Koldkortsjefring resulterte i tap på 130 millioner dollar… Advarsel om phishing-angrep rettet mot Treasure og Foundation

Etter en økning i phishing-angrep som utnytter sikkerhetshull i fastvaren til "cold wallet"-enheter, har både hardware-wallet-produsentene Trezor og Foundation sendt ut varsler til sine brukere. Trezor opplyste at antall phishing-forsøk har økt betydelig etter avsløringen av sikkerhetsbruddet, og understreket at sikkerhetskopier kun skal lagres direkte på enheten, og at deres egne hardware-enheter ikke er berørt. Foundation advarte også om at e-poster som utgir seg for å være fra selskapet, og som leder brukerne til falske nettsider og skadelig programvare, er i omløp. De understreket at selskapet aldri har bedt om gjenopprettingsfraser eller instruert brukere om å installere programvare for å sikre lommeboken. Sikkerhetsfirmaet Proofpoint avslørte 3. august en spesifikk phishing-kampanje rettet mot brukere av ColdCard. Angriperne sender e-poster med forfalskede ColdCard-adresser, og ber brukerne om å fullføre en "samarbeidsbasert maskinvarekontroll". E-posten leder brukeren til en klonet nettside med en knapp som heter "Start Hardware Audit". Når knappen klikkes, lastes en batchfil ned fra GitHub, og denne filen installerer deretter det legitime fjerntilgangsverktøyet ScreenConnect. Proofpoint forklarer at dette gir angriperen mulighet til å stjele data og finansielle ressurser, samt distribuere skadelig programvare som for eksempel ransomware. Spesielt bemerker Proofpoint at det i chatvinduet på den falske nettsiden ikke er en bot, men en ekte person som veileder offeret gjennom installasjonsprosessen, og beskriver dette som en effektiv sosial manipulasjonsteknikk som utnytter brukernes sikkerhetsbekymringer. Sårbarheten stammer fra en firmware-versjon som ble utgitt i mars 2021. Denne versjonen brukte en programvareløsning i stedet for en maskinvarebasert tilfeldig tallgenerator ved generering av lommebokfrø, noe som resulterte i at private nøkler kunne bli gjettet. Galaxy Research har registrert tre separate hendelser med tyveri siden 30. juli, og opplyser at det totale tapet av kryptovaluta er på 1596 BTC, som overstiger 100 millioner dollar. Inkludert en fjerde hendelse der det er mistanke om tyveri, men hvor ofrene ikke er bekreftet, kan det totale tapet anslås til 130 millioner dollar. Alex Sohn, leder for forskning i Galaxy Research, opplyste at alle hendelsene, bortsett fra den første, ble identifisert gjennom rapporter fra ofrene, og at minst 15 forskjellige angripere nå utnytter denne sårbarheten. Produsenten av "cold wallet"-enheter, CoinKite, har distribuert en oppdatert firmware og anbefaler berørte brukere å flytte midlene sine til en ny generert lommebok. Denne hendelsen er det nyeste eksempelet på en phishing-kampanje rettet mot brukere av hardware-lommebøker. I februar i år ble det gjennomført en fysisk postkampanje rettet mot brukere av Trezor og Ledger, som inneholdt hologrammer og falske underskrifter fra ledere. I april ble en falsk Ledger-app brukt til å stjele millioner av dollar, og i mars ble utviklere lokket til en falsk nettside gjennom en falsk GitHub-melding. Galaxy Research oppfordrer innehavere til å umiddelbart flytte midlene sine til en ny seed eller en forvaltningsinstitusjon, og påpeker at sårbarheten i Coldcard fortsatt er aktiv. Det er bekymringsfullt at phishing-kampanjene kan fortsette i lang tid, så lenge sårbarheten ikke er utbedret.