Bedrägerier via Coldcard-krypteringsenheter har kostat över 130 miljoner dollar... Varning för nätfiskeattacker riktade mot Treasure och Foundation

Fler och fler nätfiskeattacker utnyttjar sårbarheter i Coldcard-firmware, vilket har lett till att hårdvaruplåtsföretagen Trezor och Foundation har utfärdat varningar till sina användare. Trezor har meddelat att antalet försök till nätfiske har ökat markant sedan säkerhetsincidenten, och betonat att säkerhetskopieringen av plånboken endast ska utföras direkt på enheten, samt att deras hårdvara i sig inte påverkas. Foundation har också uppmanat användarna att vara vaksamma, då e-postmeddelanden som utger sig för att komma från företaget sprids, och som leder till falska webbplatser och skadliga filer. Företaget betonar att de aldrig har begärt återställningsfraser eller instruerat användarna att installera programvara för att säkra sina plånböcker. Säkerhetsföretaget Proofpoint avslöjade den 3 augusti en sofistikerad nätfiskekampanj riktad mot användare av ColdCard. Angriparna skickar e-postmeddelanden med förfalskade ColdCard-adresser och uppmanar mottagarna att slutföra en "hårdvarukontroll". E-postmeddelandena leder till en klonad webbplats med en knapp märkt "Start Hardware Audit". Genom att klicka på knappen laddas ett batchfil ned från GitHub, vilket i sin tur installerar ScreenConnect, ett legitimt fjärråtkomstverktyg. Enligt Proofpoint gör detta det möjligt för angriparna att stjäla data och finansiella tillgångar, samt att distribuera skadlig programvara, inklusive ransomware. Proofpoint påpekar att en riktig person, och inte en bot, bemannar kundtjänstchattfönstret på den falska webbplatsen och guidar offren genom installationsprocessen, vilket de beskriver som en effektiv social ingenjörsteknik som utnyttjar användarnas säkerhetsoro. Sårbarheten härstammar från en firmware-version som släpptes i mars 2021. Denna version använde en mjukvarulösning istället för en hårdvarubaserad slumpgenerator vid generering av kryptonycklar, vilket resulterade i att de privata nycklarna blev förutsägbara. Galaxy Research har identifierat tre separata incidenter av stöld sedan den 30 juli, och uppskattar att de stulna tillgångarna uppgår till 1 596 BTC, vilket överstiger 100 miljoner dollar. Om man inkluderar en fjärde incident där misstanke finns om stöld men där offren ännu inte har identifierats, kan de totala förlusterna uppgå till 130 miljoner dollar. Alex Sohn, chef för forskning på Galaxy Research, uppgav att alla incidenter förutom den första identifierades genom rapporter från de drabbade, och att minst 15 olika angripare för närvarande utnyttjar denna sårbarhet. Tillverkaren av Cold Card, CoinKite, har släppt en uppdaterad firmware och rekommenderar att de drabbade användarna flyttar sina tillgångar till nya, genererade nycklar. Denna senaste händelse är ett nytt exempel på ett nätfiskeangrepp som riktar sig mot användare av hårdvaruplånböcker. I februari i år genomfördes en fysisk kampanj via post som riktade sig mot användare av Trezor och Ledger, och som innehöll hologram och förfalskade underskrifter från ledande befattningshavare. I april stals miljontals dollar genom en förfalskad Ledger-app, och i mars förekom attacker där utvecklare lurades till en falsk webbplats via falska GitHub-anmälningar. Galaxy Research uppmanar innehavare att omedelbart flytta sina tillgångar till en ny seed eller en förvaringslösning, eftersom sårbarheten i Coldcard-plånböckerna fortfarande är aktiv. Det är oroande att phishingkampanjerna kan fortsätta under lång tid om sårbarheten inte åtgärdas.