Phishing crypto 2026 : le poison remonte la chaîne logicielle

Le 8 septembre 2025, la plus vaste compromission de la chaîne logicielle JavaScript jamais observée a glissé un voleur de portefeuille dans des paquets open source téléchargés plus de deux milliards de fois par semaine. En théorie, ce code piégé pouvait détourner chaque transaction crypto signée depuis un navigateur, partout dans le monde. Son butin final a pourtant été de moins de 505 dollars, soit environ 465 euros, selon les données on-chain relayées par The Block. Un quasi-désastre pour quelques centaines d’euros.

Pourquoi si peu ? Parce que l’écosystème a réagi en quelques heures, et parce que le véritable enseignement n’est pas la catastrophe évitée, mais le basculement qu’elle révèle. En 2026, les campagnes de phishing crypto les plus dangereuses ne visent plus votre boîte mail : elles visent celle d’un développeur, le magasin d’extensions de votre navigateur, la régie publicitaire d’un moteur de recherche ou le QR code d’un canal Telegram. Le hameçon a remonté la chaîne d’approvisionnement. Compromettez un seul mainteneur, et vous empoisonnez des millions de portefeuilles en aval.

Cette enquête suit ce déplacement, du registre npm aux extensions de navigateur, en passant par les fausses publicités et les liens profonds. Elle complète notre panorama des campagnes qui vident les portefeuilles, mais change d’angle : ici, le maillon faible n’est pas la signature que vous validez, c’est le canal de confiance par lequel le code arrive jusqu’à vous.

Le hameçon a changé de cible

Le phishing classique repose sur un mensonge envoyé directement à la victime : un faux courriel de votre plateforme, un faux site de connexion, une fausse fenêtre de signature. Ce modèle fonctionne encore, mais il rend de moins en moins. Les portefeuilles modernes simulent les transactions, affichent des listes noires d’adresses et, avec le clear signing, montrent enfin ce que l’utilisateur signe réellement. Résultat : d’après Scam Sniffer, les pertes liées aux drainers de portefeuille ont chuté de 83 % en 2025.

Face à des cibles mieux défendues, les attaquants ont fait ce que fait tout acteur économique rationnel : ils ont remonté la chaîne de valeur. Plutôt que de piéger un million d’utilisateurs un par un, ils compromettent une seule brique de confiance partagée par un million d’utilisateurs. Un paquet npm présent dans des milliers d’applications. Une extension installée par des dizaines de milliers de personnes. Une publicité en tête des résultats de recherche. Un lien profond que votre application de portefeuille ouvre sans broncher.

La logique est purement économique. Piéger un particulier rapporte le contenu d’un portefeuille ; compromettre une dépendance partagée met potentiellement en jeu tous les portefeuilles de tous les utilisateurs de toutes les applications qui en dépendent. Pour un coût d’entrée comparable, un simple courriel de hameçonnage bien tourné, le rendement théorique change d’échelle. C’est ce calcul, plus qu’une prouesse technique, qui explique le glissement observé depuis 2023.

C’est le phishing par la chaîne d’approvisionnement, ou supply chain phishing. Le courriel de hameçonnage existe toujours, mais il n’atterrit plus dans votre boîte : il atterrit dans celle d’un mainteneur open source, d’un employé de plateforme ou d’un annonceur. La victime finale, elle, ne voit rien venir, parce que le poison arrive par un canal qu’elle a toutes les raisons de croire sûr. Les pages qui suivent décomposent, un canal après l’autre, cette nouvelle géographie du hameçonnage.

npm, chalk et debug : 2,6 milliards de téléchargements, moins de 505 dollars

Le 8 septembre 2025, la société de sécurité Aikido repère des versions malveillantes parmi les paquets npm les plus utilisés au monde. L’enquête, documentée par The Register et Sonatype, remonte à un courriel de hameçonnage. Le mainteneur Josh Junon, connu sous le pseudonyme qix, reçoit un message provenant de l’adresse [email protected], un domaine sosie de npm. On l’y prévient que son compte sera verrouillé sous 48 heures s’il ne met pas à jour son authentification à deux facteurs. Il saisit ses identifiants sur le faux portail. En l’espace de seize minutes, les attaquants publient des versions vérolées de dix-huit paquets, dont chalk, debug, ansi-styles et strip-ansi, qui totalisent environ 2,6 milliards de téléchargements hebdomadaires.

Le code injecté est un voleur de crypto qui s’exécute dans le navigateur. Il s’accroche aux appels réseau et aux interfaces de portefeuille (dont le fameux window.ethereum et les points d’entrée Solana) et remplace discrètement les adresses de destination avant qu’une transaction ne parte. En clair : vous croyez envoyer des fonds à un correspondant, le code les envoie à l’attaquant, sans rien changer à l’écran que vous regardez.

Et pourtant, le butin fut dérisoire, chiffré à moins de 505 dollars (environ 465 euros) par les données d’Arkham. Deux raisons à ce fiasco : l’écosystème a détecté et purgé les paquets en quelques heures, et la logique de détournement des transactions Solana était boguée, corrompant les transferts au lieu de les rediriger.

Ce qui a sauvé l’écosystème, c’est la vitesse de la riposte collective. Le système de détection automatisé de ReversingLabs et l’équipe de recherche de Socket ont signalé l’attaque le jour même ; npm a retiré les versions piégées, et les mainteneurs ont republié des versions saines dans la foulée. Autrement dit, la même culture open source qui a rendu l’attaque possible, des milliers de dépôts partageant les mêmes briques, a aussi permis de l’éteindre en quelques heures.

Au plus fort de l’incident, le directeur technique de Ledger, Charles Guillemet, a lancé un avertissement resté célèbre : « Une attaque de la chaîne d’approvisionnement à grande échelle est en cours : le compte npm d’un développeur réputé a été compromis. Les paquets affectés ont déjà été téléchargés plus d’un milliard de fois, ce qui signifie que tout l’écosystème JavaScript pourrait être en danger. » Sa consigne aux utilisateurs, relayée par The Block : « Si vous utilisez un hardware wallet, examinez chaque transaction avant de signer et vous êtes protégé. Sinon, abstenez-vous de toute transaction on-chain pour l’instant. »

L’homme du milieu, version portefeuille : comment opère un clipper Web3

Pour comprendre pourquoi cette attaque a fait trembler tout l’écosystème, il faut regarder où s’exécute le code malveillant : dans la page web elle-même, avant que le portefeuille ne présente la transaction. Un clipper Web3 s’insère entre l’application décentralisée et le portefeuille. Il en existe deux grandes familles. La première surveille le presse-papiers et remplace une adresse copiée par une adresse contrôlée par l’attaquant. La seconde, plus sournoise, intercepte les appels au fournisseur du portefeuille et réécrit les paramètres de la transaction, à commencer par le destinataire, à la volée.

Dans les deux cas, l’écran peut afficher la bonne adresse tandis que les octets envoyés en signature pointent ailleurs. C’est là que le type de portefeuille change tout. Un portefeuille logiciel signe ce que la page lui transmet. Un hardware wallet, lui, affiche le destinataire réel sur son propre écran, hors de portée de la page compromise : vérifier sur l’appareil permet de repérer la substitution. D’où le conseil de Guillemet. Le problème, c’est que la majorité des utilisateurs signent sans lire, ou utilisent un portefeuille logiciel qui n’offre pas ce rempart matériel.

Shai-Hulud : le ver qui se réplique tout seul

Une semaine après l’affaire chalk et debug, la barre est montée d’un cran. Le 15 septembre 2025, des chercheurs identifient Shai-Hulud, un ver autoréplicatif baptisé d’après le ver des sables de Dune. Contrairement à une compromission manuelle, Shai-Hulud se propage seul : il détourne des comptes de mainteneurs, injecte son code dans leurs paquets, puis se sert des identifiants volés pour contaminer d’autres paquets. Entre le 14 et le 18 septembre, plus de 200 paquets et 500 versions sont touchés, selon Sysdig. Le ver moissonne les identifiants GitHub, npm, AWS, Google Cloud et Azure à l’aide de TruffleHog, un outil légitime de détection de secrets détourné de sa fonction.

L’histoire ne s’arrête pas là. Une seconde vague, Shai-Hulud 2.0, frappe fin novembre. Le CERT-FR indique en avoir connaissance dès le 23 novembre 2025 ; au 26 novembre, plus de 700 paquets sont affectés, avec un niveau de sophistication accru. Le message est limpide : la compromission de la chaîne logicielle n’est plus un coup isolé, c’est un mode opératoire industrialisable, capable de se propager sans la moindre intervention humaine.

Tomislav Peričin, cofondateur de la société de sécurité ReversingLabs, résume l’ampleur du risque dans son analyse : « Il n’existe personne qui construise du code avec des paquets npm sans être potentiellement affecté. » Autrement dit, la dépendance open source, socle invisible de presque toutes les applications crypto, est devenue une cible de choix précisément parce qu’elle est partout.

Ledger Connect Kit : le précédent de décembre 2023

Rien de tout cela n’est vraiment inédit. Le modèle avait déjà été éprouvé le 14 décembre 2023 contre Ledger. Le compte npm d’un ancien employé avait été hameçonné, permettant aux attaquants de publier des versions malveillantes du Ledger Connect Kit, la bibliothèque qui relie de nombreuses applications décentralisées aux portefeuilles. Les versions 1.1.5, 1.1.6 et 1.1.7 embarquaient une classe voleuse et un faux WalletConnect qui redirigeaient les fonds. Comme des protocoles majeurs, dont SushiSwap, Kyber, Revoke.cash et Zapper, intégraient cette dépendance dans leur interface, chaque application servait le code piégé à ses propres utilisateurs.

Bilan : plus de 550 000 euros (quelque 600 000 dollars) siphonnés en environ deux heures, selon le rapport d’incident de Ledger, avant qu’un correctif (la version 1.1.8) ne soit déployé en une quarantaine de minutes. L’affaire a servi de plan aux attaques suivantes : compromettre une dépendance partagée en amont, puis laisser la distribution automatique faire le reste. Deux ans plus tard, chalk et debug n’ont fait qu’appliquer la recette à une échelle mille fois supérieure.

Les extensions de navigateur, usines à vider les portefeuilles

L’autre grand canal de confiance, c’est le magasin d’extensions. En août 2026, l’équipe de recherche de Socket a mis au jour deux campagnes distinctes. La première, baptisée « Superior », rassemblait dix-huit extensions Chrome et une extension Edge, actives depuis février 2024, selon Socket. Ces extensions embarquaient un drainer multi-chaînes capable de détecter les portefeuilles EVM, Solana et Tron. Leur ruse : cloner les boutons « Connect Wallet » et « Swap » des sites visités pour substituer leurs propres gestionnaires aux gestionnaires légitimes. La plus installée, un outil de clic droit et de copie, cumulait environ 70 000 utilisateurs sur Chrome et 10 000 sur Edge, soit une surface d’attaque de quelque 80 000 personnes. Le schéma est particulièrement vicieux : une première version propre installe la confiance, puis une mise à jour automatique injecte le code malveillant, qui ouvre une connexion WebSocket vers un serveur de commande et affaiblit les protections du navigateur.

La seconde campagne, baptisée « Offside Wallet Theft Factory », visait Firefox : quarante extensions se faisant passer pour OKX, Rabby Wallet ou TronLink, actives depuis mars 2026, d’après The Hacker News. Socket a relié 77 identités d’extensions par réutilisation de code. Parmi elles, quinze capturaient phrases de récupération et clés privées pour les exfiltrer via des Cloudflare Workers, et treize étaient des versions modifiées de Rabby qui volaient le trousseau avant même son chiffrement local.

Si les extensions sont si dangereuses, c’est à cause de leur modèle de permissions. Une extension peut, avec votre accord initial, lire et modifier le contenu de toutes les pages que vous visitez, y compris l’interface de votre plateforme d’échange ou de votre application DeFi. Elle se place ainsi au même niveau que le clipper Web3 décrit plus haut, mais de façon permanente et sur tous les sites à la fois. Et comme la mise à jour est automatique, l’extension approuvée hier peut devenir malveillante demain, sans un clic de votre part.

Le phénomène n’a rien de nouveau. Un an plus tôt, en août 2025, la campagne GreedyBear avait inondé la boutique Firefox de plus de 150 extensions imitant des portefeuilles populaires, pour un butin supérieur à 920 000 euros (plus d’un million de dollars). L’extension de navigateur, à qui l’on confie souvent un accès direct à ses portefeuilles, est devenue une véritable usine à drainer.

QR codes, deep links et publicités : les autres canaux de confiance

Le registre de paquets et le magasin d’extensions ne sont que deux maillons. Les attaquants exploitent tout ce que l’utilisateur croit fiable, à commencer par les liens profonds et les QR codes. Une campagne documentée par Cyfirma visait les utilisateurs de Trust Wallet via des canaux Telegram. Elle détournait le mécanisme de deep link de l’application pour rediriger la victime vers des pages de hameçonnage hébergées sur Netlify, maquillées en interface de transfert d’USDT. Un scan de QR code, une validation d’apparence anodine, et l’attaquant obtenait une autorisation de dépense illimitée sur les stablecoins de la victime.

Viennent ensuite les régies publicitaires. Le malvertising consiste à acheter les premières places des résultats de recherche pour des marques DeFi de premier plan, puis à rediriger les internautes vers des clones. Les faux sites d’Uniswap, d’Aave ou de PancakeSwap servis via des publicités payantes se comptent par centaines chaque année, et ils empruntent la crédibilité du moteur de recherche lui-même.

Les grands événements offrent un troisième prétexte. À l’été 2026, à l’occasion de la Coupe du monde, la société Forcepoint a repéré une campagne usurpant l’identité de Stake.com autour d’un faux événement de « Token Farming ». Le courriel renvoyait, via une URL hébergée sur Vercel pour déjouer les filtres anti-spam, vers une fausse page DeFi qui déclenchait un drainer dès la connexion du portefeuille. Le fil conducteur de tous ces cas est le même : détourner une infrastructure légitime (Netlify, Vercel, régies publicitaires, boutiques d’extensions) pour en emprunter la réputation.