Why This MetaMask Vulnerability Could Endanger Your Funds

BitcoinistPublié le 2022-06-16Dernière mise à jour le 2022-06-16

Résumé

Crypto wallet provider MetaMask reported a vulnerability that could affect a very small portion of its users.

Crypto wallet provider MetaMask reported a vulnerability that could affect a very small portion of its users. Discovered by blockchain security firm Halborn, the vulnerability could enable a bad actor to take possession of a user’s secret recovery phrase compromising his funds.

This vulnerability affects several web crypto wallets and allows an attacker to extract a secret recovery phrase from a personal computer. As mentioned, the vulnerability doesn’t affect all MetaMask users, but a very small portion.

This is because the user will need to meet 3 conditions to be subject to this attack: use an unencrypted hard drive, the user would have had to import the secret recovery phrase from the MetaMask web extension to a compromised device, or to be using the crypto wallet extension from an unsecured computer and use the “show secret recovery phrase” checkbox during the import process.

The crypto wallet provider prepared a migration guide to aid users to move their funds into a new wallet. In that sense, the company recommended users who meet these conditions and users who believe could meet them follow the guide. This document can be found at the following link.

Users with the intention to migrate to a new wallet should have enough funds to pay for the required gas fees, the wallet provider said. These fees can “become costly” depending on the user’s funds and the smart contracts “storing or managing those assets”.

Assets under the Ethereum ETC-20, ERC-721 (NFTs), and ERC-1155 standards should be a priority. The wallet provider warned:

“If your account has been compromised, it is possible that you have had a sweeper bot placed on your account. If this is the case, then as soon as you transfer tokens in, they may be transferred to the attacker’s address.”

Are Your MetaMask Funds Safe?

As MetaMask clarified, the vulnerability doesn’t impact their mobile users, but only users on macOS, Linux, and Windows using Google Chrome, Firefox, or Chromium-based web browsers. The company implemented a “mitigation” for this vulnerability.

In that sense, all users were asked to update their crypto wallets to the 10.11.3 version. Users were also encouraged to contact MetaMask Support for any additional assistance or information.

The company has awarded Halborn with a $50,000 bounty. Two days ago, the crypto wallet provided launched a bounty program called HackerOne to “work with the security community to find vulnerabilities in the wallet and stay ahead of Web3 threats”.

The program was launched with 4 security tiers with different bounties. Low security discovers will be paid a total of $1,000, medium $2,000, high $15,000, and critical, as the vulnerability described above, will be paid $50,000 for any discovery.

At the time of writing, Ethereum (ETH) trades at $1,180 with a 3% loss on the 4-hour chart.

Lectures associées

Un Trader de Bitcoin Affirme que les Sommets et les Creux des Cycles Correspondent à des Délais Exactement Identiques

Un trader utilisant le pseudonyme Ryan (@DodysDD) affirme avoir identifié une précision mathématique étonnante dans les cycles de prix du Bitcoin. Selon son analyse, les phases de marché haussier, du plus bas au plus haut (ATH), dureraient exactement 1064 jours, comme observé lors des cycles 2014-2017, 2018-2021 et 2022-2025. De même, les phases baissières (du pic au creux) correspondraient à 364 jours, comme en 2017-2018 et 2021-2022. Ce schéma, s'il se vérifiait, offrirait aux investisseurs un cadre temporel simple pour anticiper les tendances majeures. Cependant, l'article souligne les risques inhérents à ce type de théorie. La précision apparente dépend souvent du choix des points de référence (cours de clôture, sommets intradays...), ce qui peut conduire à une sélection biaisée des données. Il n'existe aucune preuve que le Bitcoin soit régi par un minutage aussi exact, son prix étant influencé par une multitude de facteurs (halvings, conditions macroéconomiques, psychologie des investisseurs...). Malgré ces limites, ce récit cyclique trouve un écho dans la communauté des traders, surtout dans un contexte actuel d'incertitude sur la phase de marché. Il fournit une narration simple face à la complexité. En conclusion, si l'observation sert de cadre d'analyse populaire, elle doit être abordée avec scepticisme et ne peut, à elle seule, prédire les futurs sommets ou creux du marché.

bitcoinistIl y a 2 h

Un Trader de Bitcoin Affirme que les Sommets et les Creux des Cycles Correspondent à des Délais Exactement Identiques

bitcoinistIl y a 2 h

94 billions, le plus grand financement de l'année pour les robots humanoïdes est apparu

Dans le secteur des robots humanoïdes, un tournant majeur est marqué par le financement record de 14 milliards de dollars (environ 94,9 milliards de yuans) levé par l'entreprise allemande Neura. Cette levée de fonds de série C, menée par des investisseurs industriels de renom comme Schaeffler et Bosch, ainsi que des géants technologiques (NVIDIA, Amazon), porte l'évaluation de Neura à environ 70 milliards de dollars. Cet investissement massif signale un changement profond : la filière passe d'une phase de démonstration technologique à une phase d'industrialisation et de déploiement concret en usine. Contrairement aux sociétés axées sur un robot humanoïde "universel" (comme Figure AI), Neura adopte une approche pragmatique, ciblant d'abord des applications industrielles verticales et spécifiques, comme en témoigne son partenariat avec BMW. La conjonction de plusieurs facteurs explique cet afflux de capitaux : les progrès de l'IA (modèles de grande taille) qui améliorent les capacités de perception et de décision des robots, et les pressions structurelles sur le marché du travail (vieillissement, pénurie de main-d'œuvre, coûts salariaux) qui créent une demande croissante dans la fabrication. Les principaux défis pour une adoption massive ne sont plus uniquement techniques. Ils concernent désormais les coûts d'adaptation aux lignes de production existantes, la formation des opérateurs et la mise en place d'un réseau de maintenance fiable. L'entrée en scène de capitaux industriels expérimentés démontre une confiance accrue dans la capacité du secteur à résoudre ces problèmes d'ingénierie et de modèle commercial, achevant ainsi la transition cruciale du laboratoire au sol de l'usine.

marsbitIl y a 7 h

94 billions, le plus grand financement de l'année pour les robots humanoïdes est apparu

marsbitIl y a 7 h

Coinbase Et Ethena Lancent Un Coffre-Fort USDC À Haut Rendement Propulsé Par Morpho

Coinbase a élargi son offre de prêt onchain avec le lancement d'un "Steakhouse Financial High Yield USDC Vault", développé en collaboration avec Ethena et alimenté par la plateforme Morpho. Ce produit, intégré directement à l'écosystème Coinbase, permet aux utilisateurs de déposer de l'USDC pour accéder à des rendements potentiellement plus élevés via les marchés de prêt DeFi. La principale différence avec les options antérieures réside dans son profil de risque. Ce nouveau coffre-fort accepte un mélange plus large de garanties, incluant des actifs synthétiques comme l'USDe d'Ethena, ce qui peut augmenter les rendements mais introduit également des risques liés au comportement des collatéraux et à la liquidité des marchés. Les taux affichés sont dynamiques et non garantis. Ce lancement illustre la tendance des plateformes centralisées à intégrer des stratégies DeFi complexes dans des interfaces simplifiées pour les rendre accessibles à un public plus large. Toutefois, cela souligne l'importance d'une compréhension claire des risques sous-jacents, notamment ceux liés aux contrats intelligents et à la stabilité des collatéraux synthétiques. L'accès au produit est actuellement limité aux utilisateurs éligibles aux États-Unis (sauf New York) et à certains marchés internationaux.

bitcoinistIl y a 11 h

Coinbase Et Ethena Lancent Un Coffre-Fort USDC À Haut Rendement Propulsé Par Morpho

bitcoinistIl y a 11 h

Le marché de la pré-introduction en bourse d'Anthropic chute après qu'une directive américaine force l'arrêt du modèle

Anthropic a annoncé avoir reçu une directive du gouvernement américain lui ordonnant de suspendre l'accès aux modèles Claude Fable 5 et Claude Mythos 5 pour les ressortissants étrangers, y compris ses propres employés étrangers. Cette mesure d'urgence, justifiée par des préoccupations de sécurité nationale liées au contrôle des exportations, a forcé la désactivation mondiale des deux modèles le 12 juin. Les autres modèles d'Anthropic, comme Claude Opus 4.8, restent opérationnels. La réaction du marché a été immédiate : le contrat perpétuel lié à Anthropic sur Hyperliquid a chuté de 3,7%, reflétant l'impact sur sa valorisation pré-IPO. Anthropic a contesté la base de cette directive, arguant que la vulnérabilité de "jailbreak" évoquée par le gouvernement était mineure, déjà connue et non exclusive à ses modèles. La société a averti qu'un tel seuil d'intervention, s'il était généralisé, pourrait stopper les déploiements de nouveaux modèles d'IA de pointe. Cet événement illustre comment la régulation de l'IA devient un facteur négociable sur les marchés financiers. Les instruments tokenisés et les contrats pré-IPO permettent désormais aux traders de réagir instantanément à ce type de nouvelles réglementaires, même en l'absence d'informations publiques détaillées. Cela intègre l'infrastructure d'IA dans une dynamique de marché spéculative similaire à celle de la cryptomonnaie, avec des risques de volatilité basée sur des informations incomplètes.

bitcoinistIl y a 13 h

Le marché de la pré-introduction en bourse d'Anthropic chute après qu'une directive américaine force l'arrêt du modèle

bitcoinistIl y a 13 h

Un portefeuille lié à une exploitation convertit des jetons volés en 18 510 ETH et 1 548 BNB

Un portefeuille lié à une exploitation a converti des actifs compromis en 18 510 ETH (évalués à environ 30,83 millions de dollars) et 1 548 BNB (environ 924 000 dollars), selon une alerte de suivi sur la chaîne partagée par WuBlockchain citant Lookonchain. L'attaquant, associé à des « jetons H » compromis, détient encore 111,36 millions de ces jetons d'une valeur d'environ 14 millions de dollars. Cette conversion vers des actifs plus liquides comme l'ETH et le BNB est une étape courante après une exploitation, souvent avant une tentative de retrait ou de mélange de fonds. Les grands échanges de ce type peuvent exercer une pression sur les liquidités, signaler les prochaines étapes de l'attaquant et offrir de nouvelles pistes de transaction à suivre pour les enquêteurs. Le suivi sur la chaîne, bien qu'utile pour visualiser les mouvements de fonds en temps réel, présente des limites : les portefeuilles peuvent fractionner les actifs rapidement, les déplacer entre différentes chaînes ou utiliser des adresses intermédiaires, compliquant le traçage. Les étiquettes attribuées aux portefeuilles peuvent également changer. Ces données représentent donc un instantané et non une estimation finale des pertes. Cet incident souligne l'utilité des comptes de surveillance sur la chaîne comme Lookonchain, qui peuvent révéler une activité avant la publication d'une enquête officielle. La conversion en actifs liquides rend également plus difficile et urgente toute tentative de récupération des fonds volés.

bitcoinistIl y a 15 h

Un portefeuille lié à une exploitation convertit des jetons volés en 18 510 ETH et 1 548 BNB

bitcoinistIl y a 15 h

Trading

Spot

Futures