Démo interactive gratuite
Les logiciels malveillants du presse-papiers ne piratent pas votre portefeuille. Ils modifient ce que vous collez. Copiez l’adresse fictive ci-dessous, activez l’interrupteur d’attaque clairement indiqué, collez, et voyez l’échange vous arriver, à vous. Le vivre une fois vaut mieux que le lire dix fois.
Adresses fictives seulement. Votre presse-papiers n’est touché que par vos propres copier et coller.
Imaginez qu’un ami vient de vous envoyer cette adresse pour un paiement. Elle est fictive et volontairement invalide, mais votre presse-papiers la traite comme n’importe quel autre texte. C’est justement là le point.
bc1qdemox7k4fyn2vw9plt8u3sa6hqe5cg0notrealDÉSACTIVÉ : la copie est honnête et place exactement ce que vous voyez dans le presse-papiers
Ce formulaire d’envoi est un accessoire. Le bouton n’envoie jamais rien, à personne, jamais. Collez l’adresse que vous venez de copier et regardez-la de près avant d’« envoyer ».
Ce que vous avez vu (et cru copier)
Ce que votre presse-papiers a réellement livré
Les 8 premiers et les 8 derniers caractères sont identiques. Les attaquants génèrent des adresses « vanité » pour faire correspondre les extrémités, parce que ce sont les extrémités que la plupart des gens vérifient.
Dans cette démo, l’échange a survécu à un coup d’œil sur les deux extrémités. Voici ce à quoi il ne survit pas :
Pas deux ou trois. Comparez une bonne série à chaque extrémité (huit ou plus), et sondez le milieu au hasard. Les kits d’empoisonnement font correspondre à bas prix les extrémités courtes. Chaque caractère supplémentaire que vous vérifiez multiplie leur coût. Lisez-la depuis l’écran du destinataire, pas de mémoire.
Pour tout transfert qui ferait mal, envoyez d’abord un petit montant. Confirmez avec le destinataire, par un autre canal, qu’il est arrivé. Une adresse échangée vole le petit montant du test, pas le solde. Ensuite seulement, envoyez le vrai montant, à l’adresse que le test a prouvée.
Un portefeuille matériel affiche la vraie destination sur son propre écran, hors de portée du logiciel malveillant. Si l’adresse sur l’écran de l’appareil ne correspond pas à celle que vous vouliez payer, l’ordinateur vous ment. Cet écran existe précisément pour cette attaque.
Pourquoi vérifier quelques caractères échoue : générer une adresse dont les quelques premiers et derniers caractères correspondent à une cible n’est que de la force brute. C’est bon marché à 3 caractères par extrémité, coûteux à 8, et le milieu ne correspond jamais. Le sosie de la démo correspond à 8 + 8 à dessein.
Le logiciel malveillant qui réécrit votre presse-papiers tourne sur la même machine où les gens gardent des phrases de récupération dans des applis de notes, des clés privées dans des fichiers texte et des codes de secours 2FA dans des captures d’écran. Un surveillant de presse-papiers ne fait pas qu’échanger des adresses. Il passe au crible tout ce qui transite à la recherche de tout ce qui ressemble à une clé. Le texte non chiffré sur une machine infectée est déjà perdu. L’échange d’adresse n’est que la version que vous pouvez regarder se produire. C’est l’argument pour garder clés et codes dans un coffre chiffré sur votre appareil, et pour ne jamais laisser une vraie phrase de récupération toucher un presse-papiers, jamais.
Les deux chaînes de la démo sont fictives ET démontrablement invalides. Elles contiennent la lettre « o », l’un des quatre caractères (1, b, i, o) que le format d’adresse bc1 exclut délibérément pour éviter les erreurs de lecture. Alors aucun portefeuille ne les acceptera, et elles ne peuvent entrer en collision avec les fonds de personne. Un vrai logiciel malveillant du presse-papiers surveille et réécrit votre presse-papiers en continu, en arrière-plan, pour toujours. Cette démo effectue l’échange uniquement au moment où vous appuyez sur Copier avec l’interrupteur d’attaque visiblement activé. La page n’appelle jamais aucune API de lecture du presse-papiers. Le seul texte qu’elle voit est celui que vous collez dans son unique champ, et il est comparé localement aux deux chaînes de la démo puis jeté. Rien n’est stocké, rien n’est envoyé, et recharger réinitialise tout.
Sealby garde phrases de récupération, clés et codes chiffrés sur votre iPhone. Ils sont déchiffrés seulement à l’intérieur du coffre, jamais laissés en texte lisible là où un surveillant de presse-papiers regarde. Aucun compte en ligne à pirater, avec déni plausible si ça compte.
iPhone et iPad · iOS 17+ · Gratuit