Colpo informatico ai sistemi Coldcard: perdite per 130 milioni di dollari... Avviso di phishing riguardante Treasure e Foundation

A seguito di un aumento significativo degli attacchi di phishing che sfruttano le vulnerabilità del firmware dei "cold card", i produttori di hardware wallet, Trezor e Foundation, hanno emesso ripetutamente avvisi agli utenti. Trezor ha dichiarato che, a seguito della divulgazione dell'incidente di sicurezza, i tentativi di phishing sono aumentati notevolmente, sottolineando che il backup del wallet deve essere effettuato esclusivamente sul dispositivo stesso e che i propri hardware non sono direttamente interessati. Foundation ha inoltre avvertito che sono in circolazione email che impersonano l'azienda, reindirizzando gli utenti a siti web falsi e file dannosi, e ha ribadito che l'azienda non ha mai richiesto frasi di recupero o istruito gli utenti a installare software per proteggere il loro wallet. La società di sicurezza Proofpoint ha rivelato, il 3 agosto, una specifica campagna di phishing mirata agli utenti di cold card. Gli attaccanti inviano email con indirizzi cold card contraffatti, richiedendo agli utenti di completare un "audit hardware" e reindirizzandoli a un sito web clonato con un pulsante "Avvia audit hardware". Cliccando su questo pulsante, viene scaricato un file batch caricato su GitHub, che a sua volta installa ScreenConnect, un software di accesso remoto legittimo. Proofpoint ha spiegato che, attraverso questo processo, gli attaccanti possono rubare dati e asset finanziari, nonché distribuire malware aggiuntivo. In particolare, all'interno del sito web falso, una finestra di chat per l'assistenza clienti è gestita da una persona reale, non da un bot, che guida le vittime attraverso il processo di installazione, il che, secondo Proofpoint, è una tecnica di social engineering efficace che sfrutta le preoccupazioni degli utenti in materia di sicurezza. L'origine della vulnerabilità risale al firmware del marzo 2021. Questa versione utilizzava un software fallback invece di un generatore di numeri casuali hardware per creare la "seed" del wallet, rendendo di fatto la chiave privata prevedibile. Galaxy Research ha rilevato tre ondate di furti a partire dal 30 luglio, con una perdita di fondi di elevata affidabilità pari a 1.596 BTC, superando i 100 milioni di dollari. Includendo una quarta ondata sospetta, ma con vittime non ancora confermate, le perdite totali potrebbero raggiungere i 130 milioni di dollari. Alex Sohn, responsabile della ricerca di Galaxy Research, ha affermato che, ad eccezione della prima ondata, tutte le altre sono state identificate grazie alle segnalazioni delle vittime, e che attualmente almeno 15 attaccanti diversi stanno sfruttando questa vulnerabilità. Il produttore di cold card, CoinKite, ha distribuito un firmware corretto e ha raccomandato agli utenti interessati di trasferire i propri fondi utilizzando una nuova "seed". Questo incidente rappresenta l'ultimo esempio di una campagna di phishing mirata agli utenti di hardware wallet. Nel febbraio di quest'anno, Trezor e Ledger sono stati presi di mira da una campagna di posta tradizionale che includeva ologrammi e firme contraffatte di dirigenti. Ad aprile, un'app Ledger contraffatta ha sottratto milioni di dollari, e a marzo c'è stato un attacco in cui un falso problema su GitHub veniva utilizzato per attirare gli sviluppatori su un sito web fasullo. Galaxy Research ha sottolineato che la vulnerabilità di cold card è ancora attiva e ha esortato i possessori a trasferire immediatamente i propri fondi a una nuova "seed" o a un servizio di custodia. La persistenza della vulnerabilità solleva preoccupazioni sulla potenziale durata delle campagne di phishing.