攻撃者志望者の間で出回っている、Changellyのゼロデイエクスプロイトと思しきものは、実は餌であることが判明した。ThreatMonの調査によれば、そのコードは暗号資産取引ハイジャックツールであり、最も被害を受けやすいのはそれを実行する者たちだ。この偽のChangellyゼロデイウォレットハイジャック手法は、攻撃者が好奇心旺盛な人、日和見的な人、不注意な人を同じJavaScript一片で標的にできることを示している。

偽のChangellyエクスプロイトがどのように被害者を誘い込んだか

このキャンペーンは、暗号資産取引サービスであるChangellyの脆弱性に対する実用的なエクスプロイトを装っていた。ゼロデイ脆弱性の主張は効果的な釣り針となる。ゼロデイとはベンダーがまだ把握していない脆弱性のことであり、既製のエクスプロイトが手に入るという約束は、そこから利益を得ようとする人や単に試してみたい人を引き付ける。

それが罠である。ThreatMonによれば、偽の脆弱性の主張はユーザーをコードに関与させるために使われた。スクリプトはChangellyを攻撃するのではなく、それを実行する者に対して作用する。攻撃者志望者が標的になるのだ。

この手法の精神は新しいものではない。セキュリティ研究者は長らく、近道を探す人々を狙った罠仕掛けの概念実証コードや偽ツールを目にしてきた。この事例を特筆すべきものにしているのは、具体的なペイロードである。ブラウザ内で暗号資産取引に直接干渉するために作られたスクリプトなのだ。

悪意あるスクリプトがウォレットアドレスに対して行うこと

ThreatMonの発見に基づくと、悪意あるJavaScriptは二つのことを行うよう設計されていた。

  • ウォレットアドレスを置き換える。 ユーザーが取引の送金先アドレスを入力またはコピーすると、スクリプトは攻撃者が管理するアドレスに差し替えることができる。善意で送られた資金は誤ったウォレットに届く。
  • 表示される交換レート値を操作する。 スクリプトは画面上に表示される数値を改変できるため、ユーザーが見るレートや金額は現実と一致しなくなる。これにより盗難が隠蔽され、取引が正常に見えるようになる。

暗号資産取引は一般に不可逆である。コインが攻撃者のアドレスに送られてしまえば、通常は電話すべき銀行もなく、チャージバックを要求することもできない。それゆえ、送金先アドレスを密かに変更するあらゆるツールは特に有害なのだ。

ブラウザレベルのハイジャックが見抜きにくい理由

この種の攻撃は、取引所に侵入したり、パスワードを解読したり、秘密鍵を盗んだりする必要がない。それは、あなたが情報を閲覧し確認する地点、つまりブラウザで機能する。ページ自体が注入されたJavaScriptによって改変されていれば、あなたが見ているものは実際に起きていることと異なる可能性がある。

これが見つけにくい理由はいくつかある。

  • 長いアドレスは読みにくい。 ウォレットアドレスはランダムな文字の列である。すべての文字を確認する人はほとんどおらず、攻撃者はしばしばそれを当てにする。
  • インターフェースは依然として正規に見える。 表示される交換レート値が操作されていても、送信の瞬間まで画面は一貫して信頼できるように見え得る。
  • 明らかな警告がない。 ログイン失敗やセキュリティ警告とは異なり、差し替えられたアドレスはエラーメッセージを発しない。

教訓は、実際の資金が関わる場合、ブラウザの表示だけでは信頼できる真実の源ではないということだ。

これがあなたにとって意味すること

ほとんどの読者はエクスプロイトコードを探し求めることは決してないだろうが、根本的なリスクは広く当てはまる。怪しいダウンロード、貼り付けられたコンソールスニペット、怪しい拡張機能、侵害されたページなど、あなたのブラウザセッションで実行されるあらゆるスクリプトは、暗号資産取引中にあなたが見るものを改変する可能性がある。

暗号資産を扱うなら、非公式の「エクスプロイト」や「ボーナス」コードは既定で敵対的なものとして扱うべきだ。他人の資金への容易なアクセスを約束するコードは、好奇心ではなく疑念を呼び起こすべきである。そして、セキュリティ研究者や愛好家であれば、未知のコードは隔離された環境でのみ分析し、実際のウォレットに紐づいたマシンやブラウザプロファイルでは決して行わないことだ。

ネットワークの衛生管理も重要である。信頼できないネットワークは、ホテルのWi-Fiネットワークにおけるロシア人ハッカーに関するMicrosoftの警告で示されているように、オンラインでの行動を攻撃者が改ざんする別の手段を追加する。その報告は認証情報の窃取とマルウェアに関するものであり、暗号資産ではないが、注意は当てはまる。信頼しないネットワーク上で暗号資産を扱うのは避けるべきだ。

暗号資産取引を守るチェック

いくつかの習慣で、アドレス差し替えスクリプトによって資金を失う可能性を大幅に減らせる。

  1. ハードウェアウォレットの画面でアドレスを確認する。 デバイスの表示はブラウザとは別であるため、注入されたJavaScriptはそれを変更できない。そこに表示されるアドレスを意図する受取人と比較する。
  2. 非公式のエクスプロイトコードを決して実行しない。 偽のChangellyゼロデイやその他のエクスプロイトがフォーラムやチャットに現れても実行せず、未知のコードをブラウザコンソールに決して貼り付けない。
  3. 取引所のポップアップに注意する。 取引所にはアドレスを自分で入力するかブックマークを使ってアクセスし、予期しないプロンプトは無視する。
  4. スクリプトブロッカーを使う。 実行できるJavaScriptを制限することで、注入されたコードが動作する余地を減らせる。
  5. まず少額のテスト送金を行う。 大口送金の場合は、全額を送る前に資金が正しい場所に届くことを確認する。
  6. 暗号資産の活動はクリーンなブラウザプロファイルで行う。 拡張機能が少なく、無関係なタブが少ないほど、何かが干渉する機会が減る。

主な要点

偽のChangellyゼロデイウォレットハイジャックキャンペーンは、最も説得力のある餌がしばしば自分が攻撃者だと思っている人々を標的にするということを思い出させる。実用的な防御は簡単である。信頼できないコードを実行せず、不要なスクリプトをブロックし、取引を承認する前にすべてのウォレットアドレスをハードウェアウォレットの画面で確認する。最終確認においてブラウザを信頼できないものとして扱い、暗号資産を移動する際は公共または不慣れなネットワーク上で慎重であり続けよう。