Hakerski napad na Coldcard rezultirao gubitkom od 130 miliona dolara... Upozorenje o prevarama putem lažnih mejlova i sajtova koji imitiraju kompanije Treasure i Foundation

U poslednje vreme je došlo do naglog porasta phishing napada koji iskorišćuju ranjivosti u firmveru Cold Card uređaja, zbog čega su proizvođači hardverskih novčanika, Trezor i Foundation, izdali upozorenja korisnicima. Kompanija Trezor je saopštila da je nakon objave o incidentu došlo do vidljivog povećanja pokušaja phishinga, i naglasila da se kopije novčanika treba unositi isključivo na samom uređaju, te da njihovi hardverski uređaji nisu direktno pogođeni. Kompanija Foundation je takođe upozorila korisnike da se šire e-mail poruke koje imitiraju njihovu kompaniju, sa ciljem da korisnike preusmere na lažne sajtove i zaraze zlonamernim fajlovima, i istakla da oni nikada ne traže fraze za oporavak niti instrukcije za instalaciju softvera u cilju zaštite novčanika. Bezbednosna kompanija Proofpoint je 3. avgusta objavila detalje o specifičnoj prevari (phishing kampanji) usmerenoj na korisnike ColdCard uređaja. Napadači šalju lažne e-poruke koje imitiraju adrese ColdCard, zahtevajući od korisnika da završe "inspekciju hardvera" i vode ih na klonovani sajt sa dugmetom "Start Hardware Audit". Klikom na dugme, korisnik preuzima batch fajl koji je postavljen na GitHubu, a koji zatim instalira legitimni alat za udaljeni pristup, ScreenConnect. Prema Proofpointu, na ovaj način napadači mogu da ukradu podatke i finansijske resurse, kao i da distribuiraju dodatni zlonamerni softver, uključujući ransomware. Posebno, u chat prozoru na lažnom sajtu, umesto bota, nalazi se pravi čovek koji korak po korak vodi žrtvu kroz proces instalacije, što Proofpoint ocenjuje kao efikasan socijalni inženjering koji iskorišćuje sigurnosnu nesigurnost korisnika. Ranjivost je nastala zbog verzije firmvera iz marta 2021. Ta verzija je, prilikom generisanja ključeva za novčanik, umesto hardverskog generatora slučajnih brojeva koristila softversko rešenje, što je rezultiralo time da su privatni ključevi postali predvidivi. Kompanija Galaxy Research je registrovala tri talasa krađa nakon 30. jula, a ukupni iznos ukradenih sredstava u visokopouzdanim transakcijama iznosi 1.596 BTC, što premašuje 100 miliona dolara. Ako se uzme u obzir i četvrti talas, za koji se sumnja da je povezan, ali za koji još nisu potvrđeni identiteti žrtava, ukupna šteta bi mogla da iznosi 130 miliona dolara. Aleks Son, šef istraživanja u Galaxy Research, je izjavio da su svi talasi, osim prvog, otkriveni zahvaljujući prijavama žrtava, i da trenutno najmanje 15 pojedinačnih napadača koristi ovu ranjivost. Proizvođač uređaja za hladno skladištenje kriptovaluta, CoinKite, je objavio ažurirani firmware i preporučio korisnicima koji su pogođeni da prebace sredstva na novokreirane ključeve. Ovaj incident je najnoviji primer phishing napada usmerenih na korisnike hardverskih novčanika. Još u februaru ove godine, sprovedena je kampanja putem fizičke pošte, koja je ciljala korisnike Trezor i Ledger novčanika, a uključivala je holograme i falsifikovane potpise direktora. U aprilu, falsifikovana Ledger aplikacija je ukrala milione dolara, a u martu je izvršen napad u kojem su se prevaranti predstavljali kao programeri putem lažnih GitHub obaveštenja, kako bi prevarili korisnike da posete lažne veb stranice. Kompanija Galaxy Research je upozorila da su ranjivosti hardverskih novčanika još uvek prisutne i apelovala na korisnike da odmah prebace sredstva na novi seed ili na pouzdanu treću stranu. Postoji zabrinutost da će, sve dok se ove ranjivosti ne reše, phishing kampanje moći da traju duže.