Malwarebytes a déclaré le 1er septembre qu'un site web se faisant passer pour un vendeur d'une copie divulguée de Grand Theft Auto VI contient un code conçu pour vider les wallets de cryptomonnaies connectés. L'analyse technique de l'entreprise a révélé un composant ciblant Solana et un script distinct, plus vaste, configuré pour sept autres réseaux. Cette campagne constitue une menace liée aux autorisations de wallet, et non un simple escroquerie de paiement.
La page publicise une prétendue fuite à 50 $ ou un SOL et emprunte des détails de sortie plausibles pour paraître crédible. Malwarebytes a indiqué que le code Solana intégré ignore ce prix annoncé : il vérifie le solde du wallet, laisse une petite somme pour les frais de transaction et prépare le reste pour transfert. Ce comportement fait du prix d'achat demandé un leurre plutôt qu'une limite sur la perte potentielle.
Le draineur cible des actifs sur plusieurs réseaux
Selon les chercheurs, un script distinct d'environ 2,4 Mo intègre un logiciel de connexion de wallet légitime aux côtés de fonctions malveillantes. Il peut inventorier les avoirs, en estimer la valeur, envoyer les détails du wallet et du visiteur à l'opérateur, et récupérer les transactions pour approbation. Les réseaux configurés sont ethereum, Polygon, BNB Smart Chain, Avalanche, Arbitrum, Base et Fantom ; le code peut également identifier les stablecoins et demander l'accès aux jetons ou aux collections NFT.
La distinction entre un transfert et une autorisation est importante. Un transfert peut déplacer les actifs immédiatement, tandis qu'une autorisation de jeton ou de NFT peut laisser l'attaquant capable de les déplacer plus tard. Des campagnes de wallet-drainer ont exploité des demandes d'autorisation trompeuses, rendant l'écran de signature—et non la page marketing—le point de contrôle de sécurité décisif.
Les chercheurs observent des signes d'infrastructure louée
Malwarebytes a déclaré que le script principal télécharge un identifiant d'opérateur et des paramètres depuis un serveur distant, tandis que son adresse de destination diffère de l'adresse Solana intégrée dans la page. Les chercheurs ont indiqué que cette structure ressemble à un service hébergé utilisé par plusieurs clients, bien qu'ils n'aient pas pu identifier un produit spécifique. Une configuration à distance permettrait à un opérateur de modifier l'endroit où les fonds volés sont envoyés sans avoir à modifier la page fausse de GTA elle-même.
Le code profile également les wallets avant de demander l'autorisation et inclut des mesures destinées à perturber les analyseurs automatisés et les outils de développement du navigateur. Un filtre de pays facultatif bloque les visiteurs provenant de dix pays de la région de la Communauté des États indépendants. Malwarebytes a averti que cette liste seule ne permet pas d'établir qui a conçu ou exploite la campagne.
L'écran d'approbation du wallet est la dernière ligne de défense
Se connecter simplement à un wallet ne transfère pas d'actifs, a souligné le rapport ; le danger survient lorsque l'utilisateur signe la transaction ou la demande d'autorisation qui suit. Les utilisateurs doivent rejeter les demandes qui déplacent presque l'intégralité du solde ou accordent à un vendeur de jeu le contrôle sur des jetons ou des NFT. Les pratiques plus larges de sécurité des wallets crypto incluent également l'utilisation de sources de téléchargement fiables et la séparation des actifs de valeur des wallets utilisés pour des applications inconnues.
Toute personne ayant approuvé l'accès doit examiner et révoquer les autorisations actives, tandis qu'un utilisateur ayant saisi une phrase de récupération doit considérer le wallet comme compromis séparément et déplacer les actifs restants vers un nouveau wallet créé. Cet incident s'inscrit dans un schéma de campagnes d'hameçonnage ciblant les détenteurs de crypto-monnaies, dans lesquelles des marques reconnaissables créent un sentiment d'urgence avant une demande trompeuse.