Ein angeblicher Changelly-Zero-Day-Exploit, der unter potentiellen Angreifern kursiert, entpuppt sich als Köder. Laut einer Untersuchung von ThreatMon handelt es sich bei dem Code um ein Tool zur Entführung von Kryptowährungstransaktionen, und die Personen, die am wahrscheinlichsten zu Schaden kommen, sind diejenigen, die es ausführen. Dieses gefälschte Changelly-Zero-Day-Wallet-Hijacking-Schema zeigt, wie Angreifer die Neugierigen, die Opportunisten und die Sorglosen mit demselben Stück JavaScript ins Visier nehmen können.

Wie der gefälschte Changelly-Exploit Opfer anlockte

Die Kampagne war als funktionierender Exploit für eine Schwachstelle in Changelly, einem Kryptowährungs-Börsendienst, aufgemacht. Behauptungen über eine Zero-Day-Schwachstelle sind ein wirksamer Köder. Ein Zero-Day ist eine Schwachstelle, von der der Anbieter noch nichts weiß, sodass das Versprechen eines fertigen Exploits Menschen anzieht, die hoffen, davon zu profitieren, oder ihn einfach testen wollen.

Das ist die Falle. Laut ThreatMon wurden die gefälschten Schwachstellenbehauptungen genutzt, um Nutzer dazu zu verleiten, sich mit dem Code zu befassen. Statt Changelly anzugreifen, wirkt das Skript gegen denjenigen, der es ausführt. Der vermeintliche Angreifer wird zum Ziel.

Der Ansatz ist im Geiste nicht neu. Sicherheitsforscher haben seit Langem mit Fallen versehenen Proof-of-Concept-Code und gefälschte Tools gesehen, die auf Menschen abzielen, die nach Abkürzungen suchen. Was diesen Fall bemerkenswert macht, ist die spezifische Nutzlast: ein Skript, das darauf ausgelegt ist, Krypto-Transaktionen direkt im Browser zu manipulieren.

Was das bösartige Skript mit Wallet-Adressen macht

Das bösartige JavaScript wurde laut den Erkenntnissen von ThreatMon entwickelt, um zwei Dinge zu tun:

  • Wallet-Adressen ersetzen. Wenn ein Nutzer eine Zieladresse für eine Transaktion eingibt oder kopiert, kann das Skript eine vom Angreifer kontrollierte Adresse einschleusen. In gutem Glauben gesendete Gelder landen in der falschen Wallet.
  • Angezeigte Umtauschwerte manipulieren. Das Skript kann die auf dem Bildschirm angezeigten Zahlen ändern, sodass die Kurse oder Beträge, die ein Nutzer sieht, nicht der Realität entsprechen. Dies hilft, den Diebstahl zu verbergen und lässt die Transaktion normal aussehen.

Krypto-Transaktionen sind im Allgemeinen irreversibel. Sobald Coins an die Adresse eines Angreifers gesendet wurden, gibt es in der Regel keine Bank, die man anrufen könnte, und keine Rückbuchung, die man beantragen könnte. Das macht jedes Tool, das still und leise eine Zieladresse ändert, besonders schädlich.

Warum Browser-Hijacking schwer zu erkennen ist

Diese Art von Angriff muss nicht in eine Börse eindringen, ein Passwort knacken oder einen privaten Schlüssel stehlen. Er wirkt an dem Punkt, an dem man Informationen ansieht und bestätigt: im Browser. Wenn die Seite selbst durch injiziertes JavaScript verändert wird, ist das, was man sieht, möglicherweise nicht das, was tatsächlich passiert.

Einige Gründe, warum dies schwer zu erkennen ist:

  • Lange Adressen sind schwer zu lesen. Wallet-Adressen sind Zeichenketten zufälliger Zeichen. Nur wenige Menschen prüfen jedes Zeichen, und Angreifer verlassen sich oft darauf.
  • Die Oberfläche sieht weiterhin legitim aus. Wenn angezeigte Umtauschwerte manipuliert werden, kann der Bildschirm bis zum Moment des Absendens konsistent und vertrauenswürdig aussehen.
  • Es gibt keine offensichtliche Warnung. Anders als bei einer fehlgeschlagenen Anmeldung oder einer Sicherheitswarnung erzeugt eine ausgetauschte Adresse keine Fehlermeldung.

Die Lehre daraus ist, dass die Browser-Anzeige allein keine verlässliche Quelle der Wahrheit ist, wenn es um echtes Geld geht.

Was das für Sie bedeutet

Die meisten Leser werden nie nach Exploit-Code suchen, aber das zugrunde liegende Risiko gilt broadly. Jedes Skript, das in Ihrer Browser-Sitzung läuft, sei es aus einem zwielichtigen Download, einem eingefügten Konsolen-Snippet, einer fragwürdigen Erweiterung oder einer kompromittierten Seite, könnte ändern, was Sie während einer Krypto-Transaktion sehen.

Wenn Sie mit Krypto umgehen, behandeln Sie inoffiziellen „Exploit“- oder „Bonus“-Code standardmäßig als feindselig. Code, der einfachen Zugang zu den Geldern anderer verspricht, sollte Misstrauen wecken, nicht Neugier. Und wenn Sie Sicherheitsforscher oder Hobbyist sind, analysieren Sie unbekannten Code nur in einer isolierten Umgebung, niemals auf einem Rechner oder Browser-Profil, das mit Ihren echten Wallets verbunden ist.

Auch Netzwerkhygiene ist wichtig. Nicht vertrauenswürdige Netzwerke bieten Angreifern einen weiteren Weg, zu manipulieren, was Sie online tun, wie in Microsofts Warnung vor russischen Hackern in Hotel-Wi-Fi-Netzwerken dargestellt. Dieser Bericht betraf Credential-Diebstahl und Malware, nicht Krypto, aber die Vorsicht gilt: Vermeiden Sie den Umgang mit Krypto in Netzwerken, denen Sie nicht vertrauen.

Prüfungen, die Ihre Krypto-Transaktionen schützen

Ein paar Gewohnheiten senken die Wahrscheinlichkeit, durch Adressaustausch-Skripte Gelder zu verlieren, drastisch:

  1. Überprüfen Sie die Adresse auf dem Bildschirm einer Hardware-Wallet. Das Display des Geräts ist vom Browser getrennt, sodass injiziertes JavaScript es nicht verändern kann. Vergleichen Sie die dort angezeigte Adresse mit Ihrem beabsichtigten Empfänger.
  2. Führen Sie niemals inoffiziellen Exploit-Code aus. Wenn ein angeblicher Changelly-Zero-Day oder ein anderer Exploit in einem Forum oder Chat auftaucht, führen Sie ihn nicht aus und fügen Sie niemals unbekannten Code in Ihre Browser-Konsole ein.
  3. Seien Sie misstrauisch gegenüber Börsen-Pop-ups. Erreichen Sie Börsen, indem Sie die Adresse selbst eingeben oder ein Lesezeichen verwenden, und ignorieren Sie unerwartete Aufforderungen.
  4. Verwenden Sie einen Skript-Blocker. Die Einschränkung, welches JavaScript ausgeführt werden kann, verringert den Spielraum für injizierten Code.
  5. Senden Sie zuerst eine kleine Testtransaktion. Bei großen Überweisungen bestätigen Sie, dass die Gelder am richtigen Ort ankommen, bevor Sie den vollen Betrag senden.
  6. Halten Sie Krypto-Aktivitäten in einem sauberen Browser-Profil. Weniger Erweiterungen und weniger unbezogene Tabs bedeuten weniger Gelegenheiten für etwas, das sich einmischt.

Wichtige Erkenntnisse

Die gefälschte Changelly-Zero-Day-Wallet-Hijacking-Kampagne ist eine Erinnerung daran, dass der überzeugendste Köder oft auf Menschen abzielt, die glauben, sie seien der Angreifer. Die praktische Verteidigung ist einfach: Führen Sie keinen Code aus, dem Sie nicht vertrauen können, blockieren Sie unnötige Skripte und bestätigen Sie jede Wallet-Adresse auf dem Bildschirm einer Hardware-Wallet, bevor Sie eine Transaktion genehmigen. Behandeln Sie Ihren Browser für die abschließende Prüfung als nicht vertrauenswürdig, und bleiben Sie vorsichtig in öffentlichen oder unbekannten Netzwerken, wenn Sie Krypto bewegen.