Χάκερ έκλεψαν 130 εκατομμύρια δολάρια μέσω της υπηρεσίας ColdCard, ενώ εκδόθηκαν προειδοποιήσεις για επιθέσεις phishing που στοχεύουν την εταιρεία Treasure και το Ίδρυμα

Λόγω της ραγδαίας αύξησης των επιθέσεων phishing που εκμεταλλεύονται ευπάθειες στο firmware των συσκευών αποθήκευσης κρυπτονομισμάτων, οι κατασκευαστές Trezor και Foundation εξέδωσαν διαδοχικές προειδοποιήσεις προς τους χρήστες. Η Trezor ανέφερε ότι μετά την αποκάλυψη του περιστατικού ασφαλείας, οι προσπάθειες phishing έχουν αυξηθεί σημαντικά, τονίζοντας ότι τα αντίγραφα ασφαλείας των πορτοφολιών πρέπει να δημιουργούνται μόνο από τη συσκευή και ότι οι ίδιες οι συσκευές της εταιρείας δεν έχουν επηρεαστεί. Η Foundation προειδοποίησε επίσης ότι κυκλοφορούν email που μιμούνται την εταιρεία, οδηγώντας τους χρήστες σε ψεύτικες ιστοσελίδες και κακόβουλα αρχεία, και τόνισε ότι η εταιρεία δεν έχει ζητήσει ποτέ φράσεις ανάκτησης ή δεν έχει δώσει οδηγίες για την εγκατάσταση λογισμικού για λόγους ασφάλειας του πορτοφολιού. Η εταιρεία ασφαλείας Proofpoint αποκάλυψε στις 3 Αυγούστου μια συγκεκριμένη καμπάνια phishing που στοχεύει τους χρήστες του ColdCard. Οι επιτιθέμενοι στέλνουν email με πλαστά στοιχεία διεύθυνσης ColdCard, ζητώντας από τους χρήστες να ολοκληρώσουν έναν "έλεγχο υλικού" και τους παραπέμπουν σε μια κλωνοποιημένη ιστοσελίδα με ένα κουμπί "Έναρξη Ελέγχου Υλικού". Κάνοντας κλικ στο κουμπί, οι χρήστες κατεβάζουν ένα αρχείο batch που έχει ανεβεί στο GitHub, το οποίο στη συνέχεια εγκαθιστά το ScreenConnect, ένα νόμιμο εργαλείο απομακρυσμένης πρόσβασης. Σύμφωνα με την Proofpoint, με αυτόν τον τρόπο, οι επιτιθέμενοι μπορούν να αποκτήσουν πρόσβαση σε δεδομένα και οικονομικούς πόρους, καθώς και να διανείμουν επιπλέον κακόβουλο λογισμικό, όπως ransomware. Ειδικότερα, στην πλαστή ιστοσελίδα, ένα παράθυρο συνομιλίας υποστήριξης πελατών επανδρώνεται από πραγματικούς ανθρώπους, όχι από bots, οι οποίοι καθοδηγούν τα θύματα βήμα προς βήμα στη διαδικασία εγκατάστασης. Η Proofpoint χαρακτήρισε αυτό ως μια αποτελεσματική μέθοδο κοινωνικής μηχανικής που εκμεταλλεύεται τις ανησυχίες των χρηστών σχετικά με την ασφάλεια. Η ρίζα της ευπάθειας εντοπίζεται σε μια έκδοση του firmware που κυκλοφόρησε τον Μάρτιο του 2021. Αυτή η έκδοση, κατά τη δημιουργία του seed της ψηφιακής ταυτότητας, χρησιμοποιούσε ένα λογισμικό αντί για έναν υλικό γεννήτορα τυχαίων αριθμών, με αποτέλεσμα τα ιδιωτικά κλειδιά να γίνονται ευάλωτα σε εκμετάλλευση. Η Galaxy Research επιβεβαίωσε τρεις περιπτώσεις κλοπών μετά τις 30 Ιουλίου, με συνολικές απώλειες σε κρυπτονομίσματα που ξεπερνούν τα 1,596 BTC, δηλαδή πάνω από 100 εκατομμύρια δολάρια. Εάν συμπεριληφθεί και η τέταρτη περίπτωση, στην οποία υπάρχουν υποψίες αλλά δεν έχει επιβεβαιωθεί η ταυτότητα των θυμάτων, τότε το συνολικό ποσό των ζημιών θα μπορούσε να φτάσει τα 130 εκατομμύρια δολάρια. Ο Alex Sohn, επικεφαλής έρευνας στην Galaxy Research, δήλωσε ότι, εκτός από την πρώτη περίπτωση, όλες οι υπόλοιπες περιπτώσεις αναγνωρίστηκαν μέσω αναφορών από τα θύματα, και ότι τουλάχιστον 15 διαφορετικοί εισβολείς χρησιμοποιούν αυτή την ευπάθεια. Η CoinKite, κατασκευάστρια εταιρεία των "cold card", έχει διαθέσει μια ενημερωμένη έκδοση του firmware και συνιστά στους χρήστες που έχουν επηρεαστεί να μεταφέρουν τα κεφάλαιά τους χρησιμοποιώντας ένα νέο seed. Η παρούσα υπόθεση αποτελεί το πιο πρόσφατο παράδειγμα μιας επίθεσης phishing που στοχεύει χρήστες ψηφιακών πορτοφολιών. Τον Φεβρουάριο του τρέχοντος έτους, πραγματοποιήθηκε μια εκστρατεία μέσω φυσικού ταχυδρομείου που στόχευε χρήστες των Trezor και Ledger, η οποία περιλάμβανε ολογράμματα και πλαστογραφημένες υπογραφές στελεχών. Τον Απρίλιο, μια πλαστογραφημένη εφαρμογή Ledger κατάφερε να αποσπάσει εκατομμύρια δολάρια, ενώ τον Μάρτιο, μια ψεύτικη καταχώρηση στο GitHub χρησιμοποιήθηκε για να παραπλανήσει προγραμματιστές σε έναν κακόβουλο ιστότοπο. Η Galaxy Research προειδοποιεί ότι η ευπάθεια στα "cold cards" εξακολουθεί να υφίσταται και καλεί τους κατόχους να μεταφέρουν άμεσα τα κεφάλαιά τους σε ένα νέο seed ή σε έναν αξιόπιστο διαχειριστή. Υπάρχει ανησυχία ότι, εφόσον η ευπάθεια δεν έχει επιλυθεί, η διάρκεια των επιθέσεων phishing ενδέχεται να παραταθεί.