Un presunto exploit zero-day di Changelly che circola tra aspiranti attaccanti si rivela essere un'esca. Secondo un'indagine di ThreatMon, il codice è uno strumento di dirottamento delle transazioni di criptovaluta, e le persone più a rischio di subire danni sono proprio coloro che lo eseguono. Questo falso schema di dirottamento del portafoglio tramite il falso zero-day di Changelly dimostra come gli attaccanti possano prendere di mira i curiosi, gli opportunistici e i negligenti con lo stesso pezzo di JavaScript.
Come il falso exploit di Changelly ha attirato le vittime
La campagna era camuffata da exploit funzionante per una vulnerabilità in Changelly, un servizio di scambio di criptovalute. Le affermazioni su una falla zero-day sono un'esca efficace. Uno zero-day è una vulnerabilità che il fornitore non conosce ancora, quindi la promessa di un exploit pronto all'uso attrae chi spera di trarne profitto o semplicemente di testarlo.
Questa è la trappola. Secondo ThreatMon, le false affermazioni sulla vulnerabilità sono state usate per attirare gli utenti a interagire con il codice. Invece di attaccare Changelly, lo script agisce contro chiunque lo esegua. Il presunto attaccante diventa il bersaglio.
L'approccio non è nuovo nello spirito. I ricercatori di sicurezza vedono da tempo proof-of-concept sabotati e falsi strumenti rivolti a chi cerca scorciatoie. Ciò che rende questo caso degno di nota è il payload specifico: uno script costruito per interferire direttamente con le transazioni crypto nel browser.
Cosa fa lo script malevolo agli indirizzi dei portafogli
Il JavaScript malevolo è stato progettato per fare due cose, in base alle scoperte di ThreatMon:
- Sostituire gli indirizzi dei portafogli. Quando un utente inserisce o copia un indirizzo di destinazione per una transazione, lo script può sostituirlo con un indirizzo controllato dall'attaccante. I fondi inviati in buona fede finiscono nel portafoglio sbagliato.
- Manipolare i valori di scambio visualizzati. Lo script può alterare i numeri mostrati sullo schermo, così che i tassi o gli importi che un utente vede non corrispondano alla realtà. Questo aiuta a nascondere il furto e fa sembrare la transazione normale.
Le transazioni crypto sono generalmente irreversibili. Una volta che le monete sono inviate all'indirizzo di un attaccante, tipicamente non c'è nessuna banca da chiamare e nessun chargeback da richiedere. Questo rende particolarmente dannoso qualsiasi strumento che modifichi silenziosamente un indirizzo di destinazione.
Perché il dirottamento a livello di browser è difficile da individuare
Questo tipo di attacco non ha bisogno di penetrare in un exchange, craccare una password o rubare una chiave privata. Funziona nel punto in cui visualizzi e confermi le informazioni: il tuo browser. Se la pagina stessa viene alterata da JavaScript iniettato, ciò che vedi potrebbe non essere ciò che sta realmente accadendo.
Ecco alcune ragioni per cui è difficile da individuare:
- Gli indirizzi lunghi sono difficili da leggere. Gli indirizzi dei portafogli sono stringhe di caratteri casuali. Poche persone controllano ogni carattere, e gli attaccanti spesso contano proprio su questo.
- L'interfaccia sembra comunque legittima. Se i valori di scambio visualizzati vengono manipolati, lo schermo può apparire coerente e affidabile fino al momento dell'invio.
- Non c'è un avviso evidente. A differenza di un login fallito o di un avviso di sicurezza, un indirizzo sostituito non produce alcun messaggio di errore.
La lezione è che la sola visualizzazione nel browser non è una fonte affidabile di verità quando sono in gioco soldi reali.
Cosa significa per te
La maggior parte dei lettori non andrà mai a caccia di codice exploit, ma il rischio sottostante si applica in modo ampio. Qualsiasi script in esecuzione nella tua sessione del browser, che provenga da un download losco, da uno snippet incollato nella console, da un'estensione dubbia o da una pagina compromessa, potrebbe alterare ciò che vedi durante una transazione crypto.
Se gestisci criptovalute, considera per impostazione predefinita il codice non ufficiale di "exploit" o "bonus" come ostile. Il codice che promette un accesso facile ai fondi di qualcun altro dovrebbe destare sospetto, non curiosità. E se sei un ricercatore di sicurezza o un appassionato, analizza il codice sconosciuto solo in un ambiente isolato, mai su una macchina o un profilo del browser collegato ai tuoi portafogli reali.
Anche l'igiene della rete è importante. Le reti non affidabili aggiungono un ulteriore modo per gli attaccanti di manomettere ciò che fai online, come mostrato nell'avvertimento di Microsoft sugli hacker russi sulle reti Wi-Fi degli hotel. Quel rapporto riguardava il furto di credenziali e il malware, non le criptovalute, ma la cautela vale: evita di gestire criptovalute su reti di cui non ti fidi.
Controlli che proteggono le tue transazioni crypto
Alcune abitudini riducono drasticamente le probabilità di perdere fondi a causa di script che sostituiscono gli indirizzi:
- Verifica l'indirizzo sullo schermo di un hardware wallet. Il display del dispositivo è separato dal tuo browser, quindi il JavaScript iniettato non può modificarlo. Confronta l'indirizzo lì con il destinatario previsto.
- Non eseguire mai codice exploit non ufficiale. Se un presunto zero-day di Changelly o qualsiasi altro exploit appare in un forum o in una chat, non eseguirlo e non incollare mai codice sconosciuto nella console del browser.
- Diffida dei pop-up degli exchange. Raggiungi gli exchange digitando tu stesso l'indirizzo o usando un segnalibro, e ignora i prompt inaspettati.
- Usa un blocco degli script. Limitare quali JavaScript possono essere eseguiti riduce lo spazio in cui il codice iniettato può operare.
- Invia prima una piccola transazione di prova. Per trasferimenti consistenti, conferma che i fondi arrivino nel posto giusto prima di inviare l'intero importo.
- Mantieni l'attività crypto su un profilo del browser pulito. Meno estensioni e meno schede non correlate significano meno possibilità che qualcosa interferisca.
Punti chiave
La campagna di dirottamento del portafoglio tramite il falso zero-day di Changelly è un promemoria del fatto che l'esca più convincente spesso prende di mira chi pensa di essere l'attaccante. La difesa pratica è semplice: non eseguire codice di cui non ti fidi, blocca gli script non necessari e conferma ogni indirizzo del portafoglio sullo schermo di un hardware wallet prima di approvare una transazione. Considera il tuo browser come non affidabile per il controllo finale, e mantieniti cauto su reti pubbliche o non familiari quando sposti criptovalute.
