Le nouveau directeur de la sécurité des systèmes d'information de la Fondation Solana, Michael Coates, a averti que l'IA rend les escroqueries dans le domaine des cryptomonnaies plus convaincantes, notamment par l'ingénierie sociale, le phishing et l'usurpation d'identité vocale.
Cet avertissement ne concerne pas une faille dans la blockchain Solana ou dans ses contrats intelligents. Il concerne la manière dont les attaquants ciblent les personnes.
Cette distinction est importante.
La sécurité dans le domaine des cryptos était principalement discutée en termes de code : contrats intelligents, ponts, portefeuilles, clés privées et validateurs. Ces aspects restent importants. Mais les attaquants ciblent de plus en plus l'utilisateur, l'employé, le fondateur, le modérateur ou le canal de support.
L'IA facilite cela car elle peut produire des messages, des voix, des identités et des tactiques de pression plus réalistes.
TL;DR
- Michael Coates, CISO de la Fondation Solana, a alerté sur l'ingénierie sociale alimentée par l'IA.
- Les risques sont le phishing, l'usurpation d'identité et les deepfakes vocaux.
- Il ne s'agit pas d'affirmer que la blockchain Solana elle-même présente une faille de sécurité.
Les escroqueries cryptos deviennent plus personnelles
Le vieil email frauduleux truffé de fautes d'orthographe n'est plus la principale menace.
L'IA peut rédiger des messages soignés, imiter le personnel du support, générer de fausses identités, créer des appels vocaux convaincants et adapter les scripts à des victimes spécifiques. Cela signifie que les utilisateurs peuvent faire face à des attaques qui semblent plus personnelles et plus crédibles.
Dans le domaine des cryptos, c'est particulièrement dangereux car les erreurs peuvent devenir irréversibles.
Si un utilisateur signe une transaction malveillante, partage une phrase de récupération, installe un faux logiciel ou approuve une mauvaise connexion de portefeuille, les fonds peuvent être transférés instantanément. Il n'y a pas de rétro-facturation, pas de simple réinitialisation de mot de passe, et souvent aucune autorité centrale capable d'annuler la transaction.
Cela fait de l'ingénierie sociale un vecteur d'attaque à très fort impact.
« Sécurisé par défaut » est l'objectif à atteindre
L'accent mis par M. Coates sur la nécessité que les systèmes soient « sécurisés par défaut » est important.
Le monde des cryptos a souvent placé trop de responsabilité sur les utilisateurs. « Ne cliquez pas sur les mauvais liens » est un bon conseil, mais il ne suffit pas lorsque les mauvais liens semblent réels, les voix sonnent authentiques et les faux comptes de support répondent plus vite que les vrais.
Une meilleure conception peut aider.
Les portefeuilles peuvent rendre les approbations risquées plus claires. Les applications peuvent réduire la signature « à l'aveugle ». Les protocoles peuvent limiter les permissions. Les exchanges peuvent améliorer les contrôles de retrait. Les équipes peuvent utiliser des étapes de vérification internes pour les actions sensibles. Les communautés peuvent réduire leur dépendance aux messages directs.
La sécurité ne doit pas dépendre de la capacité de chaque utilisateur à être parfait à chaque fois.
L'IA relève la barre car elle rend la tromperie moins chère et plus facile à mettre à l'échelle.
L'ingénierie sociale touche aussi les équipes
Il ne s'agit pas seulement d'un problème pour les utilisateurs particuliers.
Les équipes cryptos sont aussi des cibles. Un faux fournisseur, investisseur, journaliste, candidat ou collègue interne convaincant peut être utilisé pour compromettre des identifiants, obtenir un accès aux systèmes ou inciter des employés à approuver des transactions.
Les deepfakes vocaux aggravent la situation.
Un membre d'équipe peut recevoir ce qui ressemble à un appel d'un cadre demandant une action urgente. Dans un environnement crypto en évolution rapide, l'urgence peut contourner les contrôles habituels.
C'est pourquoi les équipes ont besoin de procédures, et pas seulement de sensibilisation.
La vérification hors ligne, la discipline de la signature multiple (multisig), les clés matérielles, les contrôles d'accès et des procédures de trésorerie strictes sont tous importants.
L'écosystème Solana a besoin de sécurité au niveau de l'utilisateur
Solana a attiré des applications grand public, des activités DeFi, du trading de memecoins, des NFTs, des expériences de paiement et des outils adaptés aux mobiles. Cela rend la sécurité côté utilisateur particulièrement importante.
Plus un écosystème devient grand public, plus les attaquants ciblent les utilisateurs ordinaires.
Une blockchain peut être rapide et techniquement solide, mais les utilisateurs peuvent toujours perdre des fonds à cause de faux mintages, de faux airdrops, d'approbations de jetons malveillants, de comptes d'usurpation ou de sites vidant les portefeuilles.
Ainsi, l'avertissement du CISO dépasse le cadre de Solana. Il s'applique à tous les écosystèmes crypto.
La course aux armements des escroqueries s'accélère
L'IA ne crée pas la fraude à partir de rien. Elle rend les fraudes existantes plus efficaces.
Les escrocs peuvent tester des messages plus rapidement, personnaliser les attaques, générer du contenu réaliste et opérer à plus grande échelle. Les utilisateurs et les équipes doivent supposer que les escroqueries paraîtront de plus en plus professionnelles.
Cela signifie que la sécurité crypto doit aller au-delà du simple conseil aux utilisateurs de « faire attention ».
Les produits doivent avoir des paramètres par défaut plus sûrs. Les portefeuilles ont besoin de meilleurs avertissements. Les protocoles ont besoin de limites de permission. Les équipes ont besoin de contrôles internes plus solides. Les communautés ont besoin de canaux de communication de confiance.
La prochaine vague d'escroqueries cryptos pourrait ne pas avoir l'air manifestement fausse.
C'est l'avertissement.
Cet article est basé sur des commentaires publics du CISO de la Fondation Solana, Michael Coates, concernant les escroqueries crypto alimentées par l'IA.
Cet article a été rédigé par la News Desk et édité par Samuel Rae.
