Трейдери мем-коїнів стали мішенню фішингових сторінок, замаскованих під екрани верифікації Cloudflare, причому один трейдер повідомив про втрату приблизно $600 000 після запуску шкідливого скрипту.

Звіти ринку від 16 вересня повідомили, що кілька популярних сторінок мем-коїнів перенаправляли відвідувачів на фальшиві екрани верифікації, які інструктують їх виконувати команди на своїх комп'ютерах, дозволяючи запускати шкідливі скрипти та потенційно викрадати криптоактиви.

Криптотрейдер @cladzsol заявив, що втратив близько $600 000 у цьому інциденті, тоді як криптоакаунт @insidecalls попередив, що атака включала вебсайт, який показував фальшиву перевірку Cloudflare, перш ніж попросити користувача запустити корисне навантаження з правами адміністратора на Windows.

Цей метод відрізняється від багатьох атак з виснаженням гаманців, які покладаються на підключення користувачами гаманця та схвалення шкідливої блокчейн-транзакції. У цьому випадку фішингова сторінка намагається змусити жертву виконати код безпосередньо на комп'ютері.

Фішингові сторінки мем-коїнів використовують підроблені запити на верифікацію

Шкідливі посилання з'явилися через поля вебсайту, прикріплені до мем-коїнів. Трейдери, які сканують нещодавно запущені токени, можуть відкрити ці посилання під час дослідження проєкту, лише щоб потрапити на сторінку, створену так, щоб вона нагадувала легітимну перевірку Cloudflare.

Як тільки користувач дотримується інструкцій на сторінці, шкідливий скрипт може бути завантажений та виконаний на комп'ютері, згідно зі звітами.

Inside Calls описав подібну послідовність, обговорюючи втрату, понесену @cladzsol, кажучи, що фальшивий процес верифікації просить користувача запустити корисне навантаження адміністратора на Windows. Трейдер згодом заявив, що інцидент коштував йому $600 000.

Атака частково покладається на рутинну поведінку трейдерів мем-коїнів, які часто швидко переміщуються між сторінками токенів, соціальними акаунтами та вебсайтами проєктів у пошуках нещодавно запущених активів.

Деякі платформи відстеження токенів та агрегації торгівлі відображають інформацію вебсайту та соціальних мереж, отриману з метаданих токенів. Звіти про останню кампанію стверджують, що ці поля можуть бути змінені творцями токенів або людьми, які пізніше заявляють про контроль над присутністю спільноти проєкту.

Тому зловмисники можуть розмістити шкідливий вебсайт у полі, яке трейдери очікують містити офіційну домашню сторінку проєкту. Звіти викликали занепокоєння щодо затримок у перегляді посилань, відображених агрегаційними сервісами, такими як DexScreener, хоча жодних доказів, представлених у звітах, не свідчило про те, що сам DexScreener був скомпрометований.

Криптофішингові атаки все частіше використовують сторінки, що виглядають надійно

Остання кампанія слідує за кількома атаками, в яких знайомі вебсайти, бренди або онлайн-сервіси були скопійовані, щоб переконати криптокористувачів взаємодіяти зі шкідливим програмним забезпеченням.

У серпні трейдер Hyperliquid втратив близько $550 000 після натискання на спонсоровану рекламу Google, яка вела до підробленої версії децентралізованої торгової платформи. Фірма з безпеки блокчейну Salus пов'язала інфраструктуру, що стоїть за сайтом, з екосистемою виснажувача Inferno.

Крадіжка 13 серпня включала підроблений вебсайт Hyperliquid, який просувався через платні результати пошуку. Salus заявив, що інфраструктура включала шкідливі скрипти, генерацію команд схвалення, автоматичне виснаження, крос-ланцюгові вилучення та інструменти для консолідації викрадених коштів.

Crypto.news раніше повідомляв у липні, що сервіси виснаження гаманців зазвичай використовують підроблені вебсайти проєктів, шахрайські аірдропи, шкідливі посилання в соціальних мережах та підроблені сторінки токенів, щоб поставити користувачів перед небезпечними запитами на транзакції.

У цих атаках шкідливий сайт зазвичай просить жертву підключити гаманець і схвалити транзакцію або підпис. Схвалення може надати контрольованому зловмисником контракту дозвіл на передачу токенів без отримання початкової фрази або пароля гаманця.

Кампанія підробленого Cloudflare використовує інший маршрут, описаний у звітах від 16 вересня: жертвам доручається виконати скрипт на своїх комп'ютерах. Після того, як код виконується локально, атака більше не обмежується отриманням схвалення в ланцюгу через вебсайт.

Шкідливе програмне забезпечення стало ще одним шляхом до криптогаманців

Останні кампанії неодноразово поєднували фішинг зі шкідливим програмним забезпеченням, призначеним для збору інформації про гаманці та інших облікових даних з комп'ютерів.

Підроблений десктопний додаток Claude, виявлений у серпні, розповсюджував шкідливе програмне забезпечення RevStealer, здатне націлюватися на більш ніж 50 криптовалютних гаманців, за даними компанії з кібербезпеки Morphisec.

Шкідливе програмне забезпечення було приховано всередині програми, представленої як “Claude Opus 5 Free Desktop”. Morphisec заявив, що програма може збирати інформацію з криптогаманців, менеджерів паролів та веббраузерів на системах Windows, перш ніж надсилати викрадені записи до інфраструктури, контрольованої зловмисником.

Інша кампанія, розкрита в травні, використовувала шкідливі пакети розробників для націлювання на розробників криптовалют та штучного інтелекту. Платформа безпеки Socket ідентифікувала щонайменше 34 шкідливих пакети та 384 пов'язані версії в екосистемах програмного забезпечення npm, PyPI та Rust.

Socket заявив, що кампанія TrapDoor була розроблена для збору даних гаманців разом з токенами GitHub, хмарними обліковими даними, ключами API та доступом SSH.

Методи доставки відрізнялися, але обидві кампанії залежали від того, щоб жертви встановили або виконали програмне забезпечення, представлене як щось легітимне.

Трейдери мем-коїнів вже стикалися з подібними атаками шкідливого ПЗ

Торгівля мем-коїнами раніше надавала зловмисникам можливості для розповсюдження шкідливого програмного забезпечення, оскільки трейдери часто використовують сторонні інструменти, рекомендації в соціальних мережах та незнайомі вебсайти проєктів.

У серпні 2024 року агрегатор децентралізованих бірж Solana Jupiter попередив користувачів про шкідливе розширення Chrome під назвою Bull Checker після того, як кілька користувачів повідомили про виснаження своїх гаманців.

Розширення рекламувалося користувачам Solana як інструмент для перегляду власників мем-коїнів. Розслідування Jupiter виявило, що воно може модифікувати транзакції під час взаємодії з децентралізованими додатками та вставляти інструкції, які передавали токени на іншу адресу.

Окремий інцидент у листопаді 2024 року стосувався інвестора мем-коїна Gigachad, який повідомив про втрату $6,09 мільйона після натискання на фальшиве посилання для зустрічі в Zoom. Жертва заявила, що шкідливе програмне забезпечення було завантажено на ноутбук, після чого зловмисник виснажив три гаманці, що містили 95,27 мільйона токенів GIGA.

Onchain Lens заявив, що зловмисник пізніше продав викрадені токени за 11 759 SOL, що на той час коштувало приблизно $2,1 мільйона.

Звіти від 16 вересня радили трейдерам, які стикаються з імовірною сторінкою верифікації Cloudflare, що просить їх виконувати команди або скрипти, закривати сторінку, не взаємодіючи з нею.