Apa sebenarnya eksploitasi zero-day Changelly palsu itu?

Menurut ThreatMon, itu adalah alat pembajakan transaksi mata uang kripto yang disamarkan sebagai eksploitasi yang berfungsi. Orang yang paling mungkin dirugikan adalah mereka yang menjalankannya.

Apa yang dilakukan skrip berbahaya itu?

Berdasarkan temuan ThreatMon, skrip itu mengganti alamat dompet dengan alamat yang dikendalikan penyerang dan memanipulasi nilai tukar yang ditampilkan sehingga kurs atau jumlah tidak sesuai kenyataan.

Mengapa pembajakan di tingkat browser seperti ini sulit dikenali?

Alamat dompet yang panjang sulit dibaca, antarmuka tetap tampak sah ketika nilai yang ditampilkan dimanipulasi, dan alamat yang ditukar tidak menghasilkan pesan kesalahan atau peringatan.

Eksploitasi Zero-Day Changelly Palsu Membajak Dompet Kripto

Q: Mengapa seseorang mau menjalankan eksploitasi palsu itu sejak awal?

Klaim adanya cacat zero-day adalah kail yang efektif, menarik orang-orang yang berharap mendapat keuntungan darinya atau sekadar mengujinya. Itulah jebakannya: klaim kerentanan palsu memikat pengguna agar berinteraksi dengan kode tersebut.

Q: Mengapa transaksi kripto sangat merusak ketika dibajak?

Transaksi kripto umumnya tidak dapat dibatalkan, jadi setelah koin dikirim ke alamat penyerang biasanya tidak ada bank yang bisa dihubungi dan tidak ada chargeback yang bisa diminta.

Sebuah eksploitasi zero-day Changelly yang diduga beredar di kalangan calon penyerang ternyata adalah umpan. Menurut investigasi ThreatMon, kode tersebut adalah alat pembajakan transaksi mata uang kripto, dan orang yang paling mungkin dirugikan adalah mereka yang menjalankannya. Skema pembajakan dompet Changelly zero-day palsu ini menunjukkan bagaimana penyerang dapat menargetkan orang yang penasaran, oportunis, dan ceroboh dengan satu potong JavaScript yang sama.

Bagaimana eksploitasi Changelly palsu memikat korban

Kampanye ini dikemas sebagai eksploitasi yang berfungsi untuk kerentanan di Changelly, sebuah layanan bursa mata uang kripto. Klaim adanya cacat zero-day adalah kail yang efektif. Zero-day adalah kerentanan yang belum diketahui oleh vendor, sehingga janji eksploitasi siap pakai menarik orang-orang yang berharap mendapat keuntungan darinya atau sekadar mengujinya.

Itulah jebakannya. Menurut ThreatMon, klaim kerentanan palsu digunakan untuk memikat pengguna agar berinteraksi dengan kode tersebut. Alih-alih menyerang Changelly, skrip itu bekerja melawan siapa pun yang menjalankannya. Calon penyerang menjadi target.

Pendekatan ini bukan hal baru secara prinsip. Peneliti keamanan telah lama melihat kode proof-of-concept yang dipasangi jebakan dan alat palsu yang ditujukan kepada orang-orang yang mencari jalan pintas. Yang membuat kasus ini menonjol adalah payload spesifiknya: skrip yang dibangun untuk mengganggu transaksi kripto langsung di browser.

Apa yang dilakukan skrip berbahaya terhadap alamat dompet

JavaScript berbahaya itu dirancang untuk melakukan dua hal, berdasarkan temuan ThreatMon:

Mengganti alamat dompet. Ketika pengguna memasukkan atau menyalin alamat tujuan untuk sebuah transaksi, skrip dapat menukarnya dengan alamat yang dikendalikan penyerang. Dana yang dikirim dengan itikad baik berakhir di dompet yang salah.
Memanipulasi nilai tukar yang ditampilkan. Skrip dapat mengubah angka yang ditampilkan di layar, sehingga kurs atau jumlah yang dilihat pengguna tidak sesuai kenyataan. Ini membantu menyembunyikan pencurian dan membuat transaksi tampak normal.

Transaksi kripto umumnya tidak dapat dibatalkan. Setelah koin dikirim ke alamat penyerang, biasanya tidak ada bank yang bisa dihubungi dan tidak ada chargeback yang bisa diminta. Itu membuat alat apa pun yang diam-diam mengubah alamat tujuan menjadi sangat merusak.

Mengapa pembajakan di tingkat browser sulit dikenali

Serangan jenis ini tidak perlu membobol bursa, memecahkan kata sandi, atau mencuri kunci privat. Serangan ini bekerja pada titik di mana Anda melihat dan mengonfirmasi informasi: browser Anda. Jika halaman itu sendiri diubah oleh JavaScript yang disuntikkan, apa yang Anda lihat mungkin bukan yang sebenarnya terjadi.

Beberapa alasan mengapa ini sulit ditangkap:

Alamat panjang sulit dibaca. Alamat dompet adalah rangkaian karakter acak. Sedikit orang yang memeriksa setiap karakter, dan penyerang sering mengandalkan hal itu.
Antarmuka tetap tampak sah. Jika nilai tukar yang ditampilkan dimanipulasi, layar dapat tampak konsisten dan terpercaya hingga saat pengiriman.
Tidak ada peringatan yang jelas. Berbeda dengan login yang gagal atau peringatan keamanan, alamat yang ditukar tidak menghasilkan pesan kesalahan.

Pelajaranannya adalah tampilan browser saja bukan sumber kebenaran yang dapat diandalkan ketika uang sungguhan terlibat.

Apa Artinya Bagi Anda

Sebagian besar pembaca tidak akan pernah mencari kode eksploitasi, tetapi risiko yang mendasarinya berlaku secara luas. Skrip apa pun yang berjalan di sesi browser Anda, baik dari unduhan mencurigakan, potongan kode konsol yang ditempel, ekstensi yang meragukan, atau halaman yang telah disusupi, dapat mengubah apa yang Anda lihat selama transaksi kripto.

Jika Anda menangani kripto, anggap kode "eksploitasi" atau "bonus" tidak resmi sebagai berbahaya secara default. Kode yang menjanjikan akses mudah ke dana orang lain seharusnya menimbulkan kecurigaan, bukan rasa penasaran. Dan jika Anda adalah peneliti keamanan atau penggemar, hanya analisis kode yang tidak dikenal di lingkungan terisolasi, jangan pernah di mesin atau profil browser yang terkait dengan dompet asli Anda.

Higiene jaringan juga penting. Jaringan yang tidak tepercaya menambah cara lain bagi penyerang untuk merusak apa yang Anda lakukan secara online, seperti yang ditunjukkan dalam peringatan Microsoft tentang peretas Rusia di jaringan Wi-Fi hotel. Laporan itu berkaitan dengan pencurian kredensial dan malware, bukan kripto, tetapi kehati-hatiannya tetap berlaku: hindari menangani kripto di jaringan yang tidak Anda percayai.

Pemeriksaan yang melindungi transaksi kripto Anda

Beberapa kebiasaan sangat mengurangi peluang kehilangan dana akibat skrip penukar alamat:

Verifikasi alamat di layar dompet perangkat keras. Tampilan perangkat terpisah dari browser Anda, sehingga JavaScript yang disuntikkan tidak dapat mengubahnya. Bandingkan alamat di sana dengan penerima yang Anda maksudkan.
Jangan pernah menjalankan kode eksploitasi tidak resmi. Jika eksploitasi Changelly zero-day yang diduga atau eksploitasi lain muncul di forum atau obrolan, jangan menjalankannya, dan jangan pernah menempelkan kode yang tidak dikenal ke konsol browser Anda.
Waspadai pop-up bursa. Akses bursa dengan mengetik alamatnya sendiri atau menggunakan bookmark, dan abaikan perintah tak terduga.
Gunakan pemblokir skrip. Membatasi JavaScript mana yang dapat berjalan mengurangi ruang bagi kode yang disuntikkan untuk beroperasi.
Kirim transaksi uji kecil terlebih dahulu. Untuk transfer besar, pastikan dana tiba di tempat yang benar sebelum mengirim jumlah penuh.
Jaga aktivitas kripto pada profil browser yang bersih. Lebih sedikit ekstensi dan lebih sedikit tab yang tidak terkait berarti lebih sedikit peluang bagi sesuatu untuk mengganggu.

Poin Penting

Kampanye pembajakan dompet Changelly zero-day palsu adalah pengingat bahwa umpan yang paling meyakinkan sering menargetkan orang-orang yang mengira mereka adalah penyerangnya. Pertahanan praktisnya sederhana: jangan jalankan kode yang tidak dapat Anda percayai, blokir skrip yang tidak perlu, dan konfirmasi setiap alamat dompet di layar dompet perangkat keras sebelum Anda menyetujui transaksi. Perlakukan browser Anda sebagai tidak tepercaya untuk pemeriksaan akhir, dan tetap berhati-hati di jaringan publik atau yang tidak dikenal saat memindahkan kripto.