Каждый месяц директор по безопасности MetaMask Лукер рассказывает о последних криптоатаках и новых угрозах, о которых вам необходимо знать.
Июль 2025 года прошёл под знаком самозванцев — поддельных кошельков, воскресших мёртвых проектов и фиктивных браузерных расширений. В Firefox было опубликовано более 40 мошеннических расширений, маскирующихся под криптовалютные кошельки. Злоумышленники перерегистрировали истёкшие домены прекративших существование криптопроектов, чтобы опустошать кошельки тех, кто по ошибке возвращался на эти сайты. А в open-source расширение для Ethereum через подставной pull request проникли две строки вредоносного кода. Месяц принёс и несколько приятных побед для «хороших парней». GMX вернул большую часть из 42 миллионов долларов, похищенных в ходе взлома, благодаря предложению white hat bounty. Американские ведомства ликвидировали разветвлённую северокорейскую операцию по краже персональных данных. А Греция впервые в своей истории провела конфискацию криптоактивов. Подробный разбор — ниже, но сначала...
Выдающийся деятель STEM: Цзянь-Сюн У, «Королева ядерных исследований»
Физик Цзянь-Сюн У, «Королева ядерных исследований», участвовала в Манхэттенском проекте, а впоследствии разработала эксперимент, опровергнувший закон сохранения чётности — принцип, который физики просто принимали как данность. Умение не принимать «общеизвестные» допущения на веру и выстраивать точные проверки, способные подтвердить или опровергнуть их, — это именно тот склад ума, на котором держится грамотная работа в области безопасности.
Snap Wise Signer использует ИИ для обнаружения подозрительных транзакций в кошельке
Посмотрите эффектную демонстрацию от Патрика Коллинза: его MetaMask Snap под названием Wise Signer использует ИИ для анализа данных в сети и определения того, может ли транзакция быть уязвимой — на основе подозрительных адресов, данных вызовов и сети. Этот Snap пока находится в стадии бета-тестирования, однако вы уже можете ознакомиться с кодом и узнать больше о MetaMask Security Snaps на нашей странице поддержки. Спасибо, Патрик, за вклад в общее дело.
MetaMask сохраняет звание самого защищённого web3-кошелька по версии Coinspect
MetaMask по-прежнему занимает первое место в рейтинге самых защищённых web3-кошельков по версии Coinspect — на мобильных платформах (iOS и Android) и в Chrome. Безопасность нашего браузерного расширения также получила оценку 100% по показателю предотвращения угроз.
Мошенничество с зомби-dapp набирает обороты: зафиксировано более 100 инцидентов
Кстати, о Coinspect: недавно они обратили внимание на тревожную тенденцию, при которой злоумышленники перерегистрируют домены прекративших работу криптопроектов, используя их прежнюю репутацию для обхода проверок безопасности, а затем обворовывают пользователей. Coinspect совместно с DeFi-платформами и группами безопасности выявил и сообщил о более чем 100 подобных так называемых зомби-dapp.
GMX теряет 42 миллиона долларов в результате атаки повторного входа и возвращает средства после предложения white hat bounty
9 июля пул ликвидности V1 GLP на базе Arbitrum от GMX лишился $42 миллионов: хакер воспользовался атакой повторного входа (re-entrancy) для чеканки избыточного количества токенов GLP, как следует из постмортема компании. GMX немедленно приостановил торговлю после того, как Hexegate сообщил об эксплойте, и смог отследить активность в блокчейне, которая показала, что большая часть похищенных средств была обменяна на другие цифровые активы. GMX предложил white hat bounty в размере 10% с обещанием не предпринимать юридических действий при условии возврата средств в течение 48 часов. Ответив непринуждённым сообщением «Ок, средства будут возвращены позже», злоумышленник оставил себе около 4,5 миллиона долларов и вернул остальное GMX.
Секретная служба США возвращает 400 миллионов долларов в криптовалюте за 10 лет
Глобальный центр оперативных расследований (GIOC) Секретной службы специализируется на отслеживании цифровых финансовых преступлений и в настоящее время хранит основную часть возвращённых криптоактивов в одном из крупнейших в мире холодных кошельков. Следователи GIOC, как правило, используют в своей работе инструменты с открытым исходным кодом, анализ блокчейна и данные о регистрации доменов. Помимо этого, Секретная служба проводила обучение сотрудников правоохранительных органов и прокуроров в 60 других странах.
Socket запускает пилотную программу для защиты расширений Chrome от атак на цепочку поставок
Стремясь защититься от атак на цепочку поставок, вызванных вредоносным ПО и опасными разрешениями в расширениях Chrome, Socket приглашает разработчиков протестировать новую линейку продуктов, использующих сканирование и анализ в реальном времени. Инструмент разработан с учётом требований к минимальному потреблению ресурсов и защите конфиденциальности, а также отображает показатели риска в каталогах пакетов, таких как NPM, PyPI, Go и Maven. Сигналы риска включают обфусцированные скрипты или скрипты установки, строки с высокой энтропией или подозрительным содержимым, имена-тайпосквоттеры и опасные API. В планах — расширение охвата за пределы Chrome в будущем.
Вредоносный код внедрён в open-source расширение forETHCode через подставной pull request
Исследователи безопасности из ReversingLabs обнаружили две строки вредоносного кода, внедрённые в PR для open-source инструментария forETHCode. Хотя имеющиеся данные свидетельствуют о том, что этот конкретный код (пока) не использовался для кражи токенов или данных, предполагается, что его целью была «кража криптоактивов, хранящихся на устройстве жертвы», или «компрометация смарт-контрактов Ethereum, разрабатываемых пользователями расширения».
Эта новость усилила обеспокоенность тенденцией распространения вредоносных и скомпрометированных расширений, а также атак на цепочку поставок.
Американские ведомства арестовывают оперативников КНДР, осуществлявших кражу персональных данных в 16 штатах и более чем 100 компаниях
В конце июня Министерство юстиции объявило о проведении скоординированной операции, результатом которой стали многочисленные аресты, предъявление обвинений, а также изъятие более 200 ноутбуков, 29 финансовых счетов и 21 мошеннического веб-сайта. Министерство юстиции зафиксировало поддерживаемую Северной Кореей вредоносную деятельность в 16 штатах, включавшую кражу персональных данных и проникновение в более чем 100 американских компаний, в том числе криптовалютных.
Неделю спустя стало известно, что Управление по контролю за иностранными активами (OFAC) Министерства финансов ввело санкции против двух лиц, причастных к краже и продаже подобных данных для использования в мошеннических схемах трудоустройства. Известно, что доходы от этих схем идут на финансирование программ баллистических ракет КНДР.
Инвестиционное мошенничество в Великобритании на 2 миллиона долларов завершилось суммарным приговором в 12 лет
Реймондип Беди и Патрик Маванга были осуждены и приговорены в совокупности к 12 годам лишения свободы за продажу мошеннических криптовалютных консультационных услуг как минимум 65 людям в период с 2017 по 2019 год. Как сообщает Crypto Times: «Оба мужчины признали вину по нескольким статьям, включая мошенничество, нарушение нормативных требований и отмывание денег. Кроме того, Маванге было предъявлено обвинение в фальсификации доказательств и хранении поддельных документов, удостоверяющих личность». Преследование, инициированное Управлением по финансовому регулированию и надзору Великобритании (FCA), является частью масштабных усилий ведомства по борьбе с криптопреступлениями; FCA также предпринимает попытки вернуть похищенные средства.
Греция впервые в истории конфисковала криптоактивы при содействии Chainalysis
Греческий орган по противодействию отмыванию денег (HAMLA) провёл первую в своей истории конфискацию криптовалютных средств. Действуя совместно с Chainalysis и Performance Technologies, HAMLA отследил и заморозил часть активов, похищенных в ходе взлома биржи Bybit на сумму 1,5 миллиарда долларов. Эта международная операция по возврату средств стала возможной благодаря «сочетанию передовых инструментов анализа блокчейна, профессиональной подготовки и международного сотрудничества в борьбе с глобальной криптопреступностью». Если вы пропустили: ранее в этом году Bybit понёс убытки в размере 1,5 миллиарда долларов в результате взлома, предположительно осуществлённого северокорейской группировкой Lazarus Group.
Обнаружено более 40 вредоносных расширений Firefox, маскирующихся под криптовалютные кошельки
Что произошло
Юваль Ронен из Koi Security сообщил об обнаружении более 40 вредоносных расширений Firefox, связанных с единой кампанией, имитирующей криптовалютные кошельки, включая MetaMask. Угроза, начавшаяся в апреле 2025 года, по-прежнему активна и используется для извлечения учётных данных с «целевых веб-сайтов и их передачи на удалённый сервер, контролируемый злоумышленником», а также для передачи внешних IP-адресов. Эти поддельные расширения выглядят легитимно и используют недобросовестные положительные отзывы для введения пользователей в заблуждение. Имеющиеся данные указывают на русскоязычного исполнителя.
Как пользователи могут защитить себя
Вместе со своим отчётом Ронен также поделился рекомендациями по обеспечению безопасности:
Устанавливайте расширения только от проверенных издателей и проявляйте осторожность даже с высокорейтинговыми предложениями.
Относитесь к браузерным расширениям как к полноценным программным активам: они требуют проверки, мониторинга и соблюдения политик безопасности.
Используйте список разрешённых расширений и ограничьте установку только заранее одобренными и проверенными расширениями. 4. Внедрите непрерывный мониторинг, а не только разовое сканирование. Расширения могут автоматически обновляться и незаметно менять своё поведение после установки.
Социальная инженерия нацелена на игроков и геймеров через поддельные криптоказино-сайты
Что произошло
Социальные сети по-прежнему остаются питательной средой для социальной инженерии, направленной на кражу криптовалюты. Krebs on Security рассказывает о том, как внешне легитимные «мошеннические игровые» сайты привлекают пользователей рекламой с бесплатными кредитами и фиктивными одобрениями от знаменитостей, например от MrBeast. Для получения «кредитов» пользователи должны создать аккаунт, после чего им открывается доступ к качественно оформленным играм и возможность делать ставки. Однако эти мошеннические схемы имеют все признаки классических скамов типа «разделка свиньи» (pig butchering). Вывести средства пользователю так и не удаётся: вместо этого его просят внести дополнительные «верификационные депозиты» или обратиться к «экспертам по возврату средств».
Как пользователи могут защитить себя
Будьте осторожны с игровыми сайтами, требующими депозитов для получения кредитов, и особенно с теми, которые требуют депозитов для вывода средств. Помните, что подавляющее большинство сервисов по возврату криптовалюты являются мошенническими, а легитимные сервисы, как правило, устанавливают высокие минимальные пороги, исчисляемые десятками тысяч долларов. Любые акции с участием инфлюенсеров следует проверять через их верифицированные каналы.
Кампания BabyShark КНДР развёртывает бэкдор NimDoor для macOS с использованием фишинговых тактик ClickFix
Что произошло
Согласно первому сообщению от SentinelOne, северокорейские акторы применяют новый метод атак на web3-компании: бэкдор для macOS на основе Nim под названием NimDoor, предназначенный для кражи учётных данных и эксфильтрации данных через зашифрованные WebSocket-соединения. Вредоносное ПО также использует AppleScript и инъекцию процессов.
В рамках более масштабной операции BabyShark злоумышленники применяют фишинговые тактики в стиле ClickFix, при которых жертв под давлением срочности вынуждают переходить по опасным ссылкам, замаскированным под безобидные. Эта деятельность связана с группой продвинутых постоянных угроз (APT) Kimsuky.
Как пользователи могут защитить себя
Всегда делайте паузу и оценивайте ситуацию, прежде чем поддаться давлению с требованием срочных действий, и проверяйте источник информации. Будьте осторожны при загрузке файлов в рамках любого процесса собеседования. Отключите удалённое выполнение AppleScript, своевременно обновляйте все системы и программное обеспечение (например, браузеры, расширения и среды выполнения скриптов). Если вы используете macOS, будьте бдительны в отношении WebSocket-соединений с неизвестными доменами, нестандартных инъекций процессов или скриптов, запускаемых при старте приложений, а также механизмов закрепления через агенты запуска или обработчики сигналов.
Не попадайтесь на удочку ду ду ду ду ду ду…
В отчёте MetaMask о безопасности в криптовалютной сфере за июль 2025 года рассматриваются более 40 поддельных расширений Firefox, маскирующихся под криптовалютные кошельки, взлом GMX на 42 миллиона долларов с использованием атаки повторного входа, урегулированный с помощью white hat bounty, а также зомби-приложения, возрождающие домены прекративших работу криптопроектов. Просматривайте предыдущие выпуски отчёта MetaMask о безопасности в криптовалютной сфере, чтобы быть в курсе актуальных угроз, тенденций и советов по безопасной работе в экосистеме.
