Um suposto exploit zero-day da Changelly que circula entre potenciais atacantes revelou-se uma isca. Segundo uma investigação da ThreatMon, o código é uma ferramenta de sequestro de transações de criptomoedas, e as pessoas com maior probabilidade de se machucarem são as que o executam. Este esquema falso de sequestro de carteiras zero-day da Changelly mostra como os atacantes podem atingir os curiosos, os oportunistas e os descuidados com a mesma peça de JavaScript.
Como o falso exploit da Changelly atraiu vítimas
A campanha foi disfarçada como um exploit funcional para uma vulnerabilidade na Changelly, um serviço de troca de criptomoedas. Alegações de uma falha zero-day são um gancho eficaz. Um zero-day é uma vulnerabilidade que o fornecedor ainda não conhece, então a promessa de um exploit prontamente disponível atrai pessoas que esperam lucrar com ele ou simplesmente testá-lo.
Essa é a armadilha. Segundo a ThreatMon, as falsas alegações de vulnerabilidade foram usadas para atrair usuários a interagir com o código. Em vez de atacar a Changelly, o script funciona contra quem quer que o execute. O pretenso atacante torna-se o alvo.
A abordagem não é nova em espírito. Pesquisadores de segurança há muito veem códigos de prova de conceito armadilhados e ferramentas falsas direcionadas a pessoas que procuram atalhos. O que torna este caso notável é o payload específico: um script criado para interferir diretamente nas transações de criptomoedas no navegador.
O que o script malicioso faz com os endereços de carteira
O JavaScript malicioso foi projetado para fazer duas coisas, com base nas descobertas da ThreatMon:
- Substituir endereços de carteira. Quando um usuário insere ou copia um endereço de destino para uma transação, o script pode trocá-lo por um endereço controlado pelo atacante. Fundos enviados de boa-fé acabam na carteira errada.
- Manipular os valores de câmbio exibidos. O script pode alterar os números mostrados na tela, de modo que as taxas ou quantias que um usuário vê não correspondem à realidade. Isso ajuda a ocultar o roubo e faz a transação parecer normal.
As transações de criptomoedas são geralmente irreversíveis. Uma vez que as moedas são enviadas para o endereço de um atacante, tipicamente não há banco para ligar nem estorno a solicitar. Isso torna qualquer ferramenta que altera silenciosamente um endereço de destino especialmente prejudicial.
Por que o sequestro no nível do navegador é difícil de detectar
Este tipo de ataque não precisa invadir uma exchange, quebrar uma senha ou roubar uma chave privada. Ele funciona no ponto em que você visualiza e confirma informações: seu navegador. Se a própria página está sendo alterada por JavaScript injetado, o que você vê pode não ser o que realmente está acontecendo.
Algumas razões pelas quais isso é difícil de detectar:
- Endereços longos são difíceis de ler. Endereços de carteira são sequências de caracteres aleatórios. Poucas pessoas verificam cada caractere, e os atacantes costumam contar com isso.
- A interface ainda parece legítima. Se os valores de câmbio exibidos forem manipulados, a tela pode parecer consistente e confiável até o momento do envio.
- Não há aviso óbvio. Diferentemente de um login falhado ou um alerta de segurança, um endereço trocado não produz mensagem de erro.
A lição é que a exibição no navegador, por si só, não é uma fonte confiável de verdade quando dinheiro real está envolvido.
O que isso significa para você
A maioria dos leitores nunca vai sair à procura de código de exploit, mas o risco subjacente se aplica amplamente. Qualquer script em execução na sua sessão do navegador, seja de um download duvidoso, um trecho colado no console, uma extensão suspeita ou uma página comprometida, pode alterar o que você vê durante uma transação de criptomoedas.
Se você lida com criptomoedas, trate código não oficial de "exploit" ou "bônus" como hostil por padrão. Código que promete acesso fácil aos fundos de outra pessoa deve despertar suspeita, não curiosidade. E se você é pesquisador de segurança ou entusiasta, analise código desconhecido apenas em um ambiente isolado, nunca em uma máquina ou perfil de navegador vinculado às suas carteiras reais.
A higiene de rede também importa. Redes não confiáveis acrescentam outra forma de os atacantes adulterarem o que você faz online, como mostra o alerta da Microsoft sobre hackers russos em redes Wi-Fi de hotéis. Esse relatório tratava de roubo de credenciais e malware, não de criptomoedas, mas a cautela se aplica: evite lidar com criptomoedas em redes nas quais você não confia.
Verificações que protegem suas transações de criptomoedas
Alguns hábitos reduzem drasticamente as chances de perder fundos para scripts de troca de endereços:
- Verifique o endereço na tela de uma carteira física. A tela do dispositivo é separada do seu navegador, então o JavaScript injetado não pode alterá-la. Compare o endereço ali com o destinatário pretendido.
- Nunca execute código de exploit não oficial. Se um suposto zero-day da Changelly ou qualquer outro exploit aparecer em um fórum ou chat, não o execute e nunca cole código desconhecido no console do navegador.
- Desconfie de pop-ups de exchanges. Acesse exchanges digitando o endereço você mesmo ou usando um favorito, e ignore prompts inesperados.
- Use um bloqueador de scripts. Limitar quais JavaScript podem ser executados reduz o espaço para que código injetado opere.
- Envie primeiro uma pequena transação de teste. Para transferências grandes, confirme que os fundos chegam ao lugar certo antes de enviar o valor total.
- Mantenha a atividade com criptomoedas em um perfil de navegador limpo. Menos extensões e menos abas não relacionadas significam menos chances de algo interferir.
Principais conclusões
A campanha falsa de sequestro de carteiras zero-day da Changelly é um lembrete de que a isca mais convincente muitas vezes tem como alvo pessoas que pensam ser o atacante. A defesa prática é simples: não execute código em que você não pode confiar, bloqueie scripts desnecessários e confirme cada endereço de carteira na tela de uma carteira física antes de aprovar uma transação. Trate seu navegador como não confiável para a verificação final e mantenha a cautela em redes públicas ou desconhecidas ao movimentar criptomoedas.
