Meme-Coin-Händler wurden von Phishing-Seiten ins Visier genommen, die als Cloudflare-Verifizierungsbildschirme getarnt waren, wobei ein Händler einen Verlust von etwa 600.000 US-Dollar meldete, nachdem er ein bösartiges Skript ausgeführt hatte.
Zusammenfassung
- Gefälschte Cloudflare-Verifizierungsseiten, die mit Meme-Coins in Verbindung gebracht werden, werden genutzt, um Händler dazu zu verleiten, bösartige Skripte auszuführen.
- Der Krypto-Händler @cladzsol meldete einen Verlust von etwa 600.000 US-Dollar, nachdem er mit einer der bösartigen Seiten interagiert hatte.
- Angreifer können Phishing-Websites in Token-Metadatenfeldern platzieren, die Händler beim Recherchieren neu gestarteter Meme-Coins möglicherweise öffnen.
- Benutzer wurden gewarnt, verdächtige Verifizierungsseiten zu schließen, die sie auffordern, Befehle oder Skripte auf ihren Computern auszuführen.
Marktberichte vom 16. September besagten, dass mehrere beliebte Meme-Coin-Seiten Besucher auf gefälschte Verifizierungsbildschirme umgeleitet haben, die sie anweisen, Befehle auf ihren Computern auszuführen, wodurch bösartige Skripte ausgeführt werden können und möglicherweise Krypto-Assets gestohlen werden.
Der Krypto-Händler @cladzsol sagte, er habe bei dem Vorfall etwa 600.000 US-Dollar verloren, während der Krypto-Account @insidecalls warnte, dass der Angriff eine Website umfasste, die eine gefälschte Cloudflare-Prüfung anzeigte, bevor sie den Benutzer aufforderte, ein Payload mit Administratorrechten unter Windows auszuführen.
Die Methode unterscheidet sich von vielen Wallet-Draining-Angriffen, die darauf beruhen, dass Benutzer eine Wallet verbinden und eine bösartige Blockchain-Transaktion genehmigen. In diesem Fall versucht die Phishing-Seite, das Opfer dazu zu bringen, Code direkt auf dem Computer auszuführen.
Meme-Coin-Phishing-Seiten verwenden gefälschte Verifizierungsaufforderungen
Die bösartigen Links sind über Website-Felder aufgetaucht, die an Meme-Coins angehängt sind. Händler, die neu gestartete Token scannen, öffnen diese Links möglicherweise beim Recherchieren eines Projekts und landen dann auf einer Seite, die einer legitimen Cloudflare-Verifizierungsprüfung nachempfunden ist.
Sobald der Benutzer den Anweisungen auf der Seite folgt, kann gemäß den Berichten ein bösartiges Skript heruntergeladen und auf dem Computer ausgeführt werden.
Inside Calls beschrieb eine ähnliche Abfolge, als er den Verlust von @cladzsol diskutierte, und sagte, der gefälschte Verifizierungsprozess fordere den Benutzer auf, ein Administrator-Payload unter Windows auszuführen. Der Händler sagte anschließend, der Vorfall habe ihn 600.000 US-Dollar gekostet.
Der Angriff beruht teilweise auf dem routinemäßigen Verhalten von Meme-Coin-Händlern, die sich oft schnell zwischen Token-Seiten, Social-Media-Konten und Projekt-Websites bewegen, während sie nach neu gestarteten Assets suchen.
Einige Token-Tracking- und Trading-Aggregationsplattformen zeigen Website- und Social-Media-Informationen an, die aus Token-Metadaten stammen. Berichte über die neueste Kampagne besagten, dass diese Felder von Token-Erstellern oder von Personen geändert werden können, die später die Kontrolle über die Community-Präsenz eines Projekts beanspruchen.
Angreifer können daher eine bösartige Website in einem Feld platzieren, von dem Händler erwarten, dass es die offizielle Homepage des Projekts enthält. Die Berichte äußerten Bedenken hinsichtlich Verzögerungen bei der Überprüfung von Links, die von Aggregationsdiensten wie DexScreener angezeigt werden, obwohl keine in den Berichten vorgelegten Beweise zeigten, dass DexScreener selbst kompromittiert worden war.
Krypto-Phishing-Angriffe verwenden zunehmend vertrauenswürdig aussehende Seiten
Die neueste Kampagne folgt auf mehrere Angriffe, bei denen bekannte Websites, Marken oder Online-Dienste kopiert wurden, um Krypto-Nutzer zur Interaktion mit bösartiger Software zu bewegen.
Im August verlor ein Hyperliquid-Händler etwa 550.000 US-Dollar, nachdem er auf eine gesponserte Google-Anzeige geklickt hatte, die zu einer gefälschten Version der dezentralen Handelsplattform führte. Das Blockchain-Sicherheitsunternehmen Salus verband die Infrastruktur hinter der Website mit dem Inferno-Drainer-Ökosystem.
Der Diebstahl vom 13. August betraf eine gefälschte Hyperliquid-Website, die über bezahlte Suchergebnisse beworben wurde. Salus sagte, die Infrastruktur umfasste bösartige Skripte, Generierung von Genehmigungsbefehlen, automatisiertes Abziehen, kettenübergreifende Abhebungen und Tools zur Konsolidierung gestohlener Gelder.
Crypto.news berichtete bereits im Juli, dass Wallet-Drainer-Dienste häufig gefälschte Projekt-Websites, betrügerische Airdrops, bösartige Social-Media-Links und gefälschte Token-Seiten verwenden, um Nutzer mit gefährlichen Transaktionsanfragen zu konfrontieren.
Bei diesen Angriffen fordert die bösartige Website das Opfer in der Regel auf, eine Wallet zu verbinden und eine Transaktion oder Signatur zu genehmigen. Die Genehmigung kann einem vom Angreifer kontrollierten Vertrag die Berechtigung erteilen, Token zu übertragen, ohne die Seed-Phrase oder das Passwort der Wallet zu erlangen.
Die gefälschte Cloudflare-Kampagne nutzt einen anderen Weg, der in den Berichten vom 16. September beschrieben wird: Opfer werden angewiesen, ein Skript auf ihren Computern auszuführen. Sobald Code lokal ausgeführt wird, ist der Angriff nicht mehr darauf beschränkt, eine On-Chain-Genehmigung über die Website zu erhalten.
Malware ist zu einem weiteren Weg in Krypto-Wallets geworden
Jüngste Kampagnen haben wiederholt Phishing mit Malware kombiniert, die darauf ausgelegt ist, Wallet-Informationen und andere Anmeldedaten von Computern zu sammeln.
Eine im August entdeckte gefälschte Claude-Desktop-Anwendung verbreitete RevStealer-Malware, die auf mehr als 50 Kryptowährungs-Wallets abzielen kann, so das Cybersicherheitsunternehmen Morphisec.
Die Malware war in einer Anwendung versteckt, die als „Claude Opus 5 Free Desktop“ präsentiert wurde. Morphisec sagte, das Programm könne Informationen aus Krypto-Wallets, Passwort-Managern und Webbrowsern auf Windows-Systemen sammeln, bevor gestohlene Datensätze an eine vom Angreifer kontrollierte Infrastruktur gesendet werden.
Eine weitere im Mai offengelegte Kampagne nutzte bösartige Entwicklerpakete, um auf Kryptowährungs- und KI-Entwickler abzuzielen. Die Sicherheitsplattform Socket identifizierte mindestens 34 bösartige Pakete und 384 zugehörige Versionen in den Software-Ökosystemen npm, PyPI und Rust.
Socket sagte, die TrapDoor-Kampagne sei darauf ausgelegt gewesen, Wallet-Daten zusammen mit GitHub-Tokens, Cloud-Anmeldedaten, API-Schlüsseln und SSH-Zugriff zu sammeln.
Die Zustellmethoden unterschieden sich, aber beide Kampagnen waren darauf angewiesen, Opfer dazu zu bringen, Software zu installieren oder auszuführen, die als etwas Legitimes präsentiert wurde.
Meme-Coin-Händler waren bereits zuvor ähnlichen Malware-Angriffen ausgesetzt
Der Handel mit Meme-Coins hat Angreifern bereits zuvor Möglichkeiten geboten, bösartige Software zu verbreiten, da Händler häufig Drittanbieter-Tools, Social-Media-Empfehlungen und unbekannte Projekt-Websites nutzen.
Im August 2024 warnte der Solana-DEX-Aggregator Jupiter Nutzer vor einer bösartigen Chrome-Erweiterung namens Bull Checker, nachdem mehrere Nutzer gemeldet hatten, dass ihre Wallets geleert wurden.
Die Erweiterung wurde Solana-Nutzern als Tool zum Anzeigen von Meme-Coin-Haltern beworben. Jupiters Untersuchung ergab, dass sie Transaktionen während Interaktionen mit dezentralen Anwendungen ändern und Anweisungen einfügen konnte, die Token an eine andere Adresse übertrugen.
Ein separater Vorfall im November 2024 betraf einen Gigachad-Meme-Coin-Investor, der berichtete, 6,09 Millionen Dollar verloren zu haben, nachdem er auf einen gefälschten Zoom-Meeting-Link geklickt hatte. Das Opfer sagte, Malware sei auf den Laptop heruntergeladen worden, woraufhin der Angreifer drei Wallets leerte, die 95,27 Millionen GIGA-Token enthielten.
Onchain Lens sagte, der Angreifer habe die gestohlenen Token später für 11.759 SOL verkauft, was damals etwa 2,1 Millionen Dollar wert war.
Die Berichte vom 16. September rieten Händlern, die auf eine angebliche Cloudflare-Verifizierungsseite stoßen, die sie zur Ausführung von Befehlen oder Skripten auffordert, die Seite zu schließen, ohne mit ihr zu interagieren.
