Robatori de dades a Coldcard per valor de 130 milions de dòlars... Avisos sobre possibles estafes de "treasure" i "foundation"

S'ha registrat un augment significatiu d'atacs de phishing que aprofiten les vulnerabilitats del firmware de les targetes "cold", i com a conseqüència, les empreses Trezor i Foundation, fabricants de carteres de maquinari, han emès alertes als seus usuaris. Trezor ha declarat que, després de la revelació de l'incident de seguretat, s'han detectat un augment notable dels intents de phishing, i ha afirmat que les còpies de seguretat de les carteres només s'han de realitzar directament des del dispositiu i que el seu propi maquinari no es veu afectat. Foundation també ha informat que s'estan distribuint correus electrònics que imiten a l'empresa, dirigint els usuaris a llocs web falsos i arxius maliciosos, i ha recalcat que mai demanen frases de recuperació ni instruccions per instal·lar programari amb la finalitat de protegir la seguretat de les carteres. L'empresa de seguretat Proofpoint ha revelat una campanya de phishing específica dirigida als usuaris de ColdCard el 3 d'agost. Els atacants envien correus electrònics amb adreces ColdCard falsificades, sol·licitant que es completi una "auditoria de maquinari" i redirigeixen els usuaris a un lloc web falsificat amb un botó que diu "Start Hardware Audit". En fer clic al botó, es descarrega un fitxer per lots que s'ha publicat a GitHub, i mitjançant aquest fitxer, es comença a instal·lar ScreenConnect, una eina legítima d'accés remot. Segons Proofpoint, això permet als atacants robar dades i actius financers, així com desplegar programari maliciós, com ara ransomware. En particular, Proofpoint ha assenyalat que un agent real, i no un bot, atén el xat d'atenció al client del lloc web falsificat, guiant les víctimes pas a pas durant el procés d'instal·lació, i ha qualificat aquesta pràctica com una tècnica d'enginyeria social eficaç que aprofita la inseguretat dels usuaris. La vulnerabilitat té el seu origen en una versió del firmware del març de 2021. Aquesta versió utilitzava un sistema de generació de números aleatoris per programari en lloc d'un generador de números aleatoris de maquinari per crear les claus de les carteres, cosa que va fer que les claus privades fossin susceptibles de ser deduïdes. Galaxy Research ha confirmat tres onades de robatoris des del 30 de juliol, i ha informat que les pèrdues totals superen els 1.596 BTC, equivalent a més de 100 milions de dòlars. Si es té en compte una quarta onada, en què hi ha sospites de danys però encara no s'han identificat les víctimes, es calcula que les pèrdues totals podrien arribar als 130 milions de dòlars. Alex Sohn, cap de recerca de Galaxy Research, va afirmar que, excepte la primera onada, totes les altres han estat detectades gràcies a les denúncies de les víctimes, i que actualment hi ha almenys 15 atacants individuals que estan aprofitant aquesta vulnerabilitat. La companyia CoinKite, fabricant de dispositius "cold wallet", ha publicat una versió del firmware amb correccions i recomana als usuaris afectats que traslladin els seus fons a una nova clau generada. Aquest incident és l'últim exemple d'una campanya de "phishing" dirigida als usuaris de carteres de maquinari. El febrer d'aquest any, es va dur a terme una campanya per correu postal que incloïa hologrames i falses signatures de directius, dirigida als usuaris de Trezor i Ledger. L'abril, una aplicació Ledger falsa va robar milions de dòlars, i al març, hi va haver un atac que utilitzava un problema fals a GitHub per atreure desenvolupadors a un lloc web fraudulent. Galaxy Research ha advertit que la vulnerabilitat de les "cold cards" encara persisteix i ha instat els seus titulars a traslladar immediatament els seus fons a una nova clau o a una institució de custòdia. Existeix la preocupació que, com que la vulnerabilitat no s'ha solucionat, la durada de les campanyes de "phishing" pugui prolongar-se.