"Cold Card" dolandırıcılığı sonucu 130 milyon dolarlık kayıp... "Treasure" ve "Foundation" isimli sahte sitelerle ilgili dikkatli olunma uyarısı

Soğuk cüzdan (cold card) yazılımındaki güvenlik açıklarından yararlanılarak yapılan kimlik avı saldırıları hızla artıyor. Bu durum üzerine, donanım cüzdanı üreticileri Trezor ve Foundation, kullanıcıları uyarmak için arka arkaya açıklamalar yaptı. Trezor, güvenlik ihlali sonrası kimlik avı girişimlerinin belirgin şekilde arttığını belirterek, cüzdan yedeklerinin yalnızca cihazın kendisinde girilmesi gerektiğini ve kendi donanımlarının bundan etkilenmediğini açıkladı. Foundation ise, şirketi taklit ederek sahte web sitelerine ve kötü amaçlı dosyalara yönlendiren e-postaların dolaşıma girdiğini duyurdu ve şirketin, kurtarma ifadesi talep etmediğini veya cüzdan güvenliği için herhangi bir yazılım kurulumu talep etmediğini vurguladı. Güvenlik şirketi Proofpoint, 3 Ağustos'ta soğuk cüzdan kullanıcılarını hedef alan belirli bir kimlik avı kampanyasını kamuoyuyla paylaştı. Saldırganlar, sahte soğuk cüzdan adresleriyle e-postalar göndererek, "işbirliği donanım denetimini" tamamlamalarını istiyor ve "Start Hardware Audit" (Donanım Denetimini Başlat) düğmesi bulunan bir klon web sitesine yönlendiriyor. Bu düğmeye tıklanınca, GitHub'a yüklenen bir betik dosyası indiriliyor ve bu dosya aracılığıyla, normal bir uzaktan erişim aracı olan ScreenConnect kuruluyor. Proofpoint, bunun saldırganların verilere ve finansal varlıklara erişmesini, fidye yazılımı gibi diğer kötü amaçlı yazılımları dağıtmasını sağladığını belirtiyor. Özellikle, sahte web sitesindeki müşteri destek sohbet penceresinde, gerçek bir kişi (bot değil) bulunuyor ve bu kişi, mağdurları adım adım kurulum sürecinde yönlendiriyor. Proofpoint, bunun kullanıcıların güvenlik endişelerinden faydalanan etkili bir sosyal mühendislik yöntemi olduğunu değerlendiriyor. Güvenlik açığının kökeni, 2021 yılının Mart ayındaki bir yazılım sürümüne dayanıyor. Bu sürüm, cüzdan tohumunu (seed) oluştururken, donanım rastgele sayı üreteci yerine bir yazılım çözümü kullanıyordu. Bu durum, sonuç olarak özel anahtarların tahmin edilebilir hale gelmesine yol açtı. Galaxy Research, 30 Temmuz'dan sonra gerçekleşen üç ayrı hırsızlık olayını tespit ettiğini ve yüksek güvenilirlikli kayıp miktarının 1.596 BTC olduğunu, bu miktarın 100 milyon doları aştığını belirtti. Doğrulanmamış ancak mağdurların tespit edilemediği dördüncü bir olayın da dahil edilmesi durumunda, toplam zararın 130 milyon dolara ulaşabileceği tahmin ediliyor. Galaxy Research Araştırma Başkanı Alex Sohn, ilk olayı hariç, diğer tüm olayların mağdurların bildirimleri sayesinde tespit edildiğini ve şu anda en az 15 ayrı saldırganın bu güvenlik açığından yararlandığını söyledi. Soğuk cüzdan üreticisi CoinKite, düzeltilmiş bir yazılım sürümü yayınladı ve etkilenen kullanıcıların, yeni oluşturulan tohumlarıyla (seed) fonlarını taşımalarını önerdi. Bu olay, donanım cüzdanı kullanıcılarını hedef alan kimlik avı saldırılarının en son örneği. Bu yılın Şubat ayında, Trezor ve Ledger kullanıcılarına yönelik, hologramlar ve sahte yönetici imzaları içeren fiziksel posta kampanyaları düzenlenmişti. Nisan ayında, sahte bir Ledger uygulaması milyonlarca doların çalınmasına neden olmuş, Mart ayında ise sahte bir GitHub bildirimi aracılığıyla geliştiriciler, sahte bir web sitesine yönlendirilmişti. Galaxy Research, soğuk cüzdan güvenlik açığının hala devam ettiğini ve kullanıcıların fonlarını yeni bir tohumla (seed) veya bir saklama kuruluşu (custodial service) aracılığıyla derhal aktarmalarını önerdi. Güvenlik açığının giderilmemesi, kimlik avı kampanyalarının etkili olma süresinin uzaması riskini de beraberinde getiriyor.