Каждый месяц директор по безопасности MetaMask Люкер рассказывает о последних криптоатаках и новых угрозах, о которых вам необходимо знать.
Декабрь 2024 года наглядно показал одно: мошенники не берут отпуск на праздники. Хакеры начали отравлять обучающие данные ИИ, чтобы подсовывать разработчикам вредоносный криптокод, группировка Lazarus продолжала использовать LinkedIn как биржу труда из преисподней, а библиотека @solana/web3.js для Solana подверглась атаке на цепочку поставок, нацеленной на приватные ключи. Тем временем потери от взлома LastPass превысили $250 миллионов — спустя два года после первоначального инцидента, — а WallStreetBets лишился $2,2 миллиона в мем-коинах после компрометации их аккаунта в X. На фронте проактивной безопасности Immunefi запустила Ethereum Protocol Attackathon с призовым фондом в $1,5 миллиона, а Люкер выступила на сцене Devcon SEA, разобрав механизмы социальной инженерии на всех уровнях угроз. Подробности — ниже, но сначала...
Выдающийся пионер STEM: Клиффорд Столл — «безумный учёный, написавший книгу об охоте на хакеров»
Клиффорд Столл, известный как «безумный учёный, написавший книгу об охоте на хакеров», позирует в своей мастерской в Калифорнии.
Социальная инженерия в криптоугрозах: «разделка свиньи», дрейнеры кошельков, мошенничество с вакансиями и многое другое
Если вы пропустили: Люкер дала обзор того, как социальная инженерия применяется скрипт-кидди, криминальными картелями и группировками класса APT. Узнайте, как грабят пользователей, какими способами обманывают криптокомпании и разработчиков, и познакомьтесь с коварными схемами «разделки свиньи», которые не дают ей спать по ночам. Приятного просмотра! (PS — «Разделка свиньи» — это давняя криптомошенническая схема, при которой злоумышленники выстраивают отношения с жертвой на протяжении недель или месяцев: завоёвывают доверие, имитируют близость, демонстрируют поддельную доходность — и в итоге убеждают перевести средства на платформу, которую контролируют сами мошенники. Термин отсылает к идее «откармливания» жертвы перед финальной кражей. Ни одна свинья при этом не пострадала. Жертвами этих схем являются люди.)
Realm'ы одного происхождения и Realms-Initialization-Control для повышения безопасности браузерных расширений
Realm'ы одного происхождения — это механизм, позволяющий браузерам безопасно выполнять скрипты и изолировать различные веб-страницы, поступающие из одного источника. Они особенно полезны для повышения безопасности при работе со встроенным контентом — например, с iframe — или при загрузке ненадёжных скриптов.
Статья Гала Вейцмана исследует, как разработчики могут использовать эти realm'ы для создания более безопасных и эффективных веб-приложений. Он выделяет Realms-Initialization-Control (RIC) — механизм, который позволит разработчикам управлять инициализацией скриптов, добавляя дополнительный уровень защиты. Это помогает предотвращать распространённые веб-уязвимости и делает приложения более надёжными. Задача состоит в том, чтобы найти баланс между безопасностью и удобством разработки, однако подобные достижения прокладывают путь к более защищённому вебу.
Группировка Lazarus использует предложения о работе в LinkedIn и фиктивные личности, чтобы похитить $2 миллиона у сотрудника криптокомпании
Тейлор Монахан недавно рассказала о том, как связанная с КНДР группировка Lazarus применяет изощрённые тактики социальной инженерии: выходит на сотрудников через социальные сети или мессенджеры, направляет их к репозиториям на GitHub под предлогом предложений о работе или технической помощи и компрометирует личные устройства для получения доступа к корпоративной инфраструктуре.
В одном реальном случае устройство сотрудника было скомпрометировано после взаимодействия с фиктивным аккаунтом в LinkedIn. Злоумышленник поддерживал общение и даже выплачивал сотруднику вознаграждение в криптовалюте, чтобы завоевать доверие, — а затем воспользовался полученным доступом и похитил более $2 миллионов.
В качестве дополнения MetaMask опубликовал понятный список признаков, на которые стоит обращать внимание при получении сообщений от незнакомцев в сети.
Модели безопасности даркнет-маркетплейсов и принципы нулевого доверия для пользователей криптовалют
Эван Боэс описывает, как даркнет обеспечивает анонимность и имеет легитимные применения, однако при этом полон рисков — мошенничество, вредоносное ПО и проблемы с доверием здесь в порядке вещей. Анонимные продавцы могут исчезнуть в середине сделки, вредоносные ссылки встречаются повсюду, а одна ошибка способна раскрыть вашу личность.
Чтобы оставаться в безопасности, используйте такие инструменты, как Tor, соблюдайте правила криптогигиены и придерживайтесь принципа нулевого доверия.
Ethereum Protocol Attackathon запущен с призовым фондом в $1,5 миллиона
Attackathon от Immunefi официально стартовал. Соревнование продлится до 20 января 2025 года и представляет собой масштабный краудсорсинговый аудит безопасности, цель которого — укрепить защиту протокола Ethereum. К участию приглашаются как профессиональные аудиторские компании, так и независимые исследователи безопасности, которые будут бороться за призовой фонд в размере $1 500 000.
Библиотека @solana/web3.js для Solana скомпрометирована в результате атаки на цепочку поставок, нацеленной на приватные ключи
Что произошло
Solana подверглась атаке на цепочку поставок, направленной против широко используемой npm-библиотеки @solana/web3.js с целью компрометации приватных ключей и хищения средств. Вредоносные версии — 1.95.6 и 1.95.7 — были кратковременно доступны 2 декабря 2024 года, после чего оперативно удалены из обращения.
Предполагается, что злоумышленники получили доступ с помощью фишинга и успешно внедрили вредоносный код в библиотеку. Этот код был разработан для эксфильтрации приватных ключей на сервер под контролем атакующих — sol-rpc[.]xyz, — зарегистрированный всего за несколько дней до взлома. Исследователь облачной безопасности Кристоф Тафани-Дерепер обнаружил в пакете бэкдор-функцию под названием «addToQueue», которая целенаправленно перехватывала операции, связанные с ключами.
Как пользователи могут защитить себя
В ответ на атаку Solana Labs совместно с экспертами по безопасности выпустила рекомендации для разработчиков, которые могли использовать скомпрометированные версии библиотеки. Они включают: проведение тщательного аудита зависимостей для выявления использования вредоносных версий, немедленное обновление до безопасной версии 1.95.8, а также ротацию ключей там, где есть подозрение на компрометацию.
Отравление кода ИИ: мошенники внедряют вредоносный криптокод в обучающие данные ИИ
Что произошло
Мошенники теперь атакуют обучающие данные ИИ, внедряя вредоносный криптокод для эксплуатации пользователей. В данном случае код предусматривал отправку приватного ключа через API, рекомендованный @OpenAI. Мошенничество было реализовано молниеносно: активы пользователя были выведены в кошелёк злоумышленника в течение 30 минут после начала использования API.
Как пользователи могут защитить себя
Этот инцидент подчёркивает критическую необходимость осторожности при использовании кода, сгенерированного ИИ, — особенно в криптосфере. Всегда перепроверяйте рекомендации ИИ, чтобы убедиться в легитимности предлагаемых сайтов и API. При экспериментах с новыми инструментами или кодом используйте тестовые кошельки с минимальным балансом — это снизит потенциальные потери в случае ошибок или уязвимостей. Кроме того, следите за актуальными схемами мошенничества: будьте в курсе распространённых тактик и известных вредоносных ресурсов в криптосообществе.
Аккаунт WallStreetBets в X взломан: похищено мем-коинов на $2,2 миллиона в сети Solana
Что произошло
В результате серьёзного взлома аккаунта WallStreetBets в X хакеры похитили мем-коины на сумму свыше $2,2 миллиона в блокчейне Solana. Эксплойт, выявленный блокчейн-детективом ZachXBT, был связан с уязвимостью в мобильном приложении X. Среди похищенных активов — 1 430 000 токенов PNUT, 400 000 токенов ZEREBRO и 130 000 токенов ALCH. Хакеры добавили passkey-ключи для управления аккаунтом WallStreetBets даже после того, как сам WallStreetBets отозвал их доступ.
Как пользователи могут защитить себя
Если вы встречаете в социальных сетях ссылки, активно продвигающие какой-либо новый токен, найдите минуту, чтобы оценить их легитимность, прежде чем переходить по ним. Такие ссылки бывают очень соблазнительными — они обещают значительную прибыль и эксклюзивную возможность войти на раннем этапе, — но именно так люди и становятся жертвами. Проверяйте, куда ведут эти ссылки, и проводите должную проверку для подтверждения легитимности обещанного.
Взлом LastPass продолжает давать о себе знать: $5,36 миллиона похищено из 40 кошельков, общие потери превысили $250 миллионов
Что произошло
ZachXBT раскрыл масштабную кражу криптовалюты, организованную «угрозой LastPass»: потери составили около $5,36 миллиона с более чем 40 адресов жертв. Этот взлом, связанный с инцидентом в декабре 2022 года, когда LastPass сообщил о несанкционированном доступе к зашифрованным данным хранилища, в совокупности привёл к потерям в криптовалюте на сумму свыше $250 миллионов. Злоумышленники целенаправленно атаковали пользователей, хранивших приватные ключи или секретные фразы восстановления (SRP) в хранилищах LastPass, эксплуатируя уязвимости централизованного хранения.
Как пользователи могут защитить себя
Регулярные аудиты: периодически проверяйте, где и как хранятся ваши цифровые активы. Убедитесь, что используемые вами решения для хранения соответствуют высочайшим стандартам безопасности.
Безопасное хранение: избегайте хранения приватных ключей или SRP в централизованных менеджерах паролей. Для конфиденциальной информации рассмотрите использование аппаратных кошельков или других защищённых методов офлайн-хранения.
Немедленные действия: если вы использовали LastPass для хранения каких-либо криптоданных, рассмотрите возможность перевода активов в новый кошелёк и смены владельца любых контрактов или мультисиг-кошельков в качестве меры предосторожности.
Будьте в курсе событий: следите за авторитетными экспертами и платформами в области кибербезопасности, чтобы получать актуальную информацию об угрозах и лучших практиках защиты активов.
Декабрьский отчёт MetaMask о безопасности в криптосфере за 2024 год охватил: отравление кода ИИ, направленное против криптодевелоперов через манипуляции с обучающими данными; использование группировкой Lazarus поддельных предложений о работе в LinkedIn для хищения $2 миллионов; атаку на цепочку поставок библиотеки @solana/web3.js для Solana; а также потери от взлома LastPass, превысившие $250 миллионов. Просматривайте предыдущие выпуски MetaMask Crypto Security Report, чтобы узнавать об угрозах, тенденциях и советах по безопасности в экосистеме.
