Golpes de phishing envolvendo Coldcard resultam em perdas de 13 milhões de dólares; alerta sobre ataques de "treasure" e "foundation"

Com o aumento de ataques de phishing que exploram vulnerabilidades no firmware do Coldcard, as fabricantes de carteiras de hardware Trezor e Foundation emitiram alertas aos usuários. A Trezor afirmou que, após a divulgação do incidente de segurança, houve um aumento notável nas tentativas de phishing, e que o backup da carteira só deve ser feito no próprio dispositivo, ressaltando que seus hardwares não foram afetados. A Foundation também alertou que e-mails falsos estão sendo divulgados, imitando a empresa e direcionando os usuários para sites falsos e arquivos maliciosos, enfatizando que a empresa nunca solicitou frases de recuperação ou instruiu os usuários a instalar softwares para proteger a segurança da carteira. A empresa de segurança Proofpoint divulgou, em 3 de agosto, uma campanha de phishing específica direcionada a usuários do Coldcard. Os atacantes enviam e-mails com endereços Coldcard falsificados, solicitando que os usuários concluam uma "auditoria de hardware" e os direcionam para um site clonado com um botão "Iniciar Auditoria de Hardware". Ao clicar no botão, um arquivo em lote publicado no GitHub é baixado, que instala o ScreenConnect, uma ferramenta legítima de acesso remoto. A Proofpoint explicou que, por meio disso, os atacantes podem roubar dados e ativos financeiros, além de distribuir outros malwares. Em particular, a Proofpoint avaliou como uma técnica de engenharia social eficaz o fato de que um ser humano real, e não um bot, está presente no chat de atendimento ao cliente no site falso, guiando as vítimas passo a passo no processo de instalação. A origem da vulnerabilidade está em uma versão do firmware de março de 2021. Essa versão utilizava um fallback de software em vez de um gerador de números aleatórios de hardware para gerar a "seed" da carteira, o que, consequentemente, tornou a chave privada suscetível a adivinhação. A Galaxy Research confirmou três ondas de roubos desde 30 de julho, com um valor total de 1.596 BTC, ultrapassando 100 milhões de dólares. Estima-se que, incluindo a quarta onda, em que há suspeitas, mas as vítimas ainda não foram identificadas, o valor total das perdas possa chegar a 130 milhões de dólares. Alex Sohn, chefe de pesquisa da Galaxy Research, afirmou que, exceto a primeira onda, todas as outras foram identificadas por meio de relatos de vítimas, e que, atualmente, pelo menos 15 atacantes individuais estão explorando essa vulnerabilidade. A fabricante do Coldcard, CoinKite, divulgou uma versão do firmware corrigida e recomendou que os usuários afetados transferissem seus fundos para uma nova "seed". Este incidente é o mais recente exemplo de uma campanha de phishing direcionada a usuários de carteiras de hardware. Em fevereiro deste ano, uma campanha por correio com hologramas e assinaturas falsificadas de executivos foi direcionada a usuários da Trezor e Ledger. Em abril, um aplicativo Ledger falsificado roubou milhões de dólares, e em março, houve um ataque em que um falso problema do GitHub foi usado para atrair desenvolvedores para um site fraudulento. A Galaxy Research alertou que a vulnerabilidade do Coldcard ainda está ativa e instou os detentores a transferir seus fundos imediatamente para uma nova "seed" ou para uma custódia. A preocupação é que, enquanto a vulnerabilidade não for resolvida, a eficácia das campanhas de phishing poderá se prolongar.