Ang mga nagte-trade ng meme coin ay naging target ng mga phishing page na nakabalatkayo bilang mga Cloudflare verification screen, kung saan isang trader ang nag-ulat ng pagkalugi ng humigit-kumulang $600,000 matapos magpatakbo ng isang malisyosong script.
Sinabi ng mga ulat sa merkado noong Setyembre 16 na ang ilang sikat na meme coin page ay nagre-redirect ng mga bisita sa mga pekeng verification screen na nagtuturo sa kanila na magpatupad ng mga command sa kanilang mga computer, na nagpapahintulot sa mga malisyosong script na tumakbo at posibleng magnakaw ng mga crypto asset.
Sinabi ng crypto trader na si @cladzsol na nawalan siya ng humigit-kumulang $600,000 sa insidente, habang binalaan ng crypto account na @insidecalls na ang atake ay kinasasangkutan ng isang website na nagpapakita ng pekeng Cloudflare check bago hingin sa user na patakbuhin ang isang payload na may administrator privileges sa Windows.
Ang pamamaraan na ito ay naiiba sa maraming wallet-draining attacks na umaasa sa mga user na ikonekta ang isang wallet at aprubahan ang isang malisyosong transaksyon sa blockchain. Sa kasong ito, sinusubukan ng phishing page na hikayatin ang biktima na direktang magpatupad ng code sa computer.
Ang mga malisyosong link ay lumitaw sa pamamagitan ng mga field ng website na nakakabit sa mga meme coin. Maaaring buksan ng mga trader na nagsusuri ng mga bagong-lunsad na token ang mga link na iyon habang nagsasaliksik ng isang proyekto, at mapunta sa isang page na idinisenyo upang magmukhang lehitimong Cloudflare verification check.
Kapag sinunod ng user ang mga tagubilin sa page, isang malisyosong script ang maaaring ma-download at maisagawa sa computer, ayon sa mga ulat.
Inilarawan ng Inside Calls ang isang katulad na pagkakasunod-sunod nang talakayin ang pagkalugi na dinanas ni @cladzsol, na nagsasabing ang pekeng proseso ng pagpapatunay ay humihingi sa user na magpatakbo ng isang administrator payload sa Windows. Sinabi ng trader kalaunan na ang insidente ay nagkakahalaga sa kanya ng $600,000.
Ang atake ay bahagyang umaasa sa nakagawiang pag-uugali ng mga nagte-trade ng meme coin, na madalas mabilis na lumipat sa pagitan ng mga token page, social account, at website ng proyekto habang naghahanap ng mga bagong-lunsad na asset.
Ang ilang mga platform ng pagsubaybay sa token at pag-aaggregate ng trading ay nagpapakita ng impormasyon sa website at social media na hinugot mula sa token metadata. Sinabi ng mga ulat sa pinakabagong kampanya na ang mga field na iyon ay maaaring baguhin ng mga gumawa ng token o ng mga taong nag-aangkin ng kontrol sa presensya ng komunidad ng isang proyekto.
Maaaring ilagay ng mga attacker ang isang malisyosong website sa isang field na maaaring asahan ng mga trader na naglalaman ng opisyal na homepage ng proyekto. Nagtaas ng mga alalahanin ang mga ulat tungkol sa mga pagkaantala sa pagrepaso ng mga link na ipinapakita ng mga serbisyo ng pag-aaggregate tulad ng DexScreener, bagaman walang ebidensya na ipinakita sa mga ulat na nagpapakita na ang DexScreener mismo ay nakompromiso.
Ang pinakabagong kampanya ay sumunod sa ilang atake kung saan kinopya ang mga pamilyar na website, brand, o online na serbisyo upang hikayatin ang mga user ng crypto na makipag-ugnayan sa malisyosong software.
Noong Agosto, isang Hyperliquid trader ang nawalan ng humigit-kumulang $550,000 matapos mag-click ng isang sponsored na advertisement sa Google na humantong sa isang huwad na bersyon ng decentralized trading platform. Ikinabit ng blockchain security firm na Salus ang imprastraktura sa likod ng site sa Inferno drainer ecosystem.
Ang pagnanakaw noong Agosto 13 ay kinasangkutan ng isang pekeng Hyperliquid website na ipinromote sa pamamagitan ng mga bayad na resulta ng paghahanap. Sinabi ng Salus na kasama sa imprastraktura ang mga malisyosong script, pagbuo ng command para sa pag-apruba, automated draining, cross-chain withdrawals, at mga tool para sa pagpapatatag ng mga ninakaw na pondo.
Nauna nang iniulat ng Crypto.news noong Hulyo na ang mga serbisyo ng wallet drainer ay karaniwang gumagamit ng mga pekeng website ng proyekto, mapanlinlang na airdrops, malisyosong link sa social media, at mga huwad na pahina ng token upang ilagay ang mga user sa harap ng mapanganib na mga kahilingan sa transaksyon.
Sa mga atakeng iyon, karaniwang hinihingi ng malisyosong site sa biktima na ikonekta ang isang wallet at aprubahan ang isang transaksyon o lagda. Ang pag-apruba ay maaaring magbigay ng pahintulot sa isang attacker-controlled na kontrata na maglipat ng mga token nang hindi nakukuha ang seed phrase o password ng wallet.
Ang pekeng kampanya ng Cloudflare ay gumagamit ng ibang ruta na inilarawan sa mga ulat noong Setyembre 16: inuutusan ang mga biktima na magpatupad ng isang script sa kanilang mga computer. Kapag tumatakbo na ang code nang lokal, ang atake ay hindi na limitado sa pagkuha ng on-chain na pag-apruba sa pamamagitan ng website.
Ang mga kamakailang kampanya ay paulit-ulit na pinagsama ang phishing sa malware na idinisenyo upang kolektahin ang impormasyon ng wallet at iba pang credentials mula sa mga computer.
Isang pekeng Claude desktop application na natuklasan noong Agosto ay nagpakalat ng RevStealer malware na may kakayahang i-target ang higit sa 50 cryptocurrency wallet, ayon sa cybersecurity company na Morphisec.
Ang malware ay nakatago sa loob ng isang application na ipinakita bilang “Claude Opus 5 Free Desktop.” Sinabi ng Morphisec na ang programa ay maaaring mangolekta ng impormasyon mula sa mga crypto wallet, password manager, at web browser sa mga Windows system bago ipadala ang mga ninakaw na record sa imprastraktura na kontrolado ng attacker.
Isang kampanya pa na isiniwalat noong Mayo ang gumamit ng malisyosong developer packages upang i-target ang mga developer ng cryptocurrency at artificial intelligence. Kinilala ng security platform na Socket ang hindi bababa sa 34 na malisyosong package at 384 na kaugnay na bersyon sa buong npm, PyPI, at Rust software ecosystem.
Sinabi ng Socket na ang kampanya ng TrapDoor ay idinisenyo upang kolektahin ang data ng wallet kasama ang mga GitHub token, cloud credentials, API key, at SSH access.
Magkaiba ang mga paraan ng paghahatid, ngunit parehong kampanya ang umasa sa pagkuha ng mga biktima na mag-install o magpatupad ng software na ipinakita bilang lehitimo.
Ang pag-trade ng meme coin ay dati nang nagbigay sa mga attacker ng mga oportunidad na magpakalat ng malisyosong software dahil madalas gumagamit ang mga trader ng mga third-party na tool, rekomendasyon sa social media, at hindi pamilyar na website ng proyekto.
Noong Agosto 2024, binalaan ng Solana decentralized exchange aggregator na Jupiter ang mga user tungkol sa isang malisyosong Chrome extension na tinatawag na Bull Checker matapos mag-ulat ang ilang user na na-drain ang kanilang mga wallet.
Ang extension ay ipinromote sa mga user ng Solana bilang isang tool para sa pagtingin ng mga may hawak ng meme coin. Natuklasan ng imbestigasyon ng Jupiter na maaari nitong baguhin ang mga transaksyon sa panahon ng interaksyon sa mga decentralized application at maglagay ng mga instruksyon na naglilipat ng mga token sa ibang address.
Isang hiwalay na insidente noong Nobyembre 2024 ay kinasangkutan ng isang Gigachad meme coin investor na nag-ulat ng pagkalugi ng $6.09 milyon matapos mag-click ng pekeng link ng Zoom meeting. Sinabi ng biktima na na-download ang malware sa laptop, pagkatapos nito ay inubos ng attacker ang tatlong wallet na naglalaman ng 95.27 milyong GIGA token.
Sinabi ng Onchain Lens na ibinenta ng attacker kalaunan ang mga ninakaw na token sa halagang 11,759 SOL, na nagkakahalaga ng humigit-kumulang $2.1 milyon noong panahong iyon.
Pinayuhan ng mga ulat noong Setyembre 16 ang mga trader na nakatagpo ng diumano’y Cloudflare verification page na humihingi sa kanila na magpatupad ng mga command o script na isara ang page nang hindi nakikipag-ugnayan dito.
GIGA
SOL