125 k$ — une somme modeste par rapport aux dégâts.
Ce schéma est prévisible : détourner la confiance, créer de la FOMO, puis sortir avant l’effondrement. Vérifiez toujours la légitimité d’un token via plusieurs canaux officiels, pas seulement une coche bleue.
Comment vérifiez-vous de nouveaux tokens avant d’entrer ?
Ce n’est pas un conseil financier. Gérez toujours votre risque.
#ETH #ScamAlert #CryptoSecurity #DYOR
⚡
⚖️ Sécurité des cryptos 101 : bonnes pratiques essentielles pour protéger vos actifs numériques
Le 12 juillet 2026, avec 2,28 T$ de valeur crypto totale en jeu, la sécurité est la compétence la plus importante que tout utilisateur de crypto puisse développer. L’exploit de 9 M$ de Bonzo Lend rappelle que les risques sont partout.
Les portefeuilles matériels comme Ledger ou Trezor stockent les clés privées hors ligne, vous protégeant contre les piratages à distance. Ne partagez jamais votre phrase de récupération (seed phrase) et vérifiez toujours les adresses avant d’envoyer des fonds.
Le risque lié aux contrats intelligents est une autre préoccupation : n’interagissez qu’avec des protocoles audités et commencez par de petits montants lorsque vous testez de nouvelles applications DeFi.
📌 À retenir :
La sécurité des cryptos est une responsabilité personnelle : les portefeuilles matériels, la protection de la phrase de récupération (seed phrase) et la diligence raisonnable sont non négociables.
#CryptoSecurity #HardwareWallet #SelfCustody #CryptoEducation
#BinanceAlphaAlert
Le 12 juillet 2026, avec 2,28 T$ de valeur crypto totale en jeu, la sécurité est la compétence la plus importante que tout utilisateur de crypto puisse développer. L’exploit de 9 M$ de Bonzo Lend rappelle que les risques sont partout.
Les portefeuilles matériels comme Ledger ou Trezor stockent les clés privées hors ligne, vous protégeant contre les piratages à distance. Ne partagez jamais votre phrase de récupération (seed phrase) et vérifiez toujours les adresses avant d’envoyer des fonds.
Le risque lié aux contrats intelligents est une autre préoccupation : n’interagissez qu’avec des protocoles audités et commencez par de petits montants lorsque vous testez de nouvelles applications DeFi.
📌 À retenir :
La sécurité des cryptos est une responsabilité personnelle : les portefeuilles matériels, la protection de la phrase de récupération (seed phrase) et la diligence raisonnable sont non négociables.
#CryptoSecurity #HardwareWallet #SelfCustody #CryptoEducation
#BinanceAlphaAlert
💥 Lazarus Group fait cuire du crypto en 2026 ⚠️
Des hackers nord-coréens viennent de publier certaines des plus grosses failles de cette année :
Drift Protocol → 285M$
Kelp DAO → 292M$
Leurs sales méthodes :
Offres d’emploi bidon & appels en deepfake 😈
Malware sur des ordinateurs portables de développeurs pour voler des clés
Exploits de ponts & fausses opérations de collatéral
Ils prévoient des attaques pendant des mois… super patients & dangereux.
Restez en sécurité, les rois :
Portefeuille matériel uniquement
Ne partagez jamais la seed ni les clés privées
Vérifiez chaque lien & fichier deux fois
Les projets ont besoin d’une meilleure sécurité ASAP !
Tu te joins à la lutte contre Lazarus ou tu cliques encore sur des liens au hasard ? 😂👇
#Lazarus #cryptohacks #CryptoSecurity #BinanceSquare
Des hackers nord-coréens viennent de publier certaines des plus grosses failles de cette année :
Drift Protocol → 285M$
Kelp DAO → 292M$
Leurs sales méthodes :
Offres d’emploi bidon & appels en deepfake 😈
Malware sur des ordinateurs portables de développeurs pour voler des clés
Exploits de ponts & fausses opérations de collatéral
Ils prévoient des attaques pendant des mois… super patients & dangereux.
Restez en sécurité, les rois :
Portefeuille matériel uniquement
Ne partagez jamais la seed ni les clés privées
Vérifiez chaque lien & fichier deux fois
Les projets ont besoin d’une meilleure sécurité ASAP !
Tu te joins à la lutte contre Lazarus ou tu cliques encore sur des liens au hasard ? 😂👇
#Lazarus #cryptohacks #CryptoSecurity #BinanceSquare
L’angle sécurité (accent sur la garde en self-custody)
Légende :
À la lumière des récents événements de marché survenus au cours des dernières années, la self-custody n’est plus une option : c’est une nécessité. 🛡️
Mais, en général, la self-custody signifie des transactions lentes et des frais de gaz élevés. GRVT résout ce problème en conservant le règlement en chaîne tout en utilisant un moteur de matching hors chaîne hautes performances. Vous bénéficiez de la sécurité d’un portefeuille non dépositaire, avec une expérience de trading de niveau professionnel, digne d’une plateforme de type Wall Street. 📈
La sécurité rencontre la rapidité. Si vous n’avez pas encore consulté le GRVT Booster, allez dès maintenant sur Binance Wallet > Découvrir > Booster.
Partagez vos réflexions ou vos questions sur GRVT ci-dessous, discutons ! 💬
#grvt_io #CreatorpadsVN #SelfCustody #CryptoSecurity @grvt_io
Légende :
À la lumière des récents événements de marché survenus au cours des dernières années, la self-custody n’est plus une option : c’est une nécessité. 🛡️
Mais, en général, la self-custody signifie des transactions lentes et des frais de gaz élevés. GRVT résout ce problème en conservant le règlement en chaîne tout en utilisant un moteur de matching hors chaîne hautes performances. Vous bénéficiez de la sécurité d’un portefeuille non dépositaire, avec une expérience de trading de niveau professionnel, digne d’une plateforme de type Wall Street. 📈
La sécurité rencontre la rapidité. Si vous n’avez pas encore consulté le GRVT Booster, allez dès maintenant sur Binance Wallet > Découvrir > Booster.
Partagez vos réflexions ou vos questions sur GRVT ci-dessous, discutons ! 💬
#grvt_io #CreatorpadsVN #SelfCustody #CryptoSecurity @grvt_io
$T AND $SXT ATTIRE L’ATTENTION ALORS QUE LA POLICE SINGAPOURIENNE DÉMANTÈLE POUR 4,2 M$ D’ARNAQUES 🔥
Cette opération conjointe entre une plateforme de premier plan et les autorités de Singapour a utilisé l’analyse de la blockchain pour intercepter plus de 4,2 millions de dollars de pertes liées à des arnaques avant qu’elles n’atteignent les auteurs. Le signal positif en faveur de l’intégrité du marché est clair — mais le compromis en matière de confidentialité est désormais au premier plan.
La communauté crypto a déjà connu cette situation : chaque pas vers la sécurité soulève de nouvelles questions sur la surveillance des données. L’équilibre entre protection et liberté devient de plus en plus tranché. De quel côté de ce débat êtes-vous ?
Ce n’est pas un conseil financier. Gérez toujours votre risque.
#T #SXT #CryptoSecurity #Regulation #Privacy
🔥
Cette opération conjointe entre une plateforme de premier plan et les autorités de Singapour a utilisé l’analyse de la blockchain pour intercepter plus de 4,2 millions de dollars de pertes liées à des arnaques avant qu’elles n’atteignent les auteurs. Le signal positif en faveur de l’intégrité du marché est clair — mais le compromis en matière de confidentialité est désormais au premier plan.
La communauté crypto a déjà connu cette situation : chaque pas vers la sécurité soulève de nouvelles questions sur la surveillance des données. L’équilibre entre protection et liberté devient de plus en plus tranché. De quel côté de ce débat êtes-vous ?
Ce n’est pas un conseil financier. Gérez toujours votre risque.
#T #SXT #CryptoSecurity #Regulation #Privacy
🔥
Connectez-vous pour découvrir plus de contenu