La plateforme de sécurité blockchain GoPlus a publié le 10 avril une alerte d’urgence, indiquant qu’il existe de graves vulnérabilités de sécurité dans le SDK EngageLab, largement utilisé pour les notifications push Android. L’incident touche plus de 50 millions d’utilisateurs Android, dont environ 30 millions sont des utilisateurs de portefeuilles de cryptomonnaies. Les attaquants peuvent déployer sur les appareils des victimes un logiciel malveillant déguisé en application légitime, afin de voler les clés privées et les identifiants de connexion des portefeuilles de cryptomonnaies.
Principe technique de la vulnérabilité : chaîne d’attaque inter-applications silencieuse
(Source : GoPlus)
Le défaut central de cette vulnérabilité réside dans le fait que le SDK EngageLab ne procède pas à une vérification suffisante de la source lors du traitement du mécanisme de communication Intent d’Android. L’Intent est un mécanisme légitime permettant aux applications Android d’échanger des instructions entre elles, mais l’implémentation du SDK EngageLab permet de contourner les processus de validation normaux avec des instructions provenant de sources non autorisées, ce qui déclenche l’exécution par l’application cible d’opérations sensibles.
Chaîne d’attaque complète en trois étapes
Insertion d’une application malveillante : l’attaquant fait passer un logiciel malveillant pour une App légitime, incitant la victime à l’installer sur le même appareil Android
Injection malveillante d’Intent : l’application malveillante envoie, à l’application de portefeuille de cryptomonnaies ou à l’application financière intégrant le SDK EngageLab sur le même appareil, des Intent malveillants soigneusement construits
Exécution d’actions sans autorisation : une fois l’Intent reçu, l’application cible exécute des actions non autorisées, y compris le vol de clés privées de portefeuille, d’identifiants de connexion et d’autres données sensibles, sans que l’utilisateur en ait connaissance
Le danger maximal de cette chaîne d’attaque tient à son caractère silencieux : la victime n’a pas besoin d’effectuer une action volontaire. Il suffit que l’appareil contienne à la fois une application malveillante et une application avec une version vulnérable du SDK EngageLab pour que l’attaque se déroule en arrière-plan.
Étendue de l’impact : risque de pertes d’actifs irréversibles pour les utilisateurs de cryptomonnaies
Le SDK EngageLab, en tant qu’élément de base largement déployé pour les notifications push, a été intégré à des milliers d’applications Android. La portée de cette vulnérabilité atteint donc une échelle de 50 millions d’appareils, dont environ 30 millions sont des utilisateurs de portefeuilles de cryptomonnaies.
Une fois la clé privée du portefeuille de cryptomonnaies divulguée, l’attaquant peut prendre totalement le contrôle des actifs on-chain de la victime. Et la nature irréversible des transactions de blockchain signifie que ces pertes sont presque impossibles à récupérer, avec un niveau de risque bien supérieur aux incidents classiques de fuite de données d’applications.
Mesures d’urgence : liste d’actions immédiates pour les développeurs et les utilisateurs
Recommandations de sécurité par catégorie
- Développeurs et fabricants d’applications
· Vérifiez immédiatement si le produit intègre le SDK EngageLab et confirmez que la version actuelle est inférieure à 4.5.5
· Mettez à niveau vers le SDK EngageLab 4.5.5 ou une version officielle corrigée ultérieure (veuillez consulter la documentation officielle d’EngageLab)
· Publiez à nouveau la version mise à jour et informez les utilisateurs afin qu’ils effectuent la mise à jour le plus rapidement possible
- Utilisateurs Android ordinaires
· Mettez immédiatement à jour toutes les applications en vous rendant sur Google Play, en traitant en priorité les applications de portefeuille de cryptomonnaies et les applications financières
· Restez vigilant à l’égard des applications téléchargées depuis des sources inconnues ou des canaux non officiels ; le cas échéant, supprimez-les immédiatement
· En cas de suspicion que la clé privée a été divulguée, créez immédiatement un nouveau portefeuille sur un appareil sécurisé, transférez les actifs et désactivez définitivement l’ancienne adresse
Questions fréquentes
Qu’est-ce que le SDK EngageLab, et pourquoi a-t-il été largement intégré aux portefeuilles de cryptomonnaies ?
Le SDK EngageLab est un kit de logiciels tiers qui fournit des fonctionnalités de notifications push Android ; en raison de sa facilité de déploiement, il a été adopté par de nombreuses applications. Les notifications push sont une fonctionnalité standard pour presque toutes les applications mobiles. Cela explique aussi la présence généralisée du SDK EngageLab dans les portefeuilles de cryptomonnaies et les applications financières, ce qui conduit à la portée de l’incident atteignant 50 millions d’utilisateurs.
Comment vérifier si mon appareil est affecté par cette vulnérabilité ?
Si votre appareil Android a installé un portefeuille de cryptomonnaies ou une application financière, et n’a pas encore été mis à jour vers la dernière version, il existe un risque d’être affecté. Il est recommandé de mettre immédiatement à jour toutes les applications dans le magasin Google Play. Les développeurs peuvent vérifier le numéro de version du SDK dans l’application pour confirmer si un SDK EngageLab version inférieure à 4.5.5 est utilisé.
Si la clé privée a déjà été divulguée, que faut-il faire d’urgence ?
Il faut immédiatement créer une toute nouvelle adresse de portefeuille sur un appareil sécurisé non infecté, transférer tous les actifs du portefeuille d’origine vers la nouvelle adresse, puis désactiver définitivement l’adresse d’origine. Modifiez simultanément les mots de passe de connexion de toutes les plateformes concernées, et activez la double authentification pour le compte afin de réduire le risque d’une nouvelle compromission ultérieure.
Avertissement : Les informations contenues dans cette page peuvent provenir de tiers et ne représentent pas les points de vue ou les opinions de Gate. Le contenu de cette page est fourni à titre de référence uniquement et ne constitue pas un conseil financier, d'investissement ou juridique. Gate ne garantit pas l'exactitude ou l'exhaustivité des informations et n'est pas responsable des pertes résultant de l'utilisation de ces informations. Les investissements en actifs virtuels comportent des risques élevés et sont soumis à une forte volatilité des prix. Vous pouvez perdre la totalité du capital investi. Veuillez comprendre pleinement les risques pertinents et prendre des décisions prudentes en fonction de votre propre situation financière et de votre tolérance au risque. Pour plus de détails, veuillez consulter l'
avertissement.
Articles similaires
Le cofondateur de Solana toly : il faut construire une monnaie stable de couche de base qui ne peut être gelée que sur autorisation du tribunal.
Le cofondateur de Solana, toly, a déclaré que l’industrie avait besoin d’un stablecoin qui ne peut être gelé que sur ordonnance du tribunal, s’opposant à d’autres facteurs de gel. Il suggère que le protocole émette, sur la couche de base, un stablecoin doté de stratégies de gel personnalisées et renforce les mesures de sécurité. Ce point de vue découle de la réaction récente de Circle à l’incident de piratage du protocole Drift, et a suscité un débat sur les stablecoins centralisés.
GateNewsIl y a 6m
L’attaquant encaisse 1B DOT, et se défait pour $237K ETH
Un incident de sécurité impliquant la version ERC-20 de Polkadot sur Ethereum a soulevé des inquiétudes, mettant en évidence les risques liés aux actifs enveloppés et inter-chaînes. Un attaquant a exploité une faille pour émettre et revendre 1 milliard de tokens DOT, provoquant un effondrement du marché et mettant en lumière des vulnérabilités dans la gestion des contrats intelligents.
CoinfomaniaIl y a 3h
La star de la musique G. Love perd 5,9 bitcoins dans une stupéfiante arnaque sur l’App Store
_Le musicien G. Love perd 5,9 BTC dans une escroquerie d’application Ledger factice, soulevant de sérieuses inquiétudes concernant la sécurité des cryptos et la sensibilisation des utilisateurs dans le monde entier._
Une grande arnaque crypto a touché Garrett Dutton, largement connu sous le nom de G. Love. Le chanteur américain a perdu 5,9 Bitcoin d’une valeur d’environ 420 000. La perte est survenue lorsqu’il t
LiveBTCNewsIl y a 3h
Aave plongé dans une crise de confiance : les prestataires de services quittent massivement, « la technologie, la gouvernance et le contrôle des risques » sont entièrement en échec
Auteur : Jae, PANews
Plutôt que la pression externe d’un marché baissier, c’est à l’intérieur d’Aave qu’apparaît d’abord une « oie noire ».
Resté longtemps au sommet des protocoles de prêt, Aave subit aujourd’hui le plus violent bouleversement de son écosystème depuis sa création. Pas d’attaque de hackers, pas de faille de code : seulement une perte de contrôle du pouvoir et des intérêts qui s’opposent.
Du départ résolu de BGD Labs, le pilier technique, à la rupture publique entre la force de gouvernance ACI (Aave Chan Initiative), puis à l’annonce officielle de la fin de collaboration avec le responsable du risque Chaos Labs : un vaste « retrait » des prestataires est en cours.
La profondeur de cet affrontement dépasse de loin celle d’un simple litige de coopération ; il a déclenché
区块客Il y a 3h
Polkadot subit un exploit de pont, l’attaquant frappe 1B $DOT sur Ethereum
Polkadot a subi une faille de sécurité majeure : un attaquant a frappé 1B $DOT coins sur Ethereum via un pont tiers, vidant plus de 240 000 $ en $ETH. Cet incident met en évidence des vulnérabilités persistantes dans l’infrastructure inter-chaînes et leur impact sur la stabilité du marché.
BlockChainReporterIl y a 4h
PDG de Circle : en raison de « dilemmes moraux », n’a pas gelé l’incident du piratage de Drift au cours duquel des USDC ont été volés
Le PDG de Circle, Jeremy Allaire, a répondu, lors d’une conférence de presse, aux critiques affirmant que les fonds USDC volés n’auraient pas été gelés, en soulignant que Circle ne gèlerait des portefeuilles que sur instruction des forces de l’ordre. Par ailleurs, il a déclaré que Circle échange avec les institutions législatives américaines afin d’établir un mécanisme de « port sûr » pour les émetteurs de stablecoins.
GateNewsIl y a 5h
