Как воруют биткоины? Схемы, на которые попадаются даже опытные пользователи

Мы не раз писали про различные схемы мошенничества и взлома кошельков. Большинство из них построено на социальной инженерии, невнимательности и доверчивости пользователей. Есть обычные фишинговые атаки, подмены букв в браузере и недобросовестная реклама. Но иногда скамеры работают намного тоньше.

В этой статье рассмотрим взломы биткоин кошельков и схемы, которые нужно знать заранее, чтобы не попасться.

Аккуратнее с обновлениями

Показателен пример кошелька Electrum для биткоина. Хакеры в одной из атак заработали более 200 биткоинов через вмешательство в инфраструктуру приложения.

В этой атаке настоящее приложение Electrum на компьютере выводило сообщение для пользователей о том, что нужно загрузить обновление. При этом ссылка из сообщения шла на другой репозиторий GitHub, который принадлежал мошенникам. Пользователи загружали другой кошелек, который воровал данные. Атака была остановлена только когда администрация GitHub удалила репозиторий хакеров.

Хакеры добавили десятки серверов в сеть кошельков. Пользователи настоящих кошельков Electrum инициируют биткойн-транзакцию. Если транзакция достигает одного из вредоносных серверов, эти серверы отвечают сообщением об ошибке, которое призывает пользователей загрузить обновление приложения кошелька с подставного GitHub.

Пользователь скачивает приложение. Оно запрашивает код двухфакторной аутентификации. Это действие должно вызывать подозрение, поскольку коды 2FA нужны только перед отправкой средств, а не на этапе запуска. Кошелек же использует этот код для кражи средств: транзакция уходит на кошелек хакера.

Окно выглядело очень официально, потому что Electrum отображал серверные сообщения в виде форматированных текстов. После атаки разработчики убрали эту возможность.

Мораль: не обновляйте кошелек не проверив официальное заявление от поставщика приложения. Также проверяйте официальную страницу на GitHub или официальный сайт, чтобы обновление было действительно легитимным. Взлом биткоин-кошельков часто проходит через подмену ссылок.

Перехват на сторонних сервисах

Coinomi отправлял сид-фразу в сервис проверки орфографии от Google. Это недоразумение могло стоить владельцам всех денег, которые лежали на кошельке. Такой тип атак называется «человек посередине» (MitM).

Coinomi написан на Java, а пользовательский интерфейс разработан с использованием HTML / JavaScript. Он визуализируется через встроенный браузер на основе Chromium. Любое приложение на Chromium интегрировано с разными функциями Google, в том числе функция автоматической проверки орфографии для всех текстовых полей.

Разработчики Coinomi не отключили эту функцию в коде своего кошелька. Потенциально, хакеры могли встать посередине и перехватить фразу от кошелька. Например, это можно сделать через общедоступный Wi-Fi. Таким образом уже атаковали сеть Старбакса, используя ее для загрузки ПО для скрытого майнинга.

Мораль: seed-фраза — самое дорогое, что есть у владельца криптовалюты. Ни в каком виде и случае она не должна передаваться куда-либо или отображаться, сохраняться, шифроваться на стороне. Разработчики любого криптовалютного приложения должны учитывать этот момент.

Расширения в Chrome

Троян в расширении Chrome мог подменять поиск, обновлять браузер и сливать данные с целью воровства криптовалюты.

Троян Razy был найден «Лабораторией Касперского», Trojan.Win32.Razy.gen. Этот исполняемый файл распространялся через рекламу на веб-сайтах и хостингах.

Он мог работать с Google Chrome, Mozilla Firefox и Яндекс, в зависимости от браузера он выбирал сценарий заражения.

Razy может устанавливать вредоносные расширения для браузера, но также может заражать уже установленные расширения. Они отключались от проверки целостности и автоматического обновления.

Большинство функций сводилось к поиску адреса кошелька криптовалюты и их подмене. Также они могут подделывать как изображения, так и QR-коды, которые скрывают кошельки, а также изменять веб-страницы криптобирж на фишинговые.

Razy также может подделывать результаты поиска Google и Yandex, чтобы пользователи зашли на вредоносные страницы. Троянец часто подделывает результаты, связанные с криптовалютой. Цель — заставить пользователя передать свои учетные данные . Например, через рекламу airdrop’а или распродажи на ICO.

Мораль: каждое расширение может грозить безопасности. Подумайте, так ли оно нужно и насколько можно доверять поставщику.

Атаки на Docker

Исследователи нашли тысячи Docker-контейнеров, через которые можно заразить компьютер, использовать его для незаконного майнинга или воровать биткоины. Если механизмы управления открыты, контейнер и приложение могут быть скомпрометированы.

Imperva сообщили об уязвимости CVE-2019-5736. Они использовали поисковую систему Shodan, чтобы найти открытые порты, на которых запущен Docker, и сколько из них было уязвимо для атак.

Большинство атак были настроены на скрытый майнинг Monero. Но это не единственное потенциальное последствие атаки через Docker. Систему можно подключить к ботнету, украсть данные, использовать для атаки на внутреннюю сеть и использовать для создания хост-служб в фишинге.

Мораль: Разработчик должен помнить о безопасности данных. Доступ к разным серивисам должен быть органичен только доверенными источниками. Лучше хранить криптовалюту на другом устройстве, которое редко обращается к интернету.

Самые полные отчеты, в том числе интересные исследования о хакерских группах, публикуют Chainalysis и CipherTrace. Например, через них общественность узнала о самых крупных группировках, которые взламывают биткоин-кошельки и биржи, Альфа и Бета. Также есть предположения, как они проводят деньги через блокчейны.