Démo interactive gratuite
Un logiciel malveillant du presse-papiers ne pirate pas votre portefeuille. Il modifie ce que vous collez. Copiez l’adresse fictive ci-dessous, actionnez l’interrupteur d’attaque clairement étiqueté, collez, et regardez l’échange se produire sur vous. Le vivre une fois vaut mieux que le lire dix fois.
Adresses fictives uniquement. Votre presse-papiers n’est touché que par vos propres copier et coller.
Imaginez qu’un ami vienne de vous envoyer cette adresse pour que vous payiez. Elle est fictive et délibérément invalide, mais votre presse-papiers la traite comme n’importe quel autre texte. C’est bien là le problème.
bc1qdemox7k4fyn2vw9plt8u3sa6hqe5cg0notrealDÉSACTIVÉ : Copier est honnête et place dans le presse-papiers exactement ce que vous voyez
Ce formulaire d’envoi est un accessoire. Le bouton n’envoie jamais rien, à personne, jamais. Collez l’adresse que vous venez de copier et regardez de près avant d’« envoyer ».
Ce que vous avez vu (et cru copier)
Ce que votre presse-papiers a réellement livré
Les 8 premiers et les 8 derniers caractères sont identiques. Les attaquants génèrent des adresses « vanity » pour faire correspondre les extrémités, car les extrémités sont tout ce que la plupart des gens vérifient.
Dans cette démo, l’échange a survécu à un coup d’œil sur les deux extrémités. Voici ce à quoi il ne survit pas :
Pas deux ou trois. Comparez une longue suite à chaque extrémité (huit ou plus) et contrôlez le milieu par sondage. Les kits d’empoisonnement font correspondre à bas prix de courtes extrémités. Chaque caractère supplémentaire que vous vérifiez multiplie leur coût. Lisez-la sur l’écran du destinataire, pas de mémoire.
Pour tout transfert dont la perte ferait mal, envoyez d’abord un tout petit montant. Confirmez avec le destinataire, par un autre canal, qu’il est bien arrivé. Une adresse remplacée vole ce petit montant de test, pas le solde. Ce n’est qu’ensuite que vous envoyez le vrai montant, à l’adresse que le test a prouvée.
Un portefeuille matériel affiche la vraie destination sur son propre écran, hors de portée du logiciel malveillant. Si l’adresse sur l’écran de l’appareil ne correspond pas à celle que vous vouliez payer, c’est l’ordinateur qui vous ment. Cet écran existe précisément pour cette attaque.
Pourquoi vérifier quelques caractères échoue : générer une adresse dont les premiers et derniers caractères correspondent à une cible n’est que de la force brute. C’est bon marché à 3 caractères par extrémité, coûteux à 8, et le milieu ne correspond jamais. Le sosie de la démo fait correspondre 8 + 8 à dessein.
Le logiciel malveillant qui réécrit votre presse-papiers tourne sur la machine même où les gens gardent leurs phrases de récupération dans des applis de notes, leurs clés privées dans des fichiers texte et leurs codes de secours 2FA dans des captures d’écran. Un guetteur de presse-papiers ne se contente pas d’échanger des adresses. Il fouille tout ce qui passe à la recherche de ce qui a la forme d’une clé. Le texte non chiffré sur une machine infectée est déjà perdu. L’échange d’adresse n’est que la version que vous avez le droit de voir se produire. Voilà l’argument pour garder clés et codes dans un coffre chiffré sur votre appareil, et pour ne jamais laisser une vraie phrase de récupération toucher un presse-papiers, à aucun moment.
Les deux chaînes de démo sont fictives ET démontrablement invalides. Elles contiennent la lettre « o », l’un des quatre caractères (1, b, i, o) que le format d’adresse bc1 exclut délibérément pour éviter les erreurs de lecture. Aucun portefeuille ne les acceptera donc, et elles ne peuvent entrer en collision avec les fonds de personne. Un vrai logiciel malveillant du presse-papiers surveille et réécrit votre presse-papiers en continu, en arrière-plan, pour toujours. Cette démo n’effectue l’échange qu’au moment où vous appuyez sur Copier avec l’interrupteur d’attaque visiblement activé. La page n’appelle jamais aucune API de lecture du presse-papiers. Le seul texte qu’elle voit est ce que vous collez dans son unique champ, et il est comparé aux deux chaînes de démo localement puis jeté. Rien n’est stocké, rien n’est envoyé, et recharger remet tout à zéro.
Sealby garde phrases de récupération, clés et codes chiffrés sur votre iPhone. Ils ne sont déchiffrés qu’à l’intérieur du coffre, jamais laissés en texte lisible là où un guetteur de presse-papiers regarde. Aucun compte à pirater, déniable si cela compte.
iPhone et iPad · iOS 17+ · Gratuit