Les hackers ont eu accès au compte X de la plateforme de memecoins Pump.fun le 26 février, soulevant des questions sur la sécurité à un moment crucial pour les memecoins et l’industrie de la cryptomonnaie en général.
La plateforme a depuis repris le contrôle de son compte X. Pump.fun a déclaré qu’il est peu probable qu’un membre de son personnel soit à blâmer, car elle a suivi les « meilleures pratiques de l’industrie et s’est concentrée sur la minimisation du risque qu’un tel événement se produise. »
Selon des enquêteurs blockchain comme ZachXBT, l’attaque sur la plateforme pourrait avoir été perpétrée par les mêmes hackers responsables d’autres exploits similaires.
Alors que l’incident de Pump.fun s’est terminé rapidement sans pratiquement aucun dommage, les memecoins font l’objet d’un examen approfondi, et les problèmes de sécurité sont au premier plan des préoccupations de l’industrie blockchain.
Les hackers ont publié un lien pour un faux jeton de gouvernance. Source : ZachXBT
Hackers de Pump.fun également responsables de Jupiter DAO et DogWifCoin
Après avoir accédé au compte X de Pump.fun, les hackers ont rapidement proposé un faux jeton de gouvernance aux victimes potentielles, déclarant que « la démocratie n’a jamais été aussi dégen. »
La violation de compte a été rapidement signalée par l’enquêteur blockchain et analyste ZachXBT, qui a averti les utilisateurs de rester à l’écart de la page X et de ne pas interagir avec les liens sur la page.
Il a également retracé les hackers vers des incidents antérieurs de comptes X compromis, notamment ceux de l’agrégateur d’échanges décentralisés (DEX) basé sur Solana, Jupiter DAO, et du memecoin DogWifCoin.
Relier l’adresse utilisée par les phishing sur la page de Pump.fun à d’autres hacks. Source : ZachXBT
ZachXBT a déclaré : « Il est notable que pour ces attaques, il est probablement pas la faute des équipes de Pump Fun ou Jupiter. »
Dans son post explicatif sur X après avoir rétabli l’accès à son compte, Pump.fun a détaillé les diverses mesures de sécurité qu’elle prend. Elle a déclaré qu’aucun message n’avait été envoyé à l’e-mail associé au compte concernant des modifications de l’authentification à deux facteurs (2FA), des e-mails, des mots de passe ou des délégations.
La plateforme a également affirmé avoir mis en place plusieurs autres garanties, telles que des sauvegardes physiques de 2FA, le changement régulier de mots de passe uniques et complexes, et le fait de ne pas avoir sa 2FA liée à des adresses e-mail.
Le dernier post de Pump.fun concernant l’incident a déclaré qu’elle « continuera à surveiller la situation et à analyser tout scénario qui pourrait s’être produit et annoncera des mises à jour s’il y en a. »
Lié : 8 cyberattaques les plus courantes et comment les prévenir
Le piratage du réseau social de Pump.fun est juste le dernier exemple d’une tendance trop courante d’attaques de phishing visant des comptes de médias sociaux liés aux cryptomonnaies ou même les institutions elles-mêmes.
La plateforme d’échange de cryptomonnaies Bybit a été victime d’une attaque de phishing dans laquelle le groupe de hackers nord-coréens Lazarus a réussi à voler plus de 1,4 milliard de dollars en Ether (ETH). Un rapport de Chainalysis suivant l’incident a révélé que le vecteur d’attaque choisi par le hacker était une campagne de phishing ciblant les signataires du portefeuille froid de l’échange. Cela leur a permis d’accéder à l’interface utilisateur de Bybit et de remplacer un contrat de portefeuille mult-signature par leur propre version malveillante.
Memecoins impliqués dans des exploits et scandales de haut niveau
Les memecoins — qui sont lancés rapidement dans le cadre d’une frénésie d’investisseurs cherchant à gagner de l’argent rapidement avant de disparaître tout aussi vite — sont devenus une cible de choix pour les attaques de phishing, les exploits et les scandales.
Comme Cointelegraph l’a rapporté le 10 février, un certain nombre d’agrégateurs de données cryptographiques répertoriant le memecoin de la République Centrafricaine (RCA) dirigeaient les utilisateurs vers des sites de phishing.
Liens de phishing sur le canal Telegram du jeton. Source : Scam Sniffer
C’était particulièrement problématique, car le président de la République Centrafricaine, Faustin-Archange Touadéra, semblait donner un signe d’approbation au jeton. Il avait publié sur X que le gouvernement avait lancé le jeton pour « unir les gens, soutenir le développement national, et mettre la République Centrafricaine sur la scène mondiale de manière unique. »
Au moment de la publication, le compte X du projet est toujours suspendu.
De plus, ZachXBT a lié Lazarus à un certain nombre d’escroqueries récentes de memecoins Solana, y compris des rug pulls, directement sur Pump.fun : « J’ai rendu publics plus de 920 adresses recevant des fonds liés au piratage de Bybit et j’ai remarqué qu’une personne blanchissait pour le groupe Lazarus ayant précédemment lancé des memecoins via Pump Fun. »
Les scandales de memecoins ont également atteint le bureau de la présidence en Argentine.
Début février, le lancement du memecoin LIBRA, qui incluait prétendument des manipulations par les fondateurs — c’est-à-dire une forme de délit d’initié — a impliqué le président argentin Javier Milei. Le politicien a promu le jeton sur X avant de supprimer son post lorsque le prix s’est effondré.
Bien qu’il n’y ait pas eu d’attaques cybernétiques impliquées dans l’incident LIBRA, cela attire l’attention sur la nature non réglementée et « Far West » du marché des memecoins.
Les régulateurs s’attaquent aux memecoins
L’activité sur le marché des memecoins a déjà attiré l’attention des organismes de réglementation du monde entier. Le 20 février, la Commission des valeurs mobilières des États-Unis a annoncé la création d’un nouveau groupe pour lutter contre les comportements cybernétiques illégaux, y compris la fraude impliquant les cryptomonnaies.
Elizabeth Davis, partenaire du cabinet d’avocats Davis Wright Tremaine et ancienne avocate en chef de la Commission des échanges de produits de base (CFTC), a déclaré que la CFTC pourrait superviser les memecoins à l’avenir.
Elle a précédemment déclaré à Cointelegraph : « Il y a eu un intérêt croissant pour les participants du marché de détail, et la CFTC se concentre sur la protection des participants du marché contre la fraude et la manipulation, ce qui inclurait la population de détail qui est la plus susceptible d’utiliser des memecoins. »
Lié : Le cabinet d’avocats demande à Pump.fun de supprimer plus de 200 memecoins utilisant sa propriété intellectuelle
Même les régulateurs de Dubaï, qui ont généralement adopté une approche progressive vis-à-vis des cryptomonnaies, ont émis un avertissement concernant les risques liés aux memecoins. « Beaucoup de ces actifs manquent de valeur intrinsèque et tirent leur prix de tendances sur les médias sociaux, d’un enthousiasme excessif ou de stratégies de promotion trompeuses », a déclaré l’Autorité des actifs virtuels et de réglementation. Elle a en outre déclaré que les memecoins émis sous sa juridiction doivent respecter la loi.
Les récents incidents et l’augmentation de la surveillance ont même poussé le fondateur anonyme de Pump.fun à suggérer que l’industrie a besoin de « barrières de sécurité ». Celles-ci incluraient une meilleure éducation des utilisateurs, l’adhésion et la prise de protection des utilisateurs « plus au sérieux ».
Tout au long de l’histoire des cryptomonnaies, les memecoins ont connu des hauts et des bas. Les régulateurs se préparent clairement à s’attaquer à eux au cours de ce cycle et du suivant. Au moment de la rédaction, la popularité des memecoins a atteint son plus bas niveau depuis janvier, mais certains estiment qu’elle ne redémarrera pas.
Le fondateur du protocole DeFi Waves, Sasha Ivanov, a déclaré à Cointelegraph Magazine :
« Cette économie extractive ne peut pas être très stable, et elle sera de courte durée, donc elle durera peut-être encore six mois, puis nous verrons autre chose. »
Magazine : Le DeFi se relèvera après que les memecoins se seront apaisés : Sasha Ivanov, Hall of Flame X