Handlarze monet meme stali się celem stron phishingowych przebranych za ekrany weryfikacji Cloudflare, a jeden z handlarzy zgłosił stratę około 600 000 dolarów po uruchomieniu złośliwego skryptu.
Podsumowanie
- Fałszywe strony weryfikacji Cloudflare powiązane z monetami meme są wykorzystywane do nakłaniania handlarzy do uruchamiania złośliwych skryptów.
- Handlarz kryptowalutami @cladzsol zgłosił stratę około 600 000 dolarów po interakcji z jedną ze złośliwych stron.
- Atakujący mogą umieszczać strony phishingowe w polach metadanych tokenów, które handlarze mogą otwierać podczas badania nowo uruchomionych monet meme.
- Użytkownicy zostali ostrzeżeni, aby zamykać podejrzane strony weryfikacyjne, które proszą ich o wykonywanie poleceń lub skryptów na ich komputerach.
Raporty rynkowe z 16 września podały, że kilka popularnych stron monet meme przekierowywało odwiedzających na fałszywe ekrany weryfikacji, które instruują ich do wykonywania poleceń na ich komputerach, co pozwala na uruchomienie złośliwych skryptów i potencjalną kradzież aktywów kryptowalutowych.
Handlarz kryptowalutami @cladzsol powiedział, że stracił około 600 000 dolarów w tym incydencie, podczas gdy konto kryptowalutowe @insidecalls ostrzegło, że atak obejmował stronę internetową wyświetlającą fałszywą weryfikację Cloudflare, a następnie proszącą użytkownika o uruchomienie ładunku z uprawnieniami administratora w systemie Windows.
Metoda ta różni się od wielu ataków ogołacania portfeli, które polegają na tym, że użytkownicy podłączają portfel i zatwierdzają złośliwą transakcję blockchain. W tym przypadku strona phishingowa próbuje nakłonić ofiarę do bezpośredniego wykonania kodu na komputerze.
Strony phishingowe monet meme używają fałszywych monitów weryfikacyjnych
Złośliwe linki pojawiły się poprzez pola stron internetowych dołączone do monet meme. Handlarze skanujący nowo uruchomione tokeny mogą otwierać te linki podczas badania projektu, tylko po to, by trafić na stronę zaprojektowaną tak, aby przypominała legalną weryfikację Cloudflare.
Gdy użytkownik postępuje zgodnie z instrukcjami na stronie, złośliwy skrypt może zostać pobrany i wykonany na komputerze, zgodnie z raportami.
Inside Calls opisał podobną sekwencję, omawiając stratę poniesioną przez @cladzsol, mówiąc, że fałszywy proces weryfikacji prosi użytkownika o uruchomienie ładunku administracyjnego w systemie Windows. Handlarz następnie powiedział, że incydent kosztował go 600 000 dolarów.
Atak opiera się częściowo na rutynowym zachowaniu handlarzy monet meme, którzy często szybko przemieszczają się między stronami tokenów, kontami społecznościowymi i stronami projektów w poszukiwaniu nowo uruchomionych aktywów.
Niektóre platformy do śledzenia tokenów i agregacji handlu wyświetlają informacje o stronach internetowych i mediach społecznościowych pobrane z metadanych tokenów. Raporty o najnowszej kampanii podały, że te pola mogą być zmieniane przez twórców tokenów lub przez osoby, które później przejmują kontrolę nad obecnością społeczności projektu.
Atakujący mogą zatem umieścić złośliwą stronę internetową w polu, które handlarze mogą oczekiwać, że zawiera oficjalną stronę główną projektu. Raporty wzbudziły obawy dotyczące opóźnień w przeglądaniu linków wyświetlanych przez usługi agregacji, takie jak DexScreener, chociaż żadne dowody przedstawione w raportach nie wykazały, że sam DexScreener został naruszony.
Ataki phishingowe kryptowalut coraz częściej używają stron wyglądających na zaufane
Najnowsza kampania następuje po kilku atakach, w których znane strony internetowe, marki lub usługi online zostały skopiowane, aby przekonać użytkowników kryptowalut do interakcji ze złośliwym oprogramowaniem.
W sierpniu handlarz Hyperliquid stracił około $550,000 po kliknięciu sponsorowanej reklamy Google, która prowadziła do podrobionej wersji zdecentralizowanej platformy handlowej. Firma zajmująca się bezpieczeństwem blockchain Salus powiązała infrastrukturę stojącą za tą stroną z ekosystemem Inferno drainer.
Kradzież z 13 sierpnia dotyczyła fałszywej strony internetowej Hyperliquid, która była promowana poprzez płatne wyniki wyszukiwania. Salus powiedział, że infrastruktura obejmowała złośliwe skrypty, generowanie poleceń zatwierdzenia, automatyczne opróżnianie, wypłaty międzyłańcuchowe i narzędzia do konsolidacji skradzionych funduszy.
Crypto.news wcześniej informowało w lipcu, że usługi opróżniania portfeli powszechnie wykorzystują fałszywe strony projektów, oszukańcze airdropy, złośliwe linki w mediach społecznościowych i podrobione strony tokenów, aby postawić użytkowników przed niebezpiecznymi żądaniami transakcji.
W tych atakach złośliwa witryna zazwyczaj prosi ofiarę o podłączenie portfela i zatwierdzenie transakcji lub podpisu. Zatwierdzenie może dać kontrolowanemu przez atakującego kontraktowi uprawnienie do transferu tokenów bez uzyskiwania frazy seed lub hasła portfela.
Fałszywa kampania Cloudflare wykorzystuje inną drogę opisaną w raportach z 16 września: ofiary są instruowane do wykonania skryptu na swoich komputerach. Gdy kod działa lokalnie, atak nie jest już ograniczony do uzyskania zatwierdzenia on-chain poprzez stronę internetową.
Złośliwe oprogramowanie stało się kolejną drogą do portfeli kryptowalutowych
Ostatnie kampanie wielokrotnie łączyły phishing ze złośliwym oprogramowaniem zaprojektowanym do zbierania informacji o portfelach i innych danych uwierzytelniających z komputerów.
Fałszywa aplikacja desktopowa Claude odkryta w sierpniu rozpowszechniała złośliwe oprogramowanie RevStealer zdolne do atakowania ponad 50 portfeli kryptowalutowych, według firmy zajmującej się cyberbezpieczeństwem Morphisec.
Złośliwe oprogramowanie było ukryte w aplikacji przedstawionej jako „Claude Opus 5 Free Desktop”. Morphisec powiedział, że program mógł zbierać informacje z portfeli kryptowalutowych, menedżerów haseł i przeglądarek internetowych w systemach Windows przed wysłaniem skradzionych danych do infrastruktury kontrolowanej przez atakującego.
Inna kampania ujawniona w maju wykorzystywała złośliwe pakiety deweloperskie do atakowania deweloperów kryptowalut i sztucznej inteligencji. Platforma bezpieczeństwa Socket zidentyfikowała co najmniej 34 złośliwe pakiety i 384 powiązane wersje w ekosystemach oprogramowania npm, PyPI i Rust.
Socket powiedział, że kampania TrapDoor została zaprojektowana do zbierania danych portfela wraz z tokenami GitHub, danymi uwierzytelniającymi chmury, kluczami API i dostępem SSH.
Metody dostarczania różniły się, ale obie kampanie polegały na nakłonieniu ofiar do zainstalowania lub uruchomienia oprogramowania przedstawionego jako coś legalnego.
Traderzy memecoinów już wcześniej mieli do czynienia z podobnymi atakami złośliwego oprogramowania
Handel memecoinami już wcześniej dawał atakującym możliwości rozpowszechniania złośliwego oprogramowania, ponieważ traderzy często korzystają z narzędzi stron trzecich, rekomendacji w mediach społecznościowych i nieznanych stron projektów.
W sierpniu 2024 r. agregator zdecentralizowanych giełd Solana, Jupiter, ostrzegł użytkowników o złośliwym rozszerzeniu Chrome o nazwie Bull Checker, po tym jak kilku użytkowników zgłosiło opróżnienie ich portfeli.
Rozszerzenie było promowane użytkownikom Solany jako narzędzie do przeglądania posiadaczy memecoinów. Dochodzenie Jupiter wykazało, że mogło modyfikować transakcje podczas interakcji ze zdecentralizowanymi aplikacjami i wstawiać instrukcje, które transferowały tokeny na inny adres.
Oddzielny incydent z listopada 2024 r. dotyczył inwestora memecoina Gigachad, który zgłosił utratę 6,09 miliona dolarów po kliknięciu fałszywego linku do spotkania Zoom. Ofiara powiedziała, że złośliwe oprogramowanie zostało pobrane na laptopa, po czym atakujący opróżnił trzy portfele zawierające 95,27 miliona tokenów GIGA.
Onchain Lens powiedział, że atakujący później sprzedał skradzione tokeny za 11 759 SOL, wówczas warte około 2,1 miliona dolarów.
Raporty z 16 września radziły traderom, którzy napotkają rzekomą stronę weryfikacji Cloudflare proszącą o wykonanie poleceń lub skryptów, aby zamknęli stronę bez interakcji z nią.
