Des attaquants détournent des apps Snap Store Linux pour voler des phrases crypto

21 janvier 2026

Des cybercriminels ont compromis des applications Linux fiables sur le Snap Store en s'emparant de domaines expirés, leur permettant de diffuser un malware qui vole les phrases de récupération de cryptomonnaies. Des experts en sécurité de SlowMist et le contributeur Ubuntu Alan Pope ont mis en lumière l'attaque, qui vise des comptes d'éditeurs établis pour distribuer des mises à jour malveillantes usurpant des portefeuilles populaires. Canonical a supprimé les snaps affectés, mais les appels à des sauvegardes plus solides persistent.

Snap Store Linux visé par un schéma sophistiqué de vol de crypto Les cyberattaquants ont exploité le Snap Store, le dépôt de Canonical pour les paquets logiciels Linux, pour distribuer un malware déguisé en portefeuilles de cryptomonnaies légitimes. En enregistrant des domaines expirés précédemment liés à des éditeurs authentiques, les hackers accèdent à des comptes Snapcraft dormants et téléchargent des mises à jour malveillantes qui récoltent les phrases de récupération des portefeuilles des utilisateurs. Alan Pope, ancien développeur Canonical et contributeur Ubuntu, a d'abord averti de cette tactique le 21 janvier 2026. Il a détaillé comment les attaquants ont pris le contrôle de domaines comme storewise.tech et vagueentertainment.com, en utilisant des serveurs de messagerie associés pour réinitialiser les identifiants. «Les snaps malveillants semblaient normaux mais étaient conçus pour récolter les phrases de récupération des [portefeuilles crypto] et les envoyer vers des serveurs contrôlés par les attaquants », a expliqué Pope. Au moment où les utilisateurs remarquent les problèmes, leurs fonds sont souvent vidés. La société de sécurité blockchain SlowMist a repris ces préoccupations dans un post sur X par le chief information security officer 23pds. La firme a noté que les apps compromises imitent les interfaces de portefeuilles populaires comme Exodus, Ledger Live et Trust Wallet, incitant les utilisateurs à saisir des phrases semences sensibles lors de l'installation ou des mises à jour. «Les attaquants abusent des domaines expirés pour détourner d'anciens comptes d'éditeurs Snap Store et distribuer des mises à jour malveillantes via des canaux officiels », a déclaré 23pds. Cette méthode s'appuie sur des abus antérieurs du Snap Store, incluant des comptes fictifs et des tactiques d'appât et d'échange avec des noms d'apps anodins comme lemon-throw. SlowMist a souligné la nature d'attaque supply-chain, en ligne avec les tendances 2025 où les hacks crypto ont causé 3,3 milliards de dollars de pertes, selon CertiK, les incidents supply-chain représentant 1,45 milliard. Canonical a rapidement supprimé les snaps malveillants après les signalements de Pope et d'autres. Cependant, Pope a critiqué les délais de suppression, qui peuvent prendre des jours, et appelé à de meilleures vérifications : surveillance des expirations de domaines, authentification à deux facteurs obligatoire et contrôles des comptes dormants. Il a également lancé SnapScope, un outil web pour scanner les snaps à la recherche de vulnérabilités. Les utilisateurs sont invités à télécharger les portefeuilles crypto directement des sites officiels et à activer le 2FA sur les comptes. Les éditeurs doivent renouveler les domaines rapidement. Help Net Security a contacté Canonical pour les améliorations prévues, mises à jour en attente. Cet incident met en évidence les menaces croissantes sur les canaux de distribution logicielle, érodant la confiance dans les app stores alors que les attaquants privilégient les exploits à fort impact aux vulnérabilités de code directes.

Ce que les gens disent

Les discussions sur X avertissent les utilisateurs Linux d'une attaque supply-chain sur Snap Store où des attaquants ont détourné des comptes d'éditeurs via domaines expirés pour distribuer des mises à jour de portefeuilles crypto faux volant les phrases semences. Des experts comme SlowMist soulignent les risques pour les utilisateurs de longue date d'apps comme Exodus et Ledger Live. Les réactions appellent à vérifier les snaps, déplacer les fonds et des sauvegardes plus fortes de Canonical. Certains expriment de la frustration envers les pratiques de sécurité Linux.

Linux用户注意：Snap Store爆发新型攻击，过期域名变黑客后门盗取用户加密资产。
篡改的应用伪装成 Exodus、Ledger Live 或 Trust Wallet 等知名加密钱包，诱导用户输入“钱包恢复助记词”，导致资金被盗。https://t.co/PaHiXCbfUU

— 23pds (山哥) (@im23pds) 21. januar 2026

Your Linux Wallet Just Got Hacked (And You Didn't Even Notice)

If you're running crypto wallets on Linux, listen up.

Security firm SlowMist just exposed a massive attack hiding in plain sight.

Hackers compromised the Snap Store - Linux's official app marketplace.

They…

— Dan @BeAWhale (@BeAWhale_io) 21. januar 2026

📈 Crypto Update: SlowMist flags Linux Snap Store attack targeting crypto seed phrases

Ugh, people really gotta watch their backs, even on Linux. Scam artists are *always* tryna get at your seed phrases, so stay sharp, fam. pic.twitter.com/T9HPvgoUG2

— Jessica (@koynlabs) 21. januar 2026

SlowMist uncovers a Linux Snap Store supply chain attack where hijacked publishers pushed wallet updates to steal crypto seed phrases from longtime users. Check if your snaps are compromised. #Linux #CyberSecurity #Crypto #Infosec https://t.co/RX1jE8mnef

— Token Talk (@TokenTalkin) 21. januar 2026

🚨 Genius Linux Users Swap Security For Malware Because Clicking Install Is Easier Than Thinking

Malicious actors are uploading info-stealers to the Canonical Snap Store by masquerading as legitimate software updates to compromise the Linux supply chain.

While the Kremlin’s…

— TermsofSurrender 🇨🇿 🇮🇱 (@Aftershockindex) 20. januar 2026

Sources

• https://www.helpnetsecurity.com/2026/01/21/linux-malware-snap-store/
• https://www.tradingview.com/news/cointelegraph:1ee6337ac094b:0-slowmist-flags-linux-snap-store-attack-targeting-crypto-seed-phrases/
• https://www.fxstreet.com/amp/cryptocurrencies/news/slowmist-flags-linux-snap-store-attack-targeting-crypto-seed-phrases-202601211212