Так называемый эксплойт нулевого дня для Changelly, распространяемый среди потенциальных злоумышленников, оказывается приманкой. Согласно расследованию ThreatMon, этот код представляет собой инструмент перехвата криптовалютных транзакций, и наиболее вероятно пострадают те, кто его запустит. Эта схема фальшивого похищения кошельков через эксплойт нулевого дня Changelly показывает, как атакующие могут нацелиться на любопытных, оппортунистичных и неосторожных с помощью одного и того же фрагмента JavaScript.
Как фальшивый эксплойт Changelly заманивал жертв
Кампания была подана как рабочий эксплойт для уязвимости в Changelly — сервисе обмена криптовалют. Заявления об уязвимости нулевого дня — эффективная приманка. Нулевой день — это уязвимость, о которой производитель ещё не знает, поэтому обещание готового эксплойта привлекает людей, надеющихся на этом заработать или просто проверить его.
В этом и заключается ловушка. По данным ThreatMon, ложные заявления об уязвимости использовались, чтобы заманить пользователей к взаимодействию с кодом. Вместо атаки на Changelly скрипт действует против того, кто его запускает. Потенциальный атакующий сам становится целью.
По своей сути подход не нов. Исследователи безопасности давно сталкиваются с кодом proof-of-concept с ловушками и фальшивыми инструментами, нацеленными на тех, кто ищет лёгкие пути. Что делает этот случай примечательным, так это конкретная полезная нагрузка: скрипт, созданный для вмешательства в криптовалютные транзакции прямо в браузере.
Что вредоносный скрипт делает с адресами кошельков
Согласно находкам ThreatMon, вредоносный JavaScript был разработан для двух целей:
- Подмена адресов кошельков. Когда пользователь вводит или копирует адрес получателя для транзакции, скрипт может подставить адрес, контролируемый атакующим. Средства, отправленные добросовестно, попадают в чужой кошелёк.
- Манипуляция отображаемыми значениями обмена. Скрипт может изменять числа, показанные на экране, так что курсы или суммы, которые видит пользователь, не соответствуют реальности. Это помогает скрыть кражу и делает транзакцию выглядящей нормально.
Криптовалютные транзакции, как правило, необратимы. Как только монеты отправлены на адрес атакующего, обычно нет ни банка, куда можно позвонить, ни возможности запросить возврат средств. Именно поэтому любой инструмент, тихо меняющий адрес получателя, особенно опасен.
Почему перехват на уровне браузера трудно заметить
Такой тип атаки не требует взлома биржи, подбора пароля или кражи приватного ключа. Он работает в той точке, где вы просматриваете и подтверждаете информацию: в вашем браузере. Если сама страница изменяется внедрённым JavaScript, то, что вы видите, может не соответствовать тому, что происходит на самом деле.
Несколько причин, по которым это трудно обнаружить:
- Длинные адреса трудно читать. Адреса кошельков — это строки случайных символов. Мало кто проверяет каждый символ, и атакующие часто на это рассчитывают.
- Интерфейс по-прежнему выглядит легитимно. Если отображаемые значения обмена сманипулированы, экран может выглядеть согласованно и надёжно вплоть до момента отправки.
- Нет очевидного предупреждения. В отличие от неудачного входа или оповещения безопасности, подменённый адрес не выдаёт сообщения об ошибке.
Урок в том, что отображение в браузере само по себе не является надёжным источником истины, когда речь идёт о реальных деньгах.
Что это значит для вас
Большинство читателей никогда не станут искать код эксплойтов, но основной риск касается широкой аудитории. Любой скрипт, работающий в вашей сессии браузера, будь то из сомнительной загрузки, вставленного фрагмента в консоль, подозрительного расширения или скомпрометированной страницы, может изменить то, что вы видите во время криптовалютной транзакции.
Если вы работаете с криптовалютой, по умолчанию считайте неофициальный «эксплойт» или «бонусный» код враждебным. Код, обещающий лёгкий доступ к чужим средствам, должен вызывать подозрение, а не любопытство. А если вы исследователь безопасности или энтузиаст, анализируйте неизвестный код только в изолированной среде, никогда — на машине или в профиле браузера, связанных с вашими реальными кошельками.
Сетевая гигиена тоже важна. Недоверенные сети добавляют ещё один способ для атакующих вмешиваться в то, что вы делаете онлайн, как показано в предупреждении Microsoft о российских хакерах в сетях Wi-Fi отелей. Тот отчёт касался кражи учётных данных и вредоносного ПО, а не криптовалют, но предостережение применимо: избегайте работы с криптовалютой в сетях, которым вы не доверяете.
Проверки, защищающие ваши криптовалютные транзакции
Несколько привычек резко снижают вероятность потери средств из-за скриптов подмены адресов:
- Проверяйте адрес на экране аппаратного кошелька. Экран устройства отделён от вашего браузера, поэтому внедрённый JavaScript не может его изменить. Сравните адрес там с предполагаемым получателем.
- Никогда не запускайте неофициальный код эксплойтов. Если так называемый эксплойт нулевого дня Changelly или любой другой эксплойт появился на форуме или в чате, не выполняйте его и никогда не вставляйте неизвестный код в консоль браузера.
- Остерегайтесь всплывающих окон бирж. Переходите на биржи, вводя адрес вручную или используя закладку, и игнорируйте неожиданные запросы.
- Используйте блокировщик скриптов. Ограничение того, какой JavaScript может выполняться, сокращает возможности для работы внедрённого кода.
- Сначала отправьте небольшую тестовую транзакцию. Для крупных переводов убедитесь, что средства поступают в нужное место, прежде чем отправлять полную сумму.
- Держите криптовалютную активность в чистом профиле браузера. Меньше расширений и меньше посторонних вкладок означают меньше шансов, что что-то вмешается.
Ключевые выводы
Кампания фальшивого похищения кошельков через эксплойт нулевого дня Changelly напоминает, что самая убедительная приманка часто нацелена на тех, кто считает себя атакующим. Практическая защита проста: не запускайте код, которому не можете доверять, блокируйте ненужные скрипты и подтверждайте каждый адрес кошелька на экране аппаратного кошелька, прежде чем одобрить транзакцию. Относитесь к своему браузеру как к недоверенному при финальной проверке и соблюдайте осторожность в публичных или незнакомых сетях при перемещении криптовалюты.
