Atacul cibernetic asupra sistemului Coldcard a cauzat pierderi de 13 milioane de dolari... Avertisment privind tentativele de phishing prin intermediul Treasure și Foundation

Atacul de tip phishing, care exploatează vulnerabilitățile firmware-ului dispozitivelor de stocare criptomonede, a crescut semnificativ, determinând companiile Trezor și Foundation, producători de portofele hardware, să emită alerte pentru utilizatori. Trezor a declarat că, de la publicarea incidentului de securitate, au fost observate tentative de phishing în mod vizibil mai numeroase, subliniind că backup-ul portofelului trebuie efectuat doar pe dispozitivul propriu și că produsele hardware ale companiei nu sunt afectate. De asemenea, Foundation a avertizat că sunt distribuite e-mailuri care imită compania, direcționând utilizatorii către site-uri false și fișiere malițioase, și a subliniat că aceasta nu a solicitat niciodată fraze de recuperare sau nu a instruit utilizatorii să instaleze software pentru a-și securiza portofelul. Compania de securitate Proofpoint a dezvăluit, pe 3 august, o campanie de phishing specifică, vizând utilizatorii de ColdCard. Atacatorii trimit e-mailuri cu adrese ColdCard falsificate, solicitând utilizatorilor să finalizeze o „verificare a hardware-ului” și îi direcționează către un site clonat, care conține un buton intitulat „Start Hardware Audit”. Apăsarea butonului determină descărcarea unui fișier batch încărcat pe GitHub, care, la rândul său, instalează ScreenConnect, un instrument legitim de acces la distanță. Proofpoint a explicat că, prin această metodă, atacatorii pot accesa date și active financiare, pot distribui ransomware și alte programe malware. În mod special, în fereastra de chat cu clienții de pe site-ul fals, se află o persoană reală, nu un bot, care ghidează victimele pas cu pas prin procesul de instalare. Proofpoint a evaluat această practică ca fiind o tehnică de inginerie socială eficientă, care exploatează insecuritatea utilizatorilor în materie de securitate. Vulnerabilitatea are la origine o versiune a firmware-ului din martie 2021. Această versiune utiliza un generator de numere aleatorii software în loc de un generator hardware atunci când crea cheia de acces la portofel, ceea ce a dus la posibilitatea ca cheile private să fie ghicite. Galaxy Research a constatat trei valuri de furturi începând cu 30 iulie, iar pierderile confirmate se ridică la 1.596 BTC, depășind 100 de milioane de dolari. Inclusiv un al patrulea val de furturi, despre care se suspectează, dar a căror confirmare nu a fost încă obținută, se estimează că pierderile totale ar putea ajunge la 130 de milioane de dolari. Alex Sohn, directorul de cercetare de la Galaxy Research, a declarat că, cu excepția primului val, toate celelalte au fost identificate prin rapoartele victimelor, și că cel puțin 15 atacatori individuali exploatează în prezent această vulnerabilitate. Producătorul de dispozitive Coldcard, CoinKite, a distribuit o versiune actualizată a firmware-ului și recomandă utilizatorilor afectați să își transfere fondurile folosind o nouă cheie de acces generată. Această situație este un exemplu recent al unei campanii de phishing îndreptată împotriva utilizatorilor de portofele hardware. În luna februarie a acestui an, a avut loc o campanie prin poștă, care viza utilizatorii Trezor și Ledger, incluzând holograme și semnături falsificate ale directorilor. În luna aprilie, o aplicație Ledger falsă a furat milioane de dolari, iar în luna martie, un atac a folosit un "issue" fals pe GitHub pentru a atrage dezvoltatorii către un site web malițios. Galaxy Research a avertizat că vulnerabilitatea portofelelor "cold card" persistă și a îndemnat deținătorii să își transfere imediat fondurile către o nouă cheie sau către un custode. Se tem că, atâta timp cât vulnerabilitatea nu este rezolvată, durata campaniilor de phishing ar putea fi prelungită.