La plateforme de sécurité blockchain GoPlus a publié le 10 avril une alerte d’urgence, indiquant qu’il existe de graves vulnérabilités de sécurité dans le SDK EngageLab, largement utilisé pour les notifications push Android. L’incident touche plus de 50 millions d’utilisateurs Android, dont environ 30 millions sont des utilisateurs de portefeuilles de cryptomonnaies. Les attaquants peuvent déployer sur les appareils des victimes un logiciel malveillant déguisé en application légitime, afin de voler les clés privées et les identifiants de connexion des portefeuilles de cryptomonnaies.
Principe technique de la vulnérabilité : chaîne d’attaque inter-applications silencieuse
(Source : GoPlus)
Le défaut central de cette vulnérabilité réside dans le fait que le SDK EngageLab ne procède pas à une vérification suffisante de la source lors du traitement du mécanisme de communication Intent d’Android. L’Intent est un mécanisme légitime permettant aux applications Android d’échanger des instructions entre elles, mais l’implémentation du SDK EngageLab permet de contourner les processus de validation normaux avec des instructions provenant de sources non autorisées, ce qui déclenche l’exécution par l’application cible d’opérations sensibles.
Chaîne d’attaque complète en trois étapes
Insertion d’une application malveillante : l’attaquant fait passer un logiciel malveillant pour une App légitime, incitant la victime à l’installer sur le même appareil Android
Injection malveillante d’Intent : l’application malveillante envoie, à l’application de portefeuille de cryptomonnaies ou à l’application financière intégrant le SDK EngageLab sur le même appareil, des Intent malveillants soigneusement construits
Exécution d’actions sans autorisation : une fois l’Intent reçu, l’application cible exécute des actions non autorisées, y compris le vol de clés privées de portefeuille, d’identifiants de connexion et d’autres données sensibles, sans que l’utilisateur en ait connaissance
Le danger maximal de cette chaîne d’attaque tient à son caractère silencieux : la victime n’a pas besoin d’effectuer une action volontaire. Il suffit que l’appareil contienne à la fois une application malveillante et une application avec une version vulnérable du SDK EngageLab pour que l’attaque se déroule en arrière-plan.
Étendue de l’impact : risque de pertes d’actifs irréversibles pour les utilisateurs de cryptomonnaies
Le SDK EngageLab, en tant qu’élément de base largement déployé pour les notifications push, a été intégré à des milliers d’applications Android. La portée de cette vulnérabilité atteint donc une échelle de 50 millions d’appareils, dont environ 30 millions sont des utilisateurs de portefeuilles de cryptomonnaies.
Une fois la clé privée du portefeuille de cryptomonnaies divulguée, l’attaquant peut prendre totalement le contrôle des actifs on-chain de la victime. Et la nature irréversible des transactions de blockchain signifie que ces pertes sont presque impossibles à récupérer, avec un niveau de risque bien supérieur aux incidents classiques de fuite de données d’applications.
Mesures d’urgence : liste d’actions immédiates pour les développeurs et les utilisateurs
Recommandations de sécurité par catégorie
- Développeurs et fabricants d’applications
· Vérifiez immédiatement si le produit intègre le SDK EngageLab et confirmez que la version actuelle est inférieure à 4.5.5
· Mettez à niveau vers le SDK EngageLab 4.5.5 ou une version officielle corrigée ultérieure (veuillez consulter la documentation officielle d’EngageLab)
· Publiez à nouveau la version mise à jour et informez les utilisateurs afin qu’ils effectuent la mise à jour le plus rapidement possible
- Utilisateurs Android ordinaires
· Mettez immédiatement à jour toutes les applications en vous rendant sur Google Play, en traitant en priorité les applications de portefeuille de cryptomonnaies et les applications financières
· Restez vigilant à l’égard des applications téléchargées depuis des sources inconnues ou des canaux non officiels ; le cas échéant, supprimez-les immédiatement
· En cas de suspicion que la clé privée a été divulguée, créez immédiatement un nouveau portefeuille sur un appareil sécurisé, transférez les actifs et désactivez définitivement l’ancienne adresse
Questions fréquentes
Qu’est-ce que le SDK EngageLab, et pourquoi a-t-il été largement intégré aux portefeuilles de cryptomonnaies ?
Le SDK EngageLab est un kit de logiciels tiers qui fournit des fonctionnalités de notifications push Android ; en raison de sa facilité de déploiement, il a été adopté par de nombreuses applications. Les notifications push sont une fonctionnalité standard pour presque toutes les applications mobiles. Cela explique aussi la présence généralisée du SDK EngageLab dans les portefeuilles de cryptomonnaies et les applications financières, ce qui conduit à la portée de l’incident atteignant 50 millions d’utilisateurs.
Comment vérifier si mon appareil est affecté par cette vulnérabilité ?
Si votre appareil Android a installé un portefeuille de cryptomonnaies ou une application financière, et n’a pas encore été mis à jour vers la dernière version, il existe un risque d’être affecté. Il est recommandé de mettre immédiatement à jour toutes les applications dans le magasin Google Play. Les développeurs peuvent vérifier le numéro de version du SDK dans l’application pour confirmer si un SDK EngageLab version inférieure à 4.5.5 est utilisé.
Si la clé privée a déjà été divulguée, que faut-il faire d’urgence ?
Il faut immédiatement créer une toute nouvelle adresse de portefeuille sur un appareil sécurisé non infecté, transférer tous les actifs du portefeuille d’origine vers la nouvelle adresse, puis désactiver définitivement l’adresse d’origine. Modifiez simultanément les mots de passe de connexion de toutes les plateformes concernées, et activez la double authentification pour le compte afin de réduire le risque d’une nouvelle compromission ultérieure.
Avertissement : Les informations contenues dans cette page peuvent provenir de tiers et ne représentent pas les points de vue ou les opinions de Gate. Le contenu de cette page est fourni à titre de référence uniquement et ne constitue pas un conseil financier, d'investissement ou juridique. Gate ne garantit pas l'exactitude ou l'exhaustivité des informations et n'est pas responsable des pertes résultant de l'utilisation de ces informations. Les investissements en actifs virtuels comportent des risques élevés et sont soumis à une forte volatilité des prix. Vous pouvez perdre la totalité du capital investi. Veuillez comprendre pleinement les risques pertinents et prendre des décisions prudentes en fonction de votre propre situation financière et de votre tolérance au risque. Pour plus de détails, veuillez consulter l'
avertissement.
Articles similaires
La France fait état de 135 affaires de kidnapping liées aux cryptomonnaies depuis 2023, dont des mineurs ; 75 personnes détenues
Message de Gate News, 25 avril — Le parquet chargé de la criminalité organisée en France (PNACO) a indiqué que 135 affaires de kidnapping lié à des cryptomonnaies ou de tentatives de kidnapping avaient été recensées dans le pays depuis 2023. Parmi les 12 affaires actuellement en cours d’enquête, 88 personnes ont été formellement
GateNewsIl y a 22m
Homme de Californie Condamné à 70 Mois pour Blanchiment d’Argent dans un Schéma de Vol en $263M Crypto
Message de Gate News, 25 avril — Un homme de 22 ans de Newport Beach, en Californie, Evan Tangeman, a été condamné à 70 mois de prison fédérale et à 3 ans de mise sous surveillance pour son rôle dans un réseau de criminalité par ingénierie sociale s’étendant à plusieurs États, qui a dérobé plus de $263 millions en cryptomonnaie, selon
GateNewsIl y a 3h
41 enlèvements de crypto en France en 3,5 mois ; Durov accuse des fuites de données
Message de Gate News, 24 avril — La France a connu 41 enlèvements de détenteurs de crypto-monnaies en seulement 3,5 mois en 2026, selon Pavel Durov, fondateur de Telegram, qui a attribué cette hausse à des fuites de données généralisées. Durov a souligné dans une publication sur X que des données personnelles sensibles — y compris des informations détenues par les autorités fiscales et issues d’une importante brèche à l’Agence française pour les documents sécurisés — ont révélé les noms, adresses et numéros de téléphone d’environ 19 millions de personnes, ce qui rend les détenteurs d’actifs numériques des cibles plus faciles.
Les autorités françaises ont confirmé que plus de 40 enlèvements de crypto-monnaies ou tentatives d’enlèvement ont été enregistrés depuis janvier 2026, soit une hausse marquée par rapport à environ 30 cas en 2025. D’après Philippe Chadrys, de la police judiciaire française, le modus operandi et les méthodes de ciblage varient, de nombreuses opérations étant dirigées par des réseaux opérant depuis l’étranger. Les incidents vont d’enlèvements de courte durée à des affaires violentes impliquant torture et demandes de rançon. Dans un cas récent, une femme et son fils de 11 ans ont été kidnappés en Bourgogne puis libérés après une opération policière d’envergure. Dans un autre cas à Anglet, des suspects ont kidnappé par erreur les mauvaises personnes avant d’être arrêtés. En 2025, le dirigeant marquant de l’industrie crypto David Balland a été kidnappé et a eu son doigt coupé avant d’être secouru.
Les procureurs français ont désormais inculpé 88 personnes dans le cadre d’enlèvements liés aux crypto-monnaies, dont des mineurs dans au moins une douzaine de dossiers. Durov a averti que l’élargissement de l’accès des gouvernements aux identités numériques et aux communications chiffrées pourrait aggraver la situation si les systèmes sont compromis, bien que son affirmation selon laquelle des responsables fiscaux vendraient directement des données reste non vérifiée.
La crise d’exposition des données s’étend au-delà des enlèvements. Les groupes français de protection des données font état de millions d’enregistrements compromis sur plusieurs brèches touchant des services publics et des entreprises privées. D’après Seb, président de la Fédération française pour la protection des données, la France est appelée à devenir le deuxième pays le plus piraté au monde en 2026, avec plus de 300 services français touchés, 23 millions de comptes compromis et plus de 250 millions d’enregistrements de données exposés. À elle seule, France Titres ANTS a vu plus de 11,7 millions de comptes exposés, tandis que l’Agence des paiements de l’État et des services a divulgué des informations bancaires et des numéros de sécurité sociale de millions de citoyens français.
Les enlèvements liés aux crypto-monnaies suivent généralement un schéma : les victimes sont identifiées comme détenant des actifs numériques, enlevées, puis contraintes à transférer des fonds sous la contrainte. Contrairement aux comptes bancaires traditionnels, les portefeuilles crypto peuvent être consultés instantanément si des clés privées ou des mots de passe sont révélés, ce qui en fait des cibles attrayantes pour l’extorsion. Pendant ce temps, le Bitcoin a bondi d’environ 10 % au cours des 30 derniers jours, s’échangeant à 77 601 $ au moment de la publication, tandis qu’Ethereum a reculé de 5 % sur la semaine, à 2 315 $.
GateNewsIl y a 6h
Un chercheur italien remporte une prime de 1 BTC pour une attaque quantique de 32 767 bits sur des clés à courbes elliptiques
Message de Gate News, 24 avril — Giancarlo Lelli, un chercheur italien, s’est vu attribuer un Bitcoin après avoir démontré l’attaque quantique à plus grande échelle jamais réalisée contre la cryptographie à courbes elliptiques. Cette percée intensifie les inquiétudes concernant des menaces quantiques visant Bitcoin, Ethereum et d’autres actifs protégés par
GateNewsIl y a 8h
Luck.io, le casino non dépositaire de Solana, ferme ; les utilisateurs invités à retirer leurs fonds immédiatement
Message de Gate News, 24 avril — Luck.io, une plateforme de casino non dépositaire construite sur Solana, a annoncé sa fermeture le 24 avril 2026, en exhortant tous les utilisateurs à retirer immédiatement leurs soldes des Smart Vaults. Les retraits peuvent être initiés via le site web luck.io ou via l’outil de retrait du Vault à
GateNewsIl y a 11h
Sanctions américaines contre des portefeuilles crypto liés à l’Iran ; Tether gèle $344 million de USDT
Message de Gate News, le 24 avril — Le secrétaire au Trésor américain Scott Bessent a annoncé, jeudi, des sanctions contre plusieurs portefeuilles liés à l’Iran, dans le cadre des efforts du président Donald Trump visant à accroître la pression économique sur le pays, alors qu’un cessez-le-feu est en cours. « Nous allons suivre l’argent que Téhéran tente désespérément de déplacer en dehors du pays et cibler toutes les bouées financières liées au régime », a déclaré Bessent dans un communiqué.
GateNewsIl y a 13h
