La plateforme d'échange dYdX publie un post-mortem sur le piratage du compte Squarespace de 31K $ perdu

Hassan Shittu

Dernière mise à jour:

25 juillet 2024, 23:35 HAE | 2 min de lecture

dYdX, une plateforme d’échange de crypto-monnaies renommée, a annoncé le 23 juillet que son site web de version 3.0 avait été compromis.

Les utilisateurs ont été invités à éviter de visiter le site de la version 3.0 ou de cliquer sur des liens jusqu’à nouvel ordre. Cependant, l’équipe a assuré aux utilisateurs que la version 4.0 reste inchangée et fonctionne normalement.

dYdX a publié un post-mortem détaillé sur le piratage du compte Squarespace, décrivant les événements et leurs réponses. La plateforme d’échange a décidé de changer de registraires de domaine et continue de travailler avec SEAL et d’autres partenaires pour prévenir les incidents futurs.

Site Web d’échange dYdX compromis en raison d’une attaque d’ingénierie sociale

Le registraire de domaine pour (précédemment Squarespace) a confirmé que le 23 juillet, le compte Squarespace de trading dYdX a été accédé par des individus non autorisés après avoir réussi à manipuler le support client de Squarespace.

— dYdX (@dYdX) 25 juillet 2024

Selon l’autopsie, la violation s’est produite après que des individus non autorisés ont accédé au compte Squarespace de dYdX Trading par le biais d’une attaque d’ingénierie sociale contre le support client de Squarespace.

Au cours des deux heures de piratage du domaine de la plateforme d’échange, deux utilisateurs ont perdu des fonds d’un montant total d’environ 31 000 $. dYdX Trading est en contact avec les utilisateurs concernés pour s’assurer qu’ils sont indemnisés.

En 2023, Squarespace a acquis tous les domaines de Google Domains, qui est maintenant défunt, en les migrant sur plusieurs mois. Le domaine dydx.exchange, détenu par dYdX Trading, a été transféré sur Squarespace le 15 juin 2024.

Le 9 juillet, les attaquants ont réussi à accéder au domaine dydx.exchange et ont modifié les serveurs de noms DNS de Cloudflare à DDoS-Guard.

cette attaque initiale a été atténuée par les paramètres DNSSEC, ce qui a empêché les utilisateurs d’accéder au site compromis. Dydx a rapidement résolu le problème en effectuant des rotations de mot de passe et d’authentification à deux facteurs (2FA).

Suite à des rapports faisant état d’attaques similaires sur des domaines spécifiques aux crypto-monnaies, SEAL, une équipe de sécurité spécialisée dans les crypto-monnaies, a lancé une enquête. Il a été découvert qu’une vulnérabilité OAuth sur Squarespace avait été exploitée, ce que Squarespace a résolu et corrigé le 12 juillet.

Malgré cela, le domaine dydx.exchange a de nouveau été compromis le 23 juillet. Les attaquants ont réussi à modifier les serveurs de noms DNS et à supprimer les paramètres DNSSEC, hébergeant un site malveillant qui a trompé les utilisateurs en transférant de l’Ethereum et des jetons ERC20.

Pendant cette période, dYdX a collaboré avec SEAL et d’autres partenaires pour bloquer les sites malveillants sur des portefeuilles crypto populaires tels que Metamask et Phantom. Malgré ces efforts, deux utilisateurs ont perdu 31,000 $ lors de l’attaque.

La plateforme d’échange dYdX récupère son site web suite au piratage de compte Squarespace

Veuillez consulter le rapport complet ci-dessous.

— dYdX (@dYdX) 25 juillet 2024

L’autopsie a révélé que l’attaquant avait défini l’adresse e-mail de l’administrateur de domaine sur une adresse se terminant par outlook.com, avec un nom d’utilisateur similaire au nom légal de l’administrateur de facturation sur le compte de dYdX. Cela suggère une attaque d’ingénierie sociale, car l’attaquant a utilisé une adresse e-mail plausible.

Selon dYdX, ses communications avec Squarespace ont révélé qu’une erreur humaine a initié la prise de contrôle pendant le processus de récupération du compte.

L’attaquant a contourné 2FA et modifié l’email du compte sans fournir de justificatifs de sécurité valides. Le service client de Squarespace n’a pas cherché à contacter d’autres administrateurs répertoriés sur le domaine avant de procéder à ces modifications.

En réponse à l’attaque, dYdX a transféré son enregistrement de domaine à Cloudflare pour renforcer la sécurité. Le transfert a été accéléré et achevé en six heures.

dYdX a confirmé qu’il n’y avait pas de problèmes de sécurité avec ses smart contracts, ses backends ou la chaîne dYdX à la suite des incidents.

le site Web a été récupéré par dYdX Trading Inc. 🙏

Veuillez noter que votre machine peut encore mettre en cache le site compromis.

Assurez-vous de vider votre cache et de redémarrer votre navigateur avant de vous connecter au site web.

— DYDX (@DYDX) 23 juillet 2024

L’équipe dYdX a déclaré sur les réseaux sociaux X, conseillant aux utilisateurs de vider leur cache de navigateur et de redémarrer leur navigateur avant de se reconnecter au site Web pour s’assurer qu’ils n’accèdent pas au site compromis.

Suivez-nous sur Google News