Каждый месяц директор по безопасности MetaMask Люкер рассказывает о последних криптоатаках и новых угрозах, о которых вам необходимо знать.
Июнь 2025 года стал месяцем масштабных атак и не менее масштабных операций по их пресечению. Интерпол ликвидировал 20 000 вредоносных IP-адресов и арестовал 32 человека в рамках глобальной кампании по борьбе с инфостилерами. Министерство юстиции США объявило о крупнейшем в истории изъятии средств, связанных со схемой «разделки свиньи», — на сумму 225 миллионов долларов. Однако группировка Lazarus не отставала по интенсивности: она отмывала миллиарды в похищенной криптовалюте через низкокомиссионную инфраструктуру Tron, взломала тайваньскую биржу BitoPro на 11 миллионов долларов и продолжала проникать в американские компании под видом фиктивных IT-специалистов. Ближе к дому: Тейлор Монахан из команды безопасности MetaMask объяснила, почему эксплойты EIP-7702 — это проблема безопасности приватных ключей, а не проблема Pectra. Кроме того, наша материнская компания Consensys приобрела Web3Auth, чтобы упростить восстановление кошельков и ещё больше укрепить лидирующие позиции MetaMask в области безопасности. Подробности — ниже, но сначала...
Выдающийся пионер STEM: Нергис Мавалвала и обнаружение гравитационных волн
Нергис Мавалвала внесла вклад в обнаружение гравитационных волн в рамках проекта LIGO и проведение экспериментов в области квантовой измерительной науки.
Consensys приобретает Web3Auth для упрощения восстановления кошелька MetaMask и управления ключами
В наших отчётах мы много говорим о вредоносных атаках, но знаете ли вы, что 35% пользователей не создают надлежащую резервную копию своей секретной фразы восстановления, подвергая себя риску потери средств? Как выразился сооснователь MetaMask Дэн Финли: «Не показывайте это никому, но и не теряйте — крайне сложная задача».
Именно поэтому мы рады сообщить, что материнская компания MetaMask — Consensys — приобрела ведущего поставщика решений для управления ключами и встроенной инфраструктуры кошельков Web3Auth. Благодаря интеграции возможностей Web3Auth пользователи MetaMask смогут создавать и восстанавливать кошельки с помощью привычных методов аутентификации web2, таких как вход через социальные сети и аутентификация на основе устройства. Приобретение также открывает разработчикам доступ к встроенным SDK для кошельков и инфраструктуре управления ключами, делая управление кошельками проще и удобнее.
Обновления LavaMoat: плагин Webpack достигает версии 1.0, выходит первый релиз React Native lockdown
@lavamoat/webpack достигает версии 1.0
После аудита от OtterSec, добавления поддержки динамически загружаемых чанков и рефакторинга для удобства сопровождения наш плагин Webpack достиг версии 1.0 и считается стабильным и готовым к использованию. Следующий шаг — планирование опциональных улучшений безопасности.
Переработка @lavamoat/node добавляет полную поддержку ESM
Нам удалось не только заставить lockdown() из Hardened JavaScript работать в условиях ограничений движка Hermes в React Native, но и найти способ предоставить его разработчикам в виде аккуратного пакета, интегрируемого через конфигурационный файл Metro. Мы выпустили очень раннюю версию и ищем результаты тестирования и отзывы. Попробуйте и поделитесь своим опытом.
Если вы пропустили, у нас также есть другие проекты:
@lavamoat/node
Хотя работа ещё продолжается, наша полная переработка LavaMoat для Node.js уже функциональна. Она вводит полную поддержку ESM и улучшения DX для тех, кто запускает команды из npm-пакетов. lavamoat-node по-прежнему поддерживается и стабилен, хотя в конечном счёте будет устаревшим из-за отсутствия поддержки ESM.
По мере разработки новых возможностей некоторые из них интегрируются в lavamoat-node. Теперь можно получить более точный контроль доступа к глобальным переменным, помеченным как доступные для записи в других местах. Улучшения порядка файлов политик появились во всех инструментах LavaMoat, что позволяет генерировать файлы policy.json. Git diff оптимизирован для отображения только реальных изменений и минимизации перестановок ресурсов при обновлении дерева зависимостей.
@lavamoat/git-safe-dependencies проверяет безопасность пакетов из git-репозиториев
Мы выпустили новый инструмент, который служит строгим валидатором для предотвращения проблем безопасности при установке зависимостей (или GitHub Actions) непосредственно из git-репозиториев. После его выпуска вышла статья в 6-м выпуске журнала PagedOut!.
Cryptonews признаёт MetaMask кошельком высшего уровня безопасности по результатам независимой оценки
Cryptonews недавно изучил степень безопасности кошелька MetaMask, и мы благодарны за их оценку: «имея более 30 миллионов активных пользователей и восьмилетнюю историю», MetaMask укрепил репутацию «очень безопасного выбора со множеством функций безопасности и активной командой разработчиков, стремящейся повысить его уровень защиты». В статье освещаются наши функции безопасности и даются советы по лучшим практикам самостоятельного хранения. Спасибо, Cryptonews!
Тейлор Монахан об эксплойтах EIP-7702: проблема в безопасности приватных ключей, а не в Pectra
Недавнее обновление Ethereum Pectra представило EIP-7702, призванное улучшить пользовательский опыт, позволяя кошелькам временно функционировать как смарт-контракты. Однако эта функция была использована злоумышленниками. Анализ Wintermute показал, что более 80% делегирований EIP-7702 были связаны с одним вредоносным скриптом под названием «CrimeEnjoyor», предназначенным для автоматического опустошения кошельков со скомпрометированными ключами. В одном из показательных случаев пользователь потерял почти 150 000 долларов в результате фишинговой атаки с использованием этого скрипта.
Тейлор Монахан из команды безопасности MetaMask подчеркнула, что основная проблема заключается не в самом EIP-7702, а в постоянной сложности обеспечения пользователями безопасности своих приватных ключей. Она отметила, что хотя EIP-7702 предлагает расширенные функциональные возможности, он также предоставляет злоумышленникам более эффективные средства для эксплуатации скомпрометированных ключей. Эта ситуация подчёркивает важность надёжного управления приватными ключами и повышенной бдительности пользователей в развивающейся экосистеме Ethereum.
Субъекты угроз из КНДР проникают в американские компании, взламывают BitoPro на 11 миллионов долларов и отмывают миллиарды через Tron
В трёх связанных историях, опубликованных в июне, видно, что продвинутые постоянные угрозы, исходящие из Северной Кореи, не показывают признаков замедления.
Министерство юстиции США добивается конфискации 7,7 миллиона долларов в криптовалюте, связанной с северокорейскими хакерами, которые выдавали себя за IT-специалистов для проникновения в американские компании. Эти лица использовали поддельные личности для получения удалённой работы, получали выплаты в стейблкоинах и отмывали средства различными методами перед их переводом северокорейскому правительству. Эксперты предупреждают, что подобные операции, нередко использующие сгенерированные ИИ персонажи и технологию дипфейков, могут приносить режиму сотни миллионов долларов ежегодно.
Тайваньская криптобиржа BitoPro потеряла 11 миллионов долларов в результате взлома 8 мая 2025 года во время обновления системы горячего кошелька. Атака приписывается северокорейской группировке Lazarus, которая использовала вредоносное ПО и похищенные токены AWS для обхода защиты и опустошения средств в нескольких блокчейнах. Похищенная криптовалюта затем была отмыта через миксеры и децентрализованные биржи. BitoPro с тех пор восстановила кошельки и подтвердила отсутствие внутреннего участия.
Северокорейская группировка Lazarus отмывает миллиарды в похищенной криптовалюте через платформы децентрализованных финансов, в частности используя низкокомиссионную инфраструктуру блокчейна Tron. По данным on-chain аналитика ZachXBT, группировка действует в рамках подпольной сети брокеров, использующих пулы свопов, новые кошельки и методы peer-to-peer торговли, что затрудняет отслеживание предполагаемых 5–10 миллиардов долларов незаконных средств.
Критики указывают, что такие платформы, как Tron, лишены реальных механизмов контроля, что позволяет проводить подобные крупномасштабные операции по отмыванию. Хотя TRON DAO заявляет о поддержке антикриминальных усилий в сотрудничестве с такими структурами, как Tether и TRM Labs, многие считают эти меры реактивными и недостаточными. ZachXBT подчёркивает, что криптоиндустрия в целом переживает «суперцикл преступности» с масштабными взломами и минимальной ответственностью.
Интерпол ликвидирует 20 000 вредоносных IP-адресов и арестовывает 32 человека в ходе глобальной операции против инфостилеров
«Операция Secure» Интерпола успешно ликвидировала более 20 000 вредоносных IP-адресов и доменов, связанных с вредоносным ПО типа инфостилер. Эта скоординированная операция с участием правоохранительных органов 26 стран и партнёров из частного сектора — Group-IB, Kaspersky и Trend Micro — привела к изъятию 41 сервера и аресту 32 человек, причастных к киберпреступной деятельности. Инфостилеры — это вредоносное программное обеспечение, предназначенное для извлечения конфиденциальных данных, таких как пароли, данные банковских карт и информация о криптовалютных кошельках, с заражённых устройств. В результате операции также было уведомлено более 216 000 жертв и потенциальных жертв, что позволило им незамедлительно принять защитные меры.
США возвращают 225 миллионов долларов в крупнейшей в истории операции по изъятию средств схемы «разделки свиньи»
Министерство юстиции США объявило о крупнейшем в истории изъятии средств, связанных с криптовалютными инвестиционными мошенничествами, известными как «разделка свиньи», при которых жертв методично обрабатывают с целью извлечения максимальной выгоды. Правительство в настоящее время работает над возвратом как можно большей части изъятых средств более чем 400 пострадавшим.
Атака на цепочку поставок CoinMarketCap опустошает кошельки на 43 000 долларов через внедрённый вредоносный код
Что произошло
Сайт отслеживания цен криптовалют CoinMarketCap стал жертвой атаки на цепочку поставок, в результате которой посетители подверглись кампании по опустошению кошельков. Хакеры воспользовались уязвимостью в изображении-каракуле на главной странице сайта для внедрения вредоносного JavaScript, вызывающего поддельные всплывающие окна подключения Web3-кошелька. Ничего не подозревающие пользователи, подключившие свои кошельки, лишились криптовалюты: у 110 жертв было похищено более 43 000 долларов. Эта атака подчёркивает растущую угрозу со стороны дрейнеров кошельков, эксплуатирующих доверенные элементы платформ для атак на пользователей криптовалют. Хотя вредоносный код был быстро удалён, CMC сообщает, что расследование продолжается.
Как пользователи могут защитить себя
Чтобы защититься от атак с опустошением кошелька, всегда проверяйте легитимность Web3-всплывающих окон перед подключением кошелька. Избегайте нажатия на подозрительные ссылки или взаимодействия со всплывающими окнами на незнакомых сайтах, а для значительных криптовалютных активов рассмотрите использование аппаратных кошельков. К счастью, общий ущерб от этого инцидента был частично смягчён благодаря оперативным действиям специалистов по безопасности и симуляторам транзакций, которые предупредили многих потенциальных жертв до того, как они потеряли средства.
Сайт CoinTelegraph скомпрометирован поддельным всплывающим окном аирдропа с несуществующими токенами CTG
Что произошло
Сайт CoinTelegraph был скомпрометирован через эксплойт фронтенда, отображавший поддельное всплывающее окно аирдропа с несуществующими токенами CTG. Всплывающее окно ложно утверждало, что пользователи могут получить 5 500 долларов, подключив свои кошельки, и ссылалось на поддельный аудит CertiK для придания достоверности.
Новостное блокчейн-издание оперативно предупредило пользователей о недопустимости взаимодействия с этими всплывающими окнами и удалило несанкционированный код. С тех пор издание заявило об «усилении [своих] мер безопасности для предотвращения подобных инцидентов в будущем».
Как пользователи могут защитить себя
Пользователям следует с осторожностью относиться к неожиданным всплывающим окнам или предложениям, особенно обещающим крупное финансовое вознаграждение в обмен на подключение кошелька. Перед взаимодействием с такими запросами пользователи должны проверять достоверность информации через официальные источники. В качестве дополнительной меры предосторожности пользователям следует сравнивать сообщения с верифицированными социальными сетями организации, её сайтом и другими надёжными маркетинговыми материалами.
Форма поддержки Trezor использована для рассылки фишинговых писем с целью получения резервных копий кошельков
Что произошло
Производитель аппаратных кошельков Trezor выпустил предупреждение о безопасности после того, как злоумышленники воспользовались онлайн-формой обращения в службу поддержки для рассылки фишинговых писем, замаскированных под легитимные ответы службы поддержки. Эти мошеннические письма были направлены на то, чтобы обманом заставить пользователей поделиться резервными копиями кошельков, которые всегда должны оставаться конфиденциальными и храниться в офлайн-режиме. Trezor подтвердил, что взлома его систем или утечки пользовательских данных не произошло, а фишинговая кампания была пресечена. Компания подчеркнула важность бдительности и начала расследование для предотвращения подобных злоупотреблений в будущем.
Как пользователи могут защитить себя
Чтобы избежать фишинговых мошенничеств, никогда не делитесь резервной копией кошелька или приватными ключами, даже если запрос выглядит легитимным. Всегда проверяйте подлинность сообщений. Будьте осторожны с нежелательными письмами, особенно запрашивающими конфиденциальную информацию, и избегайте нажатия на ссылки или загрузки вложений из неизвестных источников.
SparkKitty и Crocodilus: мобильное вредоносное ПО, похищающее сид-фразы криптокошельков и банковские учётные данные
Что произошло
SparkKitty проникает на устройства iOS и Android через вредоносные приложения из официальных магазинов приложений, а также через сайдлоадинг приложений — поддельных клонов TikTok и игровых платформ. После установки SparkKitty запрашивает доступ к фотогалерее устройства и использует оптическое распознавание символов для сканирования изображений на предмет конфиденциальной информации, в первую очередь сид-фраз криптовалютных кошельков. Обнаружив такие данные, он передаёт информацию злоумышленникам, компрометируя цифровые активы пользователей.
Crocodilus — недавно выявленный банковский троян для Android, представляющий серьёзную угрозу для пользователей по всему миру. Вредоносное ПО маскируется под легитимные приложения, например Google Chrome, чтобы обмануть пользователей. После установки оно запрашивает разрешения на доступ к специальным возможностям, что позволяет ему выполнять такие действия, как захват содержимого экрана, перехват нажатий клавиш и наложение поддельных экранов входа для сбора учётных данных. Оно специально нацелено на банковские и криптовалютные приложения с целью извлечения конфиденциальной информации и опустошения счетов пользователей.
Как пользователи могут защитить себя
Загружайте приложения только из надёжных источников и с осторожностью относитесь к тем, которые запрашивают доступ к фотографиям, содержимому экрана или функциям специальных возможностей. Избегайте хранения конфиденциальной информации, такой как секретные фразы восстановления, в фотогалерее, вместо этого используйте безопасные методы хранения — аппаратные кошельки или зашифрованные менеджеры паролей. Регулярно обновляйте устройство и приложения для устранения уязвимостей, а также рассмотрите использование надёжного программного обеспечения для мобильной безопасности для обнаружения и блокировки вредоносного ПО. Осведомлённость о новых угрозах и соблюдение правил цифровой гигиены помогут надёжно защитить вашу криптовалюту и личные данные.
В отчёте MetaMask о безопасности в криптовалютной сфере за июнь 2025 года рассматривались операции агентов КНДР по отмыванию миллиардов через Tron, операция Интерпола по ликвидации 20 000 вредоносных IP-адресов, связанных с инфостилерами, а также мобильное вредоносное ПО, нацеленное на сид-фразы криптокошельков на iOS и Android. Просматривайте предыдущие выпуски Отчёта MetaMask о безопасности в криптовалютной сфере для получения информации об угрозах, тенденциях и советах по обеспечению безопасности в экосистеме.
