慢雾 SlowMist

I. Contexte
Récemment, l’équipe de sécurité SlowMist a reçu l’appel à l’aide d’un utilisateur de Fomo. L’utilisateur a signalé que, lorsqu’il consultait sur la version web de Fomo les détails du jeton MOONLET, il a cliqué sur le lien vers le site officiel du projet affiché sur la page, a accédé à voltage.family et, suivant les instructions, a effectué une « vérification humaine ». Il a ensuite découvert qu’environ 48 000 dollars d’actifs avaient été transférés hors de son compte. Tout au long du processus, il n’a pas connecté son portefeuille, n’a effectué aucune autorisation on-chain et n’a saisi ni phrase de récupération ni clé privée. Cet utilisateur s’est connecté à Fomo via Google et a indiqué que son compte n’avait pas activé la double authentification.
Après avoir reçu ce signalement, l’équipe de sécurité SlowMist a analysé les pages et scripts concernés et a découvert que la prétendue « vérification humaine » amenait l’utilisateur à ajouter puis cliquer sur un signet malveillant. Ce signet contenait du code JavaScript intégré, dont l’objectif était de lire le stockage du navigateur dans la page Fomo, d’extraire le jeton de connexion, puis d’envoyer les données vers une adresse externe.

En septembre 2026, le Groupe d’action financière (GAFI) publie un rapport thématique (Risques liés au jeu et aux paris) qui analyse de manière systématique les risques de blanchiment de capitaux, de financement du terrorisme et de financement de la prolifération auxquels sont exposés des domaines tels que les casinos, les paris sportifs, les autres formes de jeux d’argent et les jeux en ligne.
La valeur de ce rapport ne réside pas dans le fait de considérer d’emblée l’ensemble des jeux et des activités de paris comme étant à haut risque, mais plutôt dans la mise en évidence d’un changement qui mérite davantage l’attention des prestataires de services d’actifs numériques : lorsque l’acheminement en ligne, l’internationalisation, la diversification des produits et la multiplicité des modes de paiement se superposent, les plateformes de jeux et de paris deviennent une partie intégrante d’un écosystème plus large de transfert de valeur. Pour les bourses, les VASP et les prestataires de services d’actifs numériques proposant des paiements cryptés, les fonds provenant de cet écosystème ne devraient pas être interprétés uniquement comme une « transaction de jeu », mais examinés dans le cadre de l’ensemble des relations financières.

Le 18 septembre, les forces de police japonaises, en collaboration avec le Bureau national de coordination des réseaux, ainsi que le FBI américain, le Cyber Crime Center du ministère de la Défense américain, la Direction des communications et le Centre de cybersécurité australiens, le Service fédéral de renseignement allemand et l’Office fédéral de la protection de la Constitution, ont publié ensemble un rapport conjoint à six partenaires. Les protagonistes en sont une organisation de hackers d’origine nord-coréenne — WaterPlum (également connue sous le nom de « Contagious Interview », traduction littérale « entretien d’apparence »).
Cette campagne d’attaque liée à « Contagious Interview » fait l’objet depuis des années d’un suivi par plusieurs sociétés internationales de cybersécurité, et est souvent considérée comme étant associée au groupe Lazarus de Corée du Nord. Cette fois, c’est la première fois que la police japonaise dévoile, de manière officielle, un cas précis dans le pays, en coopération avec plusieurs institutions étrangères, ainsi que les preuves saisies.

Contexte
L’échantillon provient d’une branche de développement du package d’extension Laravel Nova `visanduma/nova-two-factor`, rattachée à l’activité PolinRider. Il s’agit d’un package PHP publié sur Packagist ; au moment de l’analyse présentée ici, son nombre de téléchargements cumulés dépassait déjà 700 000.
La chaîne de livraison n’écrit pas l’adresse C2 dans l’échantillon. Le code malveillant interroge d’abord Ethereum, puis extrait les IP de deux serveurs à partir de l’adresse de réception d’une transaction. Ensuite, il récupère la charge utile suivante via HTTP. Pour que l’attaquant change de serveurs, il lui suffit d’émettre une nouvelle transaction sur la blockchain ; il n’a pas besoin de reprojeter ce paquet.
L’aboutissement de cette chaîne est un voleur de secrets multiplateforme : il collecte les identifiants et les cookies du navigateur, les données de portefeuilles chiffrés, la base de données d’un gestionnaire de mots de passe ainsi que les informations d’identification liées au développement.

L'équipe de sécurité de SlowMist a récemment reçu plusieurs signalements de vols de données. Après vérification, il s'est avéré que tous les incidents impliquaient la fuite de clés privées, et certains des utilisateurs concernés avaient téléchargé et utilisé les versions 1.1 et 1.2 de l'application FomoPeek.
Notre analyse conjointe avec l'équipe de sécurité OKX a confirmé que FomoPeek 1.1 et 1.2 ont implanté deux modules malveillants, apptrace et libapptracecore, qui ont les capacités de configuration à distance, d'exploitation des vulnérabilités du noyau, d'évasion de sandbox, de décryptage du trousseau et de collecte de données inter-applications.
La vérification dynamique a montré que l'application obtient une adresse C2 chiffrée depuis Bitbucket, transmet des informations sur l'appareil et reçoit une configuration à distance via l'API a95f0ed200f.assisaint[.]com. Lors du test, la valeur « exploit_enabled » renvoyée par C2 était fausse. Afin de vérifier la chaîne d'exécution, nous avons activé les options correspondantes après le déchiffrement côté client dans un environnement isolé via Hook. Nous avons ainsi obtenu une liste de 19 portefeuilles et applications de prise de notes, et capturé la requête complète pour l'empaquetage et le chargement du conteneur Apple Notes.

Auteur : Johan & Lisa
Éditeur : 77
Le 6 septembre à 13 h 52 min 10 s (UTC), deux transactions de structure identique apparaissent dans le bloc numéro 4 050 335 de Liquid. Une minute plus tard, le bloc numéro 4 050 336 confirme la troisième transaction : environ 3 998,5 L-BTC entrent dans le jeu d’UTXO, sans qu’aucun peg-in ne soit effectué derrière. Quelques minutes plus tard, ces actifs qui n’existent pas encore commencent à être regroupés, puis dépensés, avant d’être convertis en BTC véritables sur le réseau principal de Bitcoin via le canal de peg-out fédéral.
Le lendemain, 3 400 BTC ont été renvoyés vers le portefeuille de peg fédéral. Les 598,5 BTC restants restent entre les mains de l’attaquant ; au moment de la rédaction, ils font l’objet de virements répétés sur eux-mêmes. Chaque transaction comporte un texte en clair OP_RETURN, demandant au fédéral un dixième « de la récompense ». À ce jour, les négociations se poursuivent publiquement en chaîne.

Le 9 septembre, le Trésor américain, via l’Office of Foreign Assets Control (OFAC), et le ministère de la Justice (DOJ) ont annoncé une action coordonnée contre la garantie Xinbi (Xinbi Guarantee). L’OFAC a inscrit la garantie Xinbi et deux sociétés qui lui apportent un soutien opérationnel sur la liste des sanctions, tandis que le DOJ a saisi l’infrastructure des plateformes concernées et des portefeuilles d’actifs cryptographiques dans le cadre de l’opération du groupe spécial de lutte contre les centres d’arnaque (Scam Center Strike Force). Selon le communiqué du DOJ, cette action coordonnée a permis de restreindre plus de 52 millions de dollars d’actifs cryptographiques liés à la garantie Xinbi et à son réseau de commerçants.
Cette opération ne vise pas un seul groupe d’arnaque, mais un réseau de services qui permet le fonctionnement des activités frauduleuses. Les services répressifs américains indiquent que la garantie Xinbi relie les groupes d’arnaque à des commerçants fournissant des services tels que le blanchiment d’argent et le développement de sites d’arnaque, et qu’elle crée, via des mécanismes de séquestre des fonds et de garantie des transactions, des conditions permettant à ces échanges illégaux de fonctionner en continu.

Auteur : Jiujiu
Édition : 77
Contexte
Le 4 septembre 2026, la célèbre plateforme de prêt décentralisée Notional Finance a été attaquée, entraînant une perte d’environ 1,73 million de dollars. Voici l’analyse détaillée de cette attaque par l’équipe de sécurité de SlowMist :
Connaissances préalables
Dans Notional Finance V1, le fCash peut être compris comme une créance en espèces avec une date d’échéance. Le cash receiver encaisse à l’échéance, tandis que le cash payer effectue le paiement à l’échéance. Le protocole enregistre les deux types de positions dans le Portfolio, puis détermine, grâce à une vérification du free collateral, si la santé d’un compte permet l’ouverture d’une position.

Contexte
Une page d’accueil d’une offre gratuite de VPS, en réalité un appât. D’après la page restaurée à partir d’archives de pages publiques, event[.]polarnode[.]vip, enregistré fin août 2026, déclare https[:]//lk[.]wyincc[.]com/lk.js comme script de préchargement ; une fois la page interactive, le script se charge automatiquement, sans que les visiteurs aient besoin de cliquer.
Après avoir décodé les échantillons de loader sauvegardés, nous avons confirmé que celui-ci est conçu pour être livré à des iPhones exécutant iOS 18.4–18.6.2 via Safari pur, et qu’il aboutit finalement à l’exfiltration de fichiers, du trousseau (Keychain) et des saisies au clavier, ciblant trois applications de portefeuille. Cette chaîne est très cohérente avec la chaîne d’exploitation iOS DarkSword publiée par le Google Threat Intelligence Group (GTIG), correspondant à six CVE ; il s’agit d’une réutilisation n-day.

Récemment, le CEO d’OKX a répondu à une publication d’utilisateur selon laquelle une plateforme de paris transférait directement des fonds vers une plateforme d’échange, ce qui déclenchait un contrôle lors du dépôt. Selon ses déclarations publiques, les dépôts provenant d’adresses à haut risque vers OKX peuvent déclencher un contrôle renforcé en matière de lutte contre le blanchiment d’argent (AML) et d’évaluation des risques ; selon les circonstances, ce contrôle peut durer 15 jours, voire davantage, pendant lesquels certaines fonctionnalités du compte et certains fonds peuvent être soumis à des restrictions ; pour les comptes confirmés comme impliqués dans des activités à haut risque ou illégales, la plateforme peut également mettre fin au service.
https://x.com/star_okx/status/2094980124236251207
OKX rappelle également que les fonds obtenus via des canaux tels que les transactions garanties dans des groupes Telegram, Huawang et ses variantes, peuvent entraîner un risque élevé lié à l’origine des fonds.

Avec le développement continu des actifs crypto, des paiements en stablecoins et des activités de finance numérique, l’AML en chaîne, le KYT et l’analyse des risques liés aux fonds deviennent des besoins concrets pour un nombre croissant d’organisations.
À cet effet, MistTrack & SlowMist KYT lance officiellement son programme de partenaires, en recrutant à l’échelle mondiale des partenaires individuels et institutionnels disposant de ressources en Web3, finance, paiement, conformité, sécurité et sur le marché local.
Une fois inscrit au programme, vous pouvez bénéficier de :
Un code de remise exclusif pour les clients, aidant vos clients à s’abonner à un prix plus avantageux ;
Une attribution automatique des commandes et des relevés de commission de parrainage, avec une durée de validité de la commission allant jusqu’à 3 ans ;

Le 28 août, lors du Cypher Asia Intelligent Crypto Finance Summit, le fondateur de SlowMist, Yu Xuan, a prononcé une allocution intitulée (Gris rhinocéros et cygnes noirs dans le monde de la cryptographie). Il a abordé des problèmes de sécurité courants dans le secteur crypto, a analysé de manière systématique les risques clés tels que le vol, l’escroquerie, la perte et le gel de fonds, et a partagé ses réflexions sur la protection et la défense en matière de sécurité.
Voici un récapitulatif des échanges partagés sur place.
Dans le monde de la cryptographie, il n’est pas rare que des fonds soient volés, escroqués, perdus ou gelés. De nombreux incidents de sécurité semblent, au premier abord, survenir soudainement comme un imprévu. Mais en regardant de plus près, on s’aperçoit que plusieurs risques étaient déjà perceptibles. Le problème ne tient pas forcément au fait de ne pas connaître l’existence des risques, mais plutôt au fait que le risque s’est déjà matérialisé sans avoir été suffisamment pris au sérieux, ou que les mesures de sécurité existantes n’ont pas réellement rempli leur rôle.

Le 28 août, SlowMist a organisé avec ME Group un événement de discussion sectorielle intitulé « Traverser le brouillard, aller vers un paiement de confiance | Nouveaux enjeux de conformité des stablecoins mondiaux et paiements par agents intelligents ». L’équipe a aussi participé à plusieurs événements, dont « Cypher Asia Sommet de la finance cryptée intelligente », « AI x BTC - BTC Asia Side Event », etc. Autour des thèmes de la conformité des stablecoins et des cas d’usage de paiement, de la sécurité des cryptomonnaies et de l’infrastructure de l’économie numérique, SlowMist a partagé son expérience pratique et ses points de vue sur la sécurité avec ses partenaires de l’industrie.
Désormais, replongeons ensemble dans les moments forts de la journée —
Focus sur la conformité des stablecoins et les paiements par agents intelligents : explorer la construction d’un paiement de confiance

Contexte
Téléchargez un grand modèle open source : le plus souvent, vous vous demandez s’il peut fonctionner correctement et si les poids sont authentiques. Cette fois, le vrai sujet de préoccupation se cache ailleurs : un dépôt étiqueté 27B paramètres, livré entre vos mains… mais qui ne contient en réalité que 487 KB. À l’intérieur, pas des poids : un cheval de Troie de vol d’informations.
Le 20 août 2026, le dépôt GitHub unburdened-jackinthebox365/qwen38-uncensored a soumis, dans le répertoire assets/, un fichier nommé uncensored_qwen_v2.6.zip, d’une taille de 487 153 octets. Le dépôt l’a emballé de manière presque inattaquable : la page d’accueil affirme fournir des poids quantifiés locaux de Qwen 3.8 (27B), et le README insiste sur une exécution totalement hors ligne, sans télémétrie, et sur le fait que les données ne quittent jamais la machine. Chaque phrase vise parfaitement les attentes des utilisateurs de modèles locaux. Quatre jours plus tard, le 24 août, le README a encore été modifié : le bouton de téléchargement, le lien de téléchargement dans le corps du texte, ainsi que les deux liens externes initiaux qui renvoyaient respectivement vers les sites officiels d’Ollama et de LM Studio, ont tous été redirigés vers la même adresse raw de ce ZIP.

Le 28 août, SlowMist, en partenariat avec ME Group, organisera à Hong Kong l’événement d’échanges sectoriels « Traverser la brume pour aller vers des paiements de confiance | nouvelles frontières de la conformité des stablecoins et des paiements par agents intelligents à l’échelle mondiale ».
Cette manifestation réunira des intervenants de secteurs tels que les stablecoins, les paiements, les agents d’IA, la conformité et la sécurité blockchain. Elle proposera des échanges autour de la conformité mondiale des stablecoins, du développement des paiements par agents intelligents et de la mise en place d’un système de paiements de confiance, afin d’explorer ensemble les défis techniques, de sécurité et de conformité rencontrés lors de l’évolution des modes de paiement.
Date : 28 août, 09h30 – 12h30
Lieu : Hong Kong, CAI Building

Auteur : 九九
Édition : 77
Contexte
Le 19 août 2026, le célèbre projet de pont inter-chaînes Allbridge a été attaqué, avec une perte d’environ 190 000 dollars. Cependant, la présente attaque a mis près d’un mois à aboutir. Voici l’analyse détaillée de l’incident par l’équipe de sécurité SlowMist :
Connaissances préalables
Pour comprendre cette attaque, nous devons d’abord comprendre le protocole CCTP de Circle et son système de messagerie inter-chaînes.
Le CCTP est le protocole de transfert inter-chaînes de Circle. Son principe de base consiste à détruire l’USDC sur la chaîne source, puis à le frapper à nouveau en quantité équivalente sur la chaîne cible. Ainsi, les contrats de pont ne peuvent pas augmenter le solde de manière arbitraire.

Le 28 août, Hong Kong accueillera plusieurs événements sectoriels axés sur les stablecoins, les paiements par agents intelligents, les AI Agent et les infrastructures de base du Bitcoin. En tant qu’entreprise spécialisée dans la sécurité de l’écosystème blockchain, SlowMist organisera et participera à plusieurs événements à Hong Kong. En s’appuyant sur ses recherches et pratiques en matière de sécurité, l’entreprise échangera avec des partenaires de l’industrie autour des sujets concernés.
Traverser le brouillard et accéder à un paiement de confiance | Nouvelle frontière de la conformité mondiale des stablecoins et des paiements par agents intelligents
Horaire : 28 août 09:30–12:30
Lieu : Hong Kong, CAI Building
Inscription : https://luma.com/0c4fawzv
Le 28 août, le groupe SlowMist organisera en collaboration avec ME Group à Hong Kong l’événement d’échanges sectoriels « Traverser le brouillard et accéder à un paiement de confiance | Nouvelle frontière de la conformité mondiale des stablecoins et des paiements par agents intelligents ». À cette occasion, des partenaires de l’écosystème issus des domaines des stablecoins, des paiements, des AI Agent, de la conformité et de la sécurité se réuniront à Hong Kong pour discuter de la conformité mondiale et des cas d’application des stablecoins, de l’évolution technologique des paiements par agents intelligents, ainsi que de la construction de la sécurité des systèmes de paiement de confiance.

Contexte
Solidity Pro est une extension VS Code destinée aux développeurs Solidity/Web3. Elle se positionne comme un outil d’assistance à la création, offrant notamment des fonctionnalités de consultation du gas, de prix des jetons, d’extraits de code et d’indications de compilation. Son dépôt GitHub a également fait la promotion de capacités de sécurité telles que l’« AI Audit » et le « Security Scanner ».
Lors d’événements publics, Solidity Pro a successivement utilisé deux publishers (éditeurs) : helper-beeps et web3devtoolsx. Les Extension ID (identifiants uniques des extensions) correspondants sont helper-beeps.solidity-pro et web3devtoolsx.solidity-pro. Bien que l’identité de publication ait changé, les livrables construits par la suite ont conservé l’ancien publisher, l’adresse du dépôt et les informations de droits d’auteur, ce qui indique l’existence d’une relation directe d’héritage de projet entre les deux.

Récemment, MistTrack Agent, conçu par SlowMist, a officiellement rejoint AgentOn en tant qu’agent tiers. Spécialisé dans l’AML des crypto-monnaies et l’enquête on-chain, MistTrack Agent intègre des capacités telles que le suivi des fonds on-chain et l’analyse des risques dans la plateforme AgentOn, offrant aux utilisateurs une façon plus efficace et automatisée de mener des enquêtes on-chain.
Bienvenue avec MistTrack Agent :
https://agenton.me/agent/market/external/fe204dba-05d1-49c8-8659-03ca24988185
🎁 Offre découverte à durée limitée : chaque utilisateur peut bénéficier de 10 appels gratuits, valables 30 jours. Une fois les appels gratuits épuisés ou la période de validité expirée, des frais seront appliqués selon les tarifs standard d’AgentOn.

Le développement continu des actifs numériques et des technologies d’intelligence artificielle propulse les paiements vers une nouvelle phase d’application. D’une part, les stablecoins accélèrent leur sortie des scénarios purement on-chain pour s’immerger dans des activités professionnelles réelles, telles que le paiement, la compensation et la gestion de trésorerie ; d’autre part, les agents IA passent progressivement d’outils d’assistance à de véritables participants aux paiements capables de représenter les utilisateurs et les entreprises pour effectuer des requêtes, prendre des décisions, appeler des services, voire initier des transactions.
Lorsque les stablecoins commencent à entrer dans des scénarios de paiement réels, comment la conformité peut-elle se concrétiser véritablement ? Lorsque les agents IA commencent à participer aux transactions, comment établir des mécanismes de transaction sûrs et dignes de confiance ? Voilà aussi de nouveaux problèmes auxquels l’industrie doit faire face.