Каждый месяц директор по безопасности MetaMask Лукер рассказывает о последних криптоатаках и новых угрозах, о которых вам необходимо знать.
Февраль 2025 года прошёл под знаком одного события: взлом Bybit на $1,4 миллиарда — крупнейший в истории блокчейна, официально приписанный группировке Lazarus Group ФБР. Всё началось со взломанного рабочего компьютера разработчика Safe{Wallet}. Но это был не единственный инцидент: северокорейский разработчик, внедрившийся в команду торгового бота Solareum, похитил $1,4 миллиона в SOL; вредоносное ПО SparkCat с функцией OCR начало сканировать фотогалереи на устройствах iOS и Android в поисках фраз для восстановления кошельков; появилась новая схема мошенничества через Zoom, направленная против пользователей криптовалют с использованием поддельных встреч. Среди позитивных новостей: операция ФБР Level Up позволила вернуть $285 миллионов и спасла 4 300 человек от мошенничества по схеме «разделка свиньи», а LavaMoat получил признание в области безопасности браузерных расширений накануне SECCON 2025 в Токио. Подробности — ниже, но сначала...
Выдающийся деятель STEM: Валери Томас и иллюзионный передатчик в NASA
Учёный-исследователь данных Валери Томас изобрела иллюзионный передатчик и участвовала в разработке форматов цифровых медиа, которые использовались в системах обработки изображений в ранние годы программы Landsat NASA.
Новая схема мошенничества через Zoom нацелена на пользователей криптовалют с помощью поддельных встреч
MichaelK.eth, присоединившийся к MetaMask из команды WalletGuard, рассказывает, как избежать этой хитрой схемы мошенничества через Zoom.
Северокорейский разработчик внедрился в команду торгового бота Solareum и похитил $1,4 миллиона в SOL
В марте 2024 года Solareum — торговый бот на базе Solana для Telegram — потерял $1,4 млн в SOL после того, как нанял северокорейского разработчика, впоследствии взломавшего проект. Этот случай наглядно демонстрирует растущую угрозу со стороны агентов КНДР, проникающих в технологические компании с целью кибер-кражи.
Тейлор Монахан отметила, что после инцидента команда Solareum перестала идти на контакт: аккаунты и каналы сообщества были закрыты, что существенно затруднило усилия по восстановлению. Этот очередной случай мошенничества при найме подчёркивает необходимость более строгой проверки кандидатов и прозрачности в криптопроектах для защиты активов пользователей от постоянно эволюционирующих угроз безопасности.
Безопасность браузерных расширений LavaMoat будет представлена на SECCON 2025 в Токио
Мы искренне гордимся признанием от slonser из исследовательской CTF-группы C4T BuT S4D. Следите за материалами SECCON 2025 в Токио в следующем месяце — там будет освещена тема безопасности цепочки поставок браузерных расширений.
Взлом Bybit на $1,4 миллиарда: Lazarus Group, слепое подписание и уязвимости мультиподписи
Тейлор Монахан из MetaMask и исследователь безопасности Джонти «Zeroshadow» присоединились к блокчейн-журналисту Лоре Шин в подкасте Unchained, чтобы обсудить то, что называют крупнейшим взломом в истории — не только в истории блокчейна. Вот некоторые ключевые моменты:
«Когда происходит крупный взлом, люди очень быстро начинают смотреть на конкретный продукт... но в целом, особенно когда речь идёт о Lazarus, это не имеет особого значения. Можно использовать любой кошелёк... Когда они получают первоначальный доступ к устройству человека, они просто наблюдают за ним и сначала изучают его операции и действия. Не существует ни одного продукта, который мог бы полностью вас защитить... и они разработают очень индивидуальный план, специально адаптированный под вас». — Тейлор Монахан
«Паскаль, руководитель SEAL 911, создал очень полезный инструмент с открытым исходным кодом, доступный на его GitHub. Совершенно бесплатный, по сути это bash-скрипт, который проверяет, что транзакция [Gnosis] Safe, которую вы подписываете, действительно та, которую вы намерены подписать... Во многих случаях одного этого инструмента достаточно, чтобы понять, что что-то не так, и не нажимать те две кнопки, которые могут означать конец вашего протокола, биржи или чего угодно ещё». — Джонти
«Вы должны проявлять бдительность при совершении этих транзакций. Это может казаться рутиной, чем-то, что вы делаете постоянно, но это действительно способно полностью уничтожить вашу биржу... Поэтому если что-то не сходится, возникают ошибки или происходит что-то странное — просто остановитесь и разберитесь... Слишком многие сталкиваются с ошибками и пытаются продавить ситуацию силой». — Джонти
Если вы хотите узнать больше о Bybit и безопасности мультиподписи, ознакомьтесь с дополнительными материалами:
ФБР официально связало взлом Bybit с Lazarus Group, Safe{Wallet} раскрыл факт компрометации разработчика
Вокруг взлома Bybit во время ETHDenver 2024 — одного из крупнейших ежегодных мероприятий в сфере web3 — царил настоящий информационный вихрь: новость омрачила многие панельные дискуссии и сопутствующие мероприятия. Ответственность за взлом была официально возложена на Lazarus Group (что никого не удивило) ФБР. Safe{Wallet} сообщил, что атака «была осуществлена через скомпрометированный компьютер разработчика Safe{Wallet}, что привело к предложению замаскированной вредоносной транзакции».
Аналитическая блокчейн-компания Elliptic опубликовала базу данных адресов кошельков, чтобы «помочь участникам сообщества минимизировать риски, связанные с санкциями, и предотвратить отмывание похищенных активов». Помимо публикации предварительного криминалистического отчёта от Sygnia и запуска программы вознаграждений, Bybit привлёк web3-компанию по безопасности ZeroShadow для дальнейшего расследования.
На фоне всего этого могли остаться незамеченными дискуссии о недостатках слепого подписания и стремлении «извлекать уроки из инцидентов, а не наживаться на них».
MetaMask вошёл в шорт-лист самых безопасных кошельков для новых пользователей криптовалют
Благодарим Quartz за включение MetaMask в список безопасных кошельков. Мы гордимся тем, что являемся некастодиальным кошельком, предоставляющим новым пользователям функции безопасности как для расширения, так и для мобильного приложения.
Операция ФБР Level Up вернула $285 миллионов и спасла 4 300 человек от мошенничества по схеме «разделка свиньи»
Операция ФБР Level Up наносит серьёзный удар по криптомошенничеству: более 4 300 человек были спасены от потери в общей сложности $285 миллионов. Операция направлена против мошенничества по схеме «разделка свиньи» (pig butchering), при которой злоумышленники сначала завоёвывают доверие жертвы, а затем убеждают её вложить деньги в фиктивные криптосхемы.
Вмешиваясь до перевода средств, ФБР помогает предотвратить потери, способные изменить жизнь людей, — порой в самый последний момент. Помимо возврата средств, операция также поддерживает пострадавших и распространяет информацию, помогая людям распознавать и избегать подобных схем.
Хакеру, взломавшему аккаунт SEC в X, грозит пять лет лишения свободы после SIM-swap атаки
25-летний Эрик Каунсил-младший из Алабамы признал факт взлома аккаунта SEC в X (бывший Twitter) в январе 2024 года. Его цель? Опубликовать фиктивное объявление о Bitcoin ETF, что вызвало кратковременный рост цены биткоина более чем на $1 000. Каунсил и его сообщники осуществили эту аферу с помощью «SIM-swap» для захвата аккаунта. Теперь ему грозит до пяти лет лишения свободы и штраф в размере $250 000.
Утечка приватного ключа Cardex опустошила кошельки пользователей Abstract на $400 000
Была выявлена новая изощрённая фишинговая тактика, направленная против пользователей кошелька Phantom. Мошенники сначала подключаются к легитимным кошелькам Phantom, а затем обманывают пользователей с помощью поддельного запроса подписи «обновить расширение». После того как пользователь одобряет этот запрос, появляется поддельное модальное окно с требованием ввести сид-фразу. Эта тактика разработана для того, чтобы обманом вынудить пользователей раскрыть свои SRP.
Как пользователи могут защитить себя
Никогда не вводите сид-фразы ни на каком сайте или во всплывающем окне. Чтобы распознать поддельное всплывающее окно, проверьте URL. Нативное всплывающее окно Phantom отображает URL, начинающийся с chrome-extension://..., который веб-страницы не могут воспроизвести. Настоящие всплывающие окна Phantom ведут себя как системные окна: их можно свернуть, развернуть и изменить их размер, тогда как поддельные окна ограничены вкладкой браузера. Сохраняйте бдительность и осторожность для защиты безопасности вашего кошелька. Этот совет актуален и для пользователей MetaMask, поскольку аналогичные схемы с кражей сид-фраз широко распространены. Всегда убеждайтесь, что взаимодействуете с легитимными расширениями, и с осторожностью относитесь к любым запросам ваших сид-фраз.
Вредоносное ПО SparkCat с функцией OCR сканирует фотогалереи в поисках фраз для восстановления криптокошельков на iOS и Android
Что произошло
Команда безопасности Abstract обнаружила и нейтрализовала эксплойт, исходящий от Cardex — стороннего приложения в составе The Portal. Этот инцидент не был связан с уязвимостью в Abstract Global Wallet (AGW) или сети Abstract. Тем не менее он произошёл из-за того, что команда Cardex непреднамеренно раскрыла приватный ключ своего подписанта сессии на фронтенде своего сайта. Это позволило злоумышленнику инициировать транзакции от имени любого кошелька, который одобрил сессионный ключ с Cardex. Сумма эксплойта составила около $400 000 в токенах.
Как пользователи могут защитить себя
Для защиты от потенциальных векторов атак пользователям следует регулярно отзывать разрешения и одобрения для приложений и токенов в своём кошельке Abstract. Это можно сделать с помощью инструмента Revoke по адресу http://revoke.abs.xyz.
OCR-стилеры криптовалют обнаружены в Google Play и App Store
Что произошло
Исследователи обнаружили новую вредоносную кампанию под названием «SparkCat», направленную против пользователей Android и iOS через официальные и неофициальные магазины приложений. Это вредоносное ПО использует OCR (оптическое распознавание символов) для сканирования фотогалерей пользователей в поисках фраз для восстановления криптокошельков. Заражённые приложения, некоторые из которых были доступны в Google Play и App Store, были загружены более 242 000 раз. Вредоносное ПО может инициировать транзакции для любого кошелька, который одобрил сессионный ключ с заражённым приложением.
Как пользователи могут защитить себя
Для защиты от этого вредоносного ПО пользователям следует избегать хранения конфиденциальной информации, такой как SRP, в фотогалерее устройства. Если вы установили какие-либо заражённые приложения (см. ниже), немедленно удалите их и рассмотрите возможность перевода средств в новый кошелёк.
В февральском отчёте MetaMask о безопасности в криптовалютной сфере за 2025 год рассматривались: взлом Bybit на $1,4 миллиарда, связанный с Lazarus Group; вредоносное ПО SparkCat с функцией OCR, сканирующее фотогалереи в поисках фраз для восстановления криптокошельков на iOS и Android; а также операция ФБР Level Up, вернувшая $285 миллионов, похищенных в рамках мошенничества по схеме «разделка свиньи». Просматривайте предыдущие выпуски Отчёта MetaMask о безопасности в криптовалютной сфере для получения информации об угрозах, тенденциях и советах по обеспечению безопасности в экосистеме.
