Opération Asterix : une campagne d’hameçonnage crypto vise 885 000 numéros de téléphone

Ce qu’il faut retenir :

• La société Rapid7 a mis au jour une campagne d’hameçonnage ciblant environ 885 000 numéros de téléphone.
• Les attaquants dirigeaient leurs victimes vers de fausses applications Ledger, Trezor et Exodus.
• Le taux de correspondance avec des comptes crypto atteint environ 13,6 % sur le fichier allemand.

La société de cybersécurité Rapid7 a mis au jour une campagne d’hameçonnage baptisée Operation Asterix, qui vise environ 885 000 numéros de téléphone dans plusieurs pays pour dérober les avoirs de détenteurs de cryptomonnaies. Les analystes Anna Sirokova et Jan Recinsky en ont publié le détail lundi.

Comment fonctionne cette campagne

La méthode combine deux canaux. Les attaquants contactent leurs cibles par de faux courriels de support et par appel téléphonique, avant de les diriger vers de fausses applications imitant Ledger, Trezor et Exodus.

L’objectif tient en trois mots : récupérer la phrase de récupération. Ce sésame donne un accès total et irréversible aux fonds, sans qu’aucune faille technique ne soit exploitée. Les journaux récupérés par les chercheurs montrent également de faux courriels usurpant l’identité de Crypto.com.

Un point mérite l’attention des lecteurs : aucun fabricant de portefeuille ni aucune plateforme ne demande jamais une phrase de récupération, quel que soit le prétexte invoqué.

Un ciblage préparé avec méthode

L’ampleur du fichier donne la mesure de l’opération. Le plus gros lot contient 316 002 numéros de mobile allemands, complété par des répertoires couvrant Hong Kong, la Bulgarie, le Royaume-Uni, les États-Unis, des entreprises de technologie financière canadiennes et des listes liées à Ledger.

Le travail de tri précède l’attaque. Les assaillants ont fait correspondre 43 066 numéros à des comptes existants sur des plateformes d’échange à partir du fichier allemand, soit un taux de correspondance d’environ 13,6 %. Une liste de 5 576 comptes rattachés à des utilisateurs de Binance était placée en file d’attente pour être attaquée, et un outil de vérification visait à valider en masse des numéros contre des comptes Kraken.

Rapid7 précise que les éléments récupérés montrent un recours à des outils d’intelligence artificielle comme composante importante de la campagne.

L’hameçonnage, premier poste de pertes du secteur

Ces attaques constituent le principal vecteur de vol dans les cryptomonnaies, précisément parce qu’elles exploitent le comportement humain plutôt que le code d’un protocole.

Les chiffres le confirment. D’après la société de sécurité blockchain Hacken, l’hameçonnage et l’ingénierie sociale ont provoqué 306 millions de dollars de pertes sur les 482 millions enregistrés au premier trimestre.

Les précédents s’accumulent. En novembre 2023, une fausse application Ledger Live présente sur la boutique Microsoft avait permis de dérober 588 000 dollars en 38 transactions. En mai dernier, des annonces publicitaires malveillantes diffusées sur Google et imitant la plateforme Uniswap ont rapporté plus de 400 000 dollars à leurs auteurs. En juillet, un investisseur a perdu près d’un million de dollars après avoir signé une autorisation de transaction frauduleuse sur Ethereum.

Un contexte déjà chargé pour les portefeuilles matériels

L’affaire arrive après une série d’incidents touchant ce segment. Début août, Trezor a signalé une fuite de données personnelles concernant environ 14 000 utilisateurs, via son prestataire logistique ShipMonk. SafePal a révélé de son côté une fuite exposant les coordonnées de 39 798 clients.

Ces deux épisodes n’ont compromis aucun fonds, mais ils fournissent exactement le type de données qui rend une campagne comme Asterix crédible : un nom, une adresse, un numéro et la certitude que la personne détient des cryptomonnaies.

Et maintenant ?

Trois réflexes limitent le risque. Ne jamais saisir sa phrase de récupération ailleurs que sur l’appareil physique qui l’a générée. Vérifier l’origine d’une application avant installation, en passant par le site officiel du fabricant plutôt que par un résultat de recherche ou une boutique d’applications. Et traiter tout appel ou courriel entrant évoquant un problème de sécurité comme suspect par défaut, en rappelant soi-même le service concerné.

Rapid7 n’a pas encore précisé ses conclusions sur le filtrage des cibles et l’usurpation d’applications de portefeuilles matériels. Le sujet reste ouvert, alors que le secteur enchaîne les incidents depuis un mois.