Un escroc spécialisé dans les cryptomonnaies a utilisé Claude Code d’Anthropic sur plus de 100 000 numéros de téléphone dans le cadre d’une opération d’hameçonnage et d’hameçonnage vocal ciblant des utilisateurs de cryptomonnaies.
Rapid7 a découvert cette activité en enquêtant sur une infrastructure exposée liée à une campagne de fraude suivie sous le nom d’Operation ASTERIX. Les chercheurs ont trouvé environ 885 000 numéros de téléphone sur le serveur, les données montrant comment l’IA s’était intégrée au processus de travail de l’opérateur.
Les fichiers récupérés ont offert aux enquêteurs un aperçu exceptionnellement détaillé de la campagne. Les éléments recueillis montrent comment un vaste ensemble de données téléphoniques a été progressivement réduit avant que certaines personnes soient contactées.
Des listes brutes de numéros deviennent des pistes crypto vérifiées
Les données téléphoniques présentes sur le serveur exposé couvraient plusieurs pays et sources. Rapid7 a découvert des outils qui vérifiaient si certains numéros étaient associés à des plateformes de cryptomonnaies.
Un jeu de données allemand contenait 316 002 numéros mobiles. Un outil automatisé de vérification de Crypto.com a confirmé 43 066 comptes, soit environ 13,6 % de la liste.
Les correspondances confirmées pouvaient ensuite être enrichies avec des noms, des adresses e-mail, des localisations et des informations de compte. Les informations personnelles peuvent rendre les attaques d’ingénierie sociale plus convaincantes, car un escroc peut déjà savoir quel service utilise une personne avant de la contacter.
Un tableau de prospects Binance récupéré affichait 5 576 cibles crypto validées, en attente d’attaque.
L’hameçonnage et les faux portefeuilles poussaient les victimes vers le vol
Les contacts par e-mail et par téléphone s’enchaînaient. Les messages d’hameçonnage contenaient des numéros de dossier ou des codes de vérification auxquels les appelants pouvaient faire référence lors des appels de suivi.
Une infrastructure d’appel utilisant Asterisk et 3CX permettait d’automatiser les appels sortants. Les opérateurs pouvaient contacter une personne en connaissant déjà son nom, sa localisation ou son lien probable avec une plateforme d’échange, une technique également observée dans les campagnes d’hameçonnage vocal hybrides.
Les logiciels malveillants récupérés offraient une autre voie vers le vol de cryptomonnaies. Des versions contrefaites de Trezor Suite, Ledger Live et Exodus ont été découvertes pour Windows et macOS.
Le faux logiciel Trezor pouvait récupérer les phrases de récupération des portefeuilles, tandis qu’une version malveillante de Ledger Live pouvait remplacer une adresse de cryptomonnaie copiée par une adresse contrôlée par l’attaquant. Des stratagèmes similaires de vol de cryptomonnaies ont utilisé des extensions de navigateur malveillantes et la manipulation du presse-papiers pour rediriger les fonds.
Claude n’a toutefois pas donné suite à toutes les demandes. Lorsque l’opérateur lui a demandé de l’aide pour obfusquer la version malveillante de Ledger Live et préparer des versions destinées à la distribution, l’assistant IA a refusé.
L’escroc s’est alors tourné vers Kimi K2.7 Code et a soumis une invite de jailbreak destinée à contourner ses garde-fous. Rapid7 n’a pas pu déterminer si la tentative avait réussi.
Les utilisateurs de cryptomonnaies doivent vérifier eux-mêmes les contacts de l’assistance
Si vous utilisez une plateforme d’échange de cryptomonnaies ou un portefeuille matériel, le fait qu’une personne connaisse votre nom, votre adresse e-mail ou votre plateforme ne prouve pas qu’elle travaille pour cette entreprise. Les escrocs peuvent déjà avoir vérifié l’association avec votre compte avant de vous appeler.
- Mettez fin aux appels d’assistance inattendus. Si quelqu’un vous contacte au sujet d’un problème de portefeuille ou d’une vérification de compte, raccrochez et contactez le fournisseur via son application ou son site web officiels.
- Ne communiquez jamais vos identifiants de récupération. Les phrases de récupération et phrases mnémoniques ne doivent être communiquées à personne prétendant appartenir à l’assistance.
- Évitez les logiciels envoyés par des messages non sollicités. N’installez pas d’applications de portefeuille à partir de liens, de téléchargements ou de commandes fournis pendant un appel ou dans un e-mail.
- Renforcez la protection de vos comptes. Activez une MFA résistante à l’hameçonnage sur les comptes des plateformes d’échange lorsqu’elle est disponible.
- Réagissez rapidement après une compromission présumée. Si vous avez saisi une phrase de récupération dans un logiciel ou un site web suspect, considérez-la comme compromise et suivez les instructions officielles de récupération du fournisseur du portefeuille.
Les fournisseurs de plateformes d’échange et de portefeuilles peuvent réduire leur exposition en limitant les tentatives d’énumération de comptes, en appliquant une limitation de débit au trafic de validation suspect et en surveillant les demandes répétées provenant de proxys à rotation.
Plus d’actualité sécurité : un pirate affirme vendre 3,6 millions de dossiers de salariés liés à Azure associés à McDonald’s, Vodafone, TCS et d’autres entreprises.