Os traders de meme coins têm sido alvo de páginas de phishing disfarçadas de telas de verificação da Cloudflare, com um trader relatando uma perda de aproximadamente US$ 600.000 após executar um script malicioso.
Resumo
- Páginas falsas de verificação da Cloudflare vinculadas a meme coins estão sendo usadas para enganar traders e fazê-los executar scripts maliciosos.
- O trader de criptomoedas @cladzsol relatou ter perdido aproximadamente US$ 600.000 após interagir com uma das páginas maliciosas.
- Os atacantes podem colocar sites de phishing em campos de metadados de tokens que os traders podem abrir enquanto pesquisam meme coins recém-lançadas.
- Os usuários foram alertados a fechar páginas de verificação suspeitas que pedem que executem comandos ou scripts em seus computadores.
Relatórios de mercado de 16 de setembro disseram que várias páginas populares de meme coins têm redirecionado visitantes para telas de verificação falsas que os instruem a executar comandos em seus computadores, permitindo que scripts maliciosos sejam executados e potencialmente roubem ativos de criptomoedas.
O trader de criptomoedas @cladzsol disse que perdeu cerca de US$ 600.000 no incidente, enquanto a conta de criptomoedas @insidecalls alertou que o ataque envolvia um site exibindo uma verificação falsa da Cloudflare antes de pedir ao usuário que executasse um payload com privilégios de administrador no Windows.
O método difere de muitos ataques de drenagem de carteira que dependem de os usuários conectarem uma carteira e aprovarem uma transação maliciosa na blockchain. Neste caso, a página de phishing tenta fazer com que a vítima execute código diretamente no computador.
Páginas de phishing de meme coins usam prompts de verificação falsos
Os links maliciosos apareceram por meio de campos de sites anexados a meme coins. Traders que escaneiam tokens recém-lançados podem abrir esses links enquanto pesquisam um projeto, apenas para cair em uma página projetada para se parecer com uma verificação legítima da Cloudflare.
Assim que o usuário segue as instruções na página, um script malicioso pode ser baixado e executado no computador, de acordo com os relatórios.
Inside Calls descreveu uma sequência semelhante ao discutir a perda sofrida por @cladzsol, dizendo que o processo de verificação falso pede ao usuário que execute um payload de administrador no Windows. O trader subsequentemente disse que o incidente lhe custou US$ 600.000.
O ataque depende em parte do comportamento rotineiro dos traders de meme coins, que frequentemente se movem rapidamente entre páginas de tokens, contas sociais e sites de projetos enquanto procuram ativos recém-lançados.
Algumas plataformas de rastreamento de tokens e agregação de negociação exibem informações de sites e redes sociais extraídas dos metadados dos tokens. Relatórios sobre a campanha mais recente disseram que esses campos podem ser alterados pelos criadores dos tokens ou por pessoas que posteriormente reivindicam o controle da presença da comunidade de um projeto.
Os atacantes podem, portanto, colocar um site malicioso em um campo que os traders podem esperar que contenha a página inicial oficial do projeto. Os relatórios levantaram preocupações sobre atrasos na revisão de links exibidos por serviços de agregação como o DexScreener, embora nenhuma evidência apresentada nos relatórios tenha mostrado que o próprio DexScreener tenha sido comprometido.
Ataques de phishing de criptomoedas usam cada vez mais páginas que parecem confiáveis
A campanha mais recente segue vários ataques nos quais sites, marcas ou serviços online familiares foram copiados para persuadir usuários de criptomoedas a interagir com software malicioso.
Em agosto, um trader da Hyperliquid perdeu cerca de US$550.000 após clicar em um anúncio patrocinado do Google que levava a uma versão falsa da plataforma de negociação descentralizada. A empresa de segurança blockchain Salus vinculou a infraestrutura por trás do site ao ecossistema do drainer Inferno.
O roubo de 13 de agosto envolveu um site falso da Hyperliquid que foi promovido por meio de resultados de busca pagos. A Salus disse que a infraestrutura incluía scripts maliciosos, geração de comandos de aprovação, drenagem automatizada, saques entre cadeias e ferramentas para consolidar fundos roubados.
O Crypto.news relatou anteriormente em julho que serviços de drenagem de carteiras comumente usam sites falsos de projetos, airdrops fraudulentos, links maliciosos em redes sociais e páginas de tokens falsificados para colocar os usuários diante de solicitações de transações perigosas.
Nesses ataques, o site malicioso normalmente pede à vítima que conecte uma carteira e aprove uma transação ou assinatura. A aprovação pode dar a um contrato controlado pelo atacante permissão para transferir tokens sem obter a frase-semente ou a senha da carteira.
A campanha falsa da Cloudflare usa uma rota diferente descrita nos relatórios de 16 de setembro: as vítimas são instruídas a executar um script em seus computadores. Uma vez que o código está em execução localmente, o ataque não se limita mais a obter uma aprovação on-chain por meio do site.
Malware se tornou outra rota para carteiras de criptomoedas
Campanhas recentes combinaram repetidamente phishing com malware projetado para coletar informações de carteiras e outras credenciais de computadores.
Um aplicativo falso de desktop Claude descoberto em agosto distribuía o malware RevStealer capaz de atingir mais de 50 carteiras de criptomoedas, de acordo com a empresa de segurança cibernética Morphisec.
O malware estava escondido dentro de um aplicativo apresentado como “Claude Opus 5 Free Desktop”. A Morphisec disse que o programa podia coletar informações de carteiras de criptomoedas, gerenciadores de senhas e navegadores da web em sistemas Windows antes de enviar os registros roubados para a infraestrutura controlada pelos atacantes.
Outra campanha divulgada em maio usou pacotes de desenvolvedor maliciosos para atingir desenvolvedores de criptomoedas e inteligência artificial. A plataforma de segurança Socket identificou pelo menos 34 pacotes maliciosos e 384 versões relacionadas nos ecossistemas de software npm, PyPI e Rust.
A Socket disse que a campanha TrapDoor foi projetada para coletar dados de carteiras, juntamente com tokens do GitHub, credenciais de nuvem, chaves de API e acesso SSH.
Os métodos de entrega diferiram, mas ambas as campanhas dependiam de fazer as vítimas instalarem ou executarem software apresentado como algo legítimo.
Negociadores de meme coins já enfrentaram ataques de malware semelhantes antes
A negociação de meme coins já proporcionou aos atacantes oportunidades de distribuir software malicioso, porque os negociadores frequentemente usam ferramentas de terceiros, recomendações em redes sociais e sites de projetos desconhecidos.
Em agosto de 2024, o agregador de exchange descentralizada da Solana, Jupiter, alertou os usuários sobre uma extensão maliciosa do Chrome chamada Bull Checker depois que vários usuários relataram ter suas carteiras drenadas.
A extensão foi promovida aos usuários da Solana como uma ferramenta para visualizar detentores de meme coins. A investigação da Jupiter descobriu que ela podia modificar transações durante interações com aplicativos descentralizados e inserir instruções que transferiam tokens para outro endereço.
Um incidente separado em novembro de 2024 envolveu um investidor da meme coin Gigachad que relatou perder US$ 6,09 milhões depois de clicar em um link falso de reunião do Zoom. A vítima disse que o malware foi baixado no laptop, após o que o atacante drenou três carteiras contendo 95,27 milhões de tokens GIGA.
A Onchain Lens disse que o atacante posteriormente vendeu os tokens roubados por 11.759 SOL, no valor de aproximadamente US$ 2,1 milhões na época.
Os relatórios de 16 de setembro aconselharam os negociadores que encontrarem uma suposta página de verificação da Cloudflare pedindo que executem comandos ou scripts a fechar a página sem interagir com ela.
