Des virus logés dans la blockchain, impossibles à effacer ? C’est le scénario inquiétant que décrit Google. Son équipe cybersécurité a repéré une nouvelle méthode d’attaque baptisée “EtherHiding” : des malwares cachés dans des smart contracts, gravés à jamais dans la blockchain. Une menace inédite pour le Web3.
Google tire la sonnette d’alarme
Selon le groupe de renseignement en cybersécurité de Google, de nouveaux types de malwares circulent en toute tranquillité sur la blockchain. Leur particularité grâce à la blockchain : une fois en ligne, impossible de les effacer. La technologie censée garantir transparence et sécurité est en train d’être détournée pour héberger des virus indétectables.
On appelle ça “EtherHiding” : des malwares cachés dans des smart contracts ou des transactions sur Ethereum, BNB Chain et d’autres blockchains publiques. Une fois en ligne, ils ne peuvent plus être effacés. Pour Google, c’est un vrai tournant dans la sécurité Web3.
Mais il faut aussi garder un peu de recul. Google n’a jamais été un grand fan des blockchains publiques, qui échappent totalement à son modèle économique fondé sur la centralisation et le contrôle des données. Certains estiment donc que ce rapport sert aussi à mettre en avant les limites d’un système qu’ils ne maîtrisent pas.
D’ailleurs, sur les réseaux, peu d’utilisateurs rapportent avoir été réellement infectés par ce type de malware. Pour beaucoup, c’est surtout un signal d’alerte technologique, pas encore une vraie menace.
Des malwares logés dans des smart contracts
Concrètement, les pirates insèrent leur code dans des smart contracts. Ces contrats ne peuvent pas être modifiés ni supprimés sans la clé privée du créateur. Résultat : les malwares qu’ils hébergent restent actifs et accessibles en permanence.
L’effet est redoutable : impossible de bloquer un domaine, de couper un serveur, ou de supprimer un fichier comme on le ferait sur le Web classique. Le malware est là, gravé à jamais dans la blockchain.
Attention toutefois : la blockchain n’est pas le risque en soi. Elle sert simplement de stockage pour le code. Le vrai danger vient de la façon dont des sites, dApps ou logiciels vulnérables lisent et exécutent sans contrôle des données provenant de la chaîne. Bien appliquée (validation, audits, CSP, hardware wallets…), la blockchain reste un outil sûr ; c’est son mauvais usage côté client qui ouvre la porte aux attaques.
Stocker un malware sur la blockchain : une vraie menace ou un simple effet de style ?
OK, les hackers cachent du code dans la blockchain… mais au fond, est-ce que ça change vraiment quelque chose ? En théorie, stocker du code malveillant dans un smart contract ne suffit pas à infecter un utilisateur. La blockchain ne va pas exécuter ce code toute seule. Mais là où ça devient problématique, c’est quand un site Web ou un logiciel va chercher ce code pour l’exécuter localement.
C’est exactement ce que font les pirates aujourd’hui. Ils utilisent un “dropper” (un logiciel compromis que l’utilisateur a déjà télécharger) ou un site compromis qui va interroger un smart contract via un appel eth_call, récupérer le code malveillant, le décoder (souvent en base64), puis l’exécuter. Ce code peut alors installer un ransomware, voler des cryptos, ou ouvrir une porte d’accès à distance. Le tout, sans que l’hébergeur puisse être bloqué, puisque le code est gravé dans la blockchain, et qu’aucune autorité ne peut le retirer, à part le créateur.
Derrière les attaques : la Corée du Nord et des groupes cybercriminels
Selon Google, plusieurs groupes sont déjà actifs avec cette méthode. Le plus connu est UNC5342, un collectif lié à la Corée du Nord. Il aurait lancé une campagne dès février 2025 visant à voler des cryptos via des sites pour développeurs Web3. Le groupe utilise des offres d’emploi comme appât, avec un « défi technique » piégé qui installe en realité le malware.
Un autre groupe, UNC5142, agit pour des raisons financières. Il aurait infecté plus de 14 000 sites WordPress avec des scripts malveillants. Leur but : collecter des données, récupérer des portefeuilles… En stockant directement leur code malveillant sur la blockchain, les attaquants rendent leur infrastructure beaucoup plus difficile à neutraliser.
Un vrai défi pour la sécurité Web3
La situation soulève une question fondamentale : la blockchain, réputée ultra-sécurisée, peut-elle aussi devenir un refuge pour les pirates ? Avec EtherHiding, on découvre un revers inquiétant de l’immutabilité : les cybermenaces deviennent impossibles à supprimer.
Les outils classiques de cybersécurité deviennent inefficaces face à cette nouvelle stratégie. Impossible de “nettoyer” une blockchain. Les développeurs Web3 vont devoir mieux sécuriser leurs interfaces, surveiller les sources de données blockchain qu’ils intègrent, et être plus rigoureux que jamais. Le Web3 n’est pas une zone hors danger.
Source : Google Threat Intelligence
Sur le même sujet :
- Votre wallet crypto est-il déjà infecté ? Le malware Android “Crocodilus” frappe en silence
- Ethereum : Vitalik Buterin compare la DeFi à Google
- Corée du Nord : de faux recruteurs volent vos cryptos
Partager
Matthieu Dumas
