Un malware MacOS pirate les sessions Telegram pour cibler les wallets crypto
Un nouveau logiciel malveillant ciblant les utilisateurs de MacOS a été découvert : il pirate les sessions Telegram actives pour dérober les cryptomonnaies des portefeuilles connectés. L’alerte émane de SlowMist, l’un des cabinets de sécurité blockchain les plus réputés, qui a publié une analyse détaillée de cette menace émergente.
Comment fonctionne l’attaque ?
Selon le rapport de SlowMist, le malware exploite les sessions Telegram déjà authentifiées sur les machines infectées. Telegram est devenu un outil central dans l’écosystème crypto, utilisé pour les groupes de discussion, les canaux d’information, les communautés de projets et même certaines opérations de trading. En détournant ces sessions actives, les attaquants peuvent accéder aux messages privés, aux groupes, et potentiellement intercepter des informations sensibles liées aux wallets crypto.
Le vecteur d’infection initial n’a pas été détaillé par SlowMist dans ses premières communications, mais les chercheurs suggèrent que le malware se propage via des pièces jointes malveillantes, des liens dans des messages Telegram eux-mêmes, ou via des logiciels compromis téléchargés en dehors de l’App Store officiel d’Apple. Une fois installé, le malware s’exécute silencieusement en arrière-plan, sans éveiller les soupçons de l’utilisateur.
Une menace directe pour les détenteurs de cryptomonnaies
La particularité de ce malware réside dans son ciblage explicite des wallets crypto. En prenant le contrôle des sessions Telegram, les attaquants peuvent surveiller les conversations où sont partagées des adresses de portefeuille, des clés API, ou des informations sensibles. Les bots Telegram utilisés par de nombreux projets crypto pour les notifications de transactions ou les alerts de prix sont également vulnérables.
Les utilisateurs de wallets dits « chauds » (hot wallets), c’est-à-dire des portefeuilles connectés à Internet, sont les plus exposés. Les wallets logiciels comme MetaMask, Phantom, ou Trust Wallet, souvent utilisés en conjonction avec des groupes Telegram, peuvent voir leurs informations compromises si le malware collecte les phrases de récupération (seed phrases) partagées via la messagerie.
Pourquoi Telegram est une cible privilégiée
Telegram occupe une place unique dans l’écosystème crypto. Avec des centaines de milliers d’utilisateurs actifs dans des groupes dédiés aux cryptomonnaies, la plateforme est devenue un hub d’information et de coordination. Les projets y annoncent leurs développements, les traders y partagent leurs analyses, et les communautés s’y organisent.
Cette centralisation fait de Telegram une cible de choix pour les attaquants. Le malware ne vise pas Telegram lui-même, mais plutôt les utilisateurs de Telegram qui détiennent des cryptomonnaies — une population très spécifique et potentiellement très lucrative pour les cybercriminels.
SlowMist, qui a déjà documenté de nombreuses attaques dans l’écosystème blockchain, souligne que ce type de malware représente une évolution significative dans les menaces ciblant les utilisateurs crypto. Contrairement aux attaques généralistes, ce logiciel malveillant est spécifiquement conçu pour extraire de la valeur des portefeuilles connectés via Telegram.
L’importance de la sécurité des sessions
Les sessions Telegram actives sont stockées localement sur l’appareil de l’utilisateur. Une fois qu’un attaquant y accède, il peut maintenir une présence persistante même si l’utilisateur change son mot de passe. C’est pourquoi la découverte de SlowMist est particulièrement préoccupante : les mesures de sécurité traditionnelles (changement de mot de passe, double authentification) ne suffisent pas à neutraliser une session déjà compromise.
Les chercheurs recommandent plusieurs mesures de protection : vérifier régulièrement les sessions actives dans les paramètres de Telegram, déconnecter les sessions inconnues, et ne pas cliquer sur des liens suspects même lorsqu’ils proviennent de contacts connus (dont le compte pourrait être compromis).
Historique des menaces MacOS dans la crypto
MacOS a longtemps été considéré comme plus sûr que Windows pour les activités crypto, bénéficiant d’une base d’utilisateurs plus réduite et d’une architecture de sécurité réputée. Cependant, ces dernières années ont vu une multiplication des menaces ciblant les utilisateurs Mac dans l’espace crypto : faux logiciels de mining, applications de trading frauduleuses, et maintenant malware ciblant Telegram.
En 2024 et 2025, plusieurs souches de malwares MacOS ont été découvertes, ciblant les portefeuilles Exodus, Electrum et Ledger Live. La tendance s’accélère avec la hausse de l’adoption des cryptomonnaies et la croissance de la valeur des actifs détenus par les utilisateurs individuels. Plus la capitalisation du marché crypto augmente, plus les incitations sont fortes pour les développeurs de malwares.
Que faire si vous êtes sur MacOS ?
Pour les utilisateurs de MacOS qui participent à des groupes Telegram liés aux cryptomonnaies, SlowMist recommande les bonnes pratiques suivantes :
Premièrement, vérifiez vos sessions Telegram actives. Ouvrez Telegram, allez dans Paramètres > Appareils > Sessions actives. Déconnectez toute session que vous ne reconnaissez pas ou qui provient d’un appareil que vous n’utilisez plus. Cette vérification devrait être effectuée régulièrement, idéalement chaque semaine.
Deuxièmement, évitez de partager des informations sensibles liées à vos wallets crypto via Telegram. Les adresses de portefeuilles publiques peuvent être partagées, mais jamais les phrases de récupération, les clés privées ou les mots de passe. Utilisez des canaux chiffrés de bout en bout pour les communications sensibles, et privilégiez les supports physiques pour le stockage des seed phrases.
Troisièmement, maintenez votre MacOS à jour avec les derniers correctifs de sécurité. Apple publie régulièrement des mises à jour qui corrigent des vulnérabilités exploitées par les malwares. Activez les mises à jour automatiques pour ne pas manquer les correctifs critiques.
Quatrièmement, utilisez un wallet matériel (hardware wallet) pour stocker vos actifs importants. Les wallets physiques comme Ledger ou Trezor signent les transactions hors ligne, rendant impossible leur compromission par un malware présent sur votre ordinateur, même si votre session Telegram est piratée.
Cinquièmement, soyez particulièrement vigilant concernant les applications que vous installez sur votre Mac. Privilégiez le Mac App Store et les sites officiels des développeurs. Évitez les logiciels crackés ou téléchargés depuis des sources non vérifiées, qui constituent le vecteur d’infection le plus courant pour ce type de malware.
La réponse de la communauté crypto
La découverte de SlowMist a déjà commencé à circuler dans les cercles de sécurité crypto. Plusieurs experts en cybersécurité appellent à une vigilance accrue, rappelant que la menace ne se limite pas à MacOS ou à Telegram — d’autres plateformes et systèmes d’exploitation pourraient être ciblés par des variantes de ce malware dans les semaines à venir.
Les équipes de sécurité des principaux projets crypto ont été alertées et travaillent à la mise en place de mesures de protection supplémentaires. Certains projets envisagent d’ajouter des avertissements automatiques dans leurs bots Telegram lorsque des tentatives de phishing ou de partage de liens suspects sont détectées.
L’écosystème crypto reste attractif pour les cybercriminels en raison de la valeur élevée des actifs et de l’irréversibilité des transactions. Chaque nouvelle menace rappelle l’importance de la sécurité individuelle et de la formation des utilisateurs aux bonnes pratiques. Comme le souligne SlowMist, la meilleure défense reste une combinaison de vigilance, d’outils adaptés et d’hygiène numérique rigoureuse.
Le rapport complet de SlowMist devrait être publié prochainement avec davantage de détails techniques sur les mécanismes d’infection et les indicateurs de compromission (IoC). En attendant, la prudence est de mise pour tous les utilisateurs de MacOS actifs dans l’écosystème crypto via Telegram.
📬
Recevez le briefing crypto de la semaine
Analyses, tendances et opportunités — directement dans votre boîte mail.
