Нібито експлойт нульового дня Changelly, що циркулює серед потенційних зловмисників, виявляється приманкою. Згідно з розслідуванням ThreatMon, цей код є інструментом викрадення криптовалютних транзакцій, і найбільше ризикують постраждати ті, хто його запускає. Ця схема фальшивого викрадення гаманців через експлойт нульового дня Changelly показує, як зловмисники можуть націлюватися на цікавих, опортуністичних і недбалих людей за допомогою одного й того ж фрагмента JavaScript.
Як фальшивий експлойт Changelly заманював жертв
Кампанія була замаскована під робочий експлойт для вразливості в Changelly, сервісі обміну криптовалют. Заяви про вразливість нульового дня є ефективною приманкою. Нульовий день — це вразливість, про яку постачальник ще не знає, тому обіцянка готового експлойта приваблює людей, які сподіваються на ньому заробити або просто перевірити його.
Ось у чому пастка. Згідно з ThreatMon, фальшиві заяви про вразливість використовувалися, щоб заманити користувачів до взаємодії з кодом. Замість атаки на Changelly скрипт працює проти того, хто його виконує. Потенційний зловмисник стає ціллю.
За своєю суттю цей підхід не новий. Дослідники безпеки давно спостерігають пастки в коді доказів концепції та фальшиві інструменти, націлені на людей, які шукають легких шляхів. Що робить цей випадок помітним, так це конкретне корисне навантаження: скрипт, створений для втручання в криптовалютні транзакції безпосередньо в браузері.
Що шкідливий скрипт робить з адресами гаманців
Шкідливий JavaScript був розроблений для двох речей, виходячи з висновків ThreatMon:
- Заміна адрес гаманців. Коли користувач вводить або копіює адресу призначення для транзакції, скрипт може підмінити її на адресу, контрольовану зловмисником. Кошти, надіслані добросовісно, потрапляють у неправильний гаманець.
- Маніпулювання відображуваними значеннями обміну. Скрипт може змінювати числа, показані на екрані, так що курси або суми, які бачить користувач, не відповідають реальності. Це допомагає приховати крадіжку і зробити транзакцію схожою на звичайну.
Криптовалютні транзакції, як правило, незворотні. Щойно монети надіслано на адресу зловмисника, зазвичай немає ні банку, куди можна зателефонувати, ні можливості запросити повернення коштів. Це робить будь-який інструмент, який непомітно змінює адресу призначення, особливо руйнівним.
Чому викрадення на рівні браузера важко помітити
Цей тип атаки не потребує зламу біржі, злому пароля чи крадіжки приватного ключа. Він працює в точці, де ви переглядаєте та підтверджуєте інформацію: у вашому браузері. Якщо сама сторінка змінюється впровадженим JavaScript, те, що ви бачите, може не відповідати тому, що насправді відбувається.
Кілька причин, чому це важко виявити:
- Довгі адреси важко читати. Адреси гаманців — це рядки випадкових символів. Мало хто перевіряє кожен символ, і зловмисники часто на це розраховують.
- Інтерфейс все ще виглядає легітимним. Якщо відображувані значення обміну маніпулюються, екран може виглядати узгодженим і надійним аж до моменту відправлення.
- Немає очевидного попередження. На відміну від невдалого входу або сповіщення про безпеку, підмінена адреса не створює повідомлення про помилку.
Урок полягає в тому, що лише відображення в браузері не є надійним джерелом істини, коли йдеться про реальні гроші.
Що це означає для вас
Більшість читачів ніколи не підуть шукати код експлойту, але основний ризик стосується широкого загалу. Будь-який скрипт, що працює у вашому сеансі браузера, чи то з сумнівного завантаження, вставленого фрагмента консолі, непевного розширення чи скомпрометованої сторінки, може змінити те, що ви бачите під час криптовалютної транзакції.
Якщо ви маєте справу з криптовалютою, ставтеся до неофіційного коду "експлойтів" або "бонусів" як до ворожого за замовчуванням. Код, який обіцяє легкий доступ до чужих коштів, повинен викликати підозру, а не цікавість. А якщо ви дослідник безпеки або ентузіаст, аналізуйте невідомий код лише в ізольованому середовищі, ніколи на машині або профілі браузера, пов'язаному з вашими реальними гаманцями.
Мережева гігієна також важлива. Недовірені мережі додають ще один спосіб для зловмисників втручатися в те, що ви робите онлайн, як показано в попередженні Microsoft про російських хакерів у готельних Wi-Fi мережах. Той звіт стосувався крадіжки облікових даних і шкідливого програмного забезпечення, а не криптовалюти, але обережність застосовна: уникайте роботи з криптовалютою в мережах, яким ви не довіряєте.
Перевірки, які захищають ваші криптовалютні транзакції
Кілька звичок різко знижують ймовірність втрати коштів через скрипти підміни адрес:
- Перевіряйте адресу на екрані апаратного гаманця. Дисплей пристрою відокремлений від вашого браузера, тому впроваджений JavaScript не може його змінити. Порівняйте адресу там із вашим передбачуваним одержувачем.
- Ніколи не запускайте неофіційний код експлойтів. Якщо нібито експлойт нульового дня Changelly або будь-який інший експлойт з'являється на форумі чи в чаті, не виконуйте його і ніколи не вставляйте невідомий код у консоль браузера.
- Остерігайтеся спливаючих вікон бірж. Заходьте на біржі, вводячи адресу самостійно або використовуючи закладку, та ігноруйте несподівані запити.
- Використовуйте блокувальник скриптів. Обмеження того, який JavaScript може працювати, зменшує можливості для дії впровадженого коду.
- Спочатку надішліть невелику тестову транзакцію. Для великих переказів переконайтеся, що кошти надходять у потрібне місце, перш ніж надсилати повну суму.
- Тримайте криптовалютну активність в окремому чистому профілі браузера. Менше розширень і менше сторонніх вкладок означають менше шансів для чогось втрутитися.
Ключові висновки
Кампанія фальшивого викрадення гаманців через експлойт нульового дня Changelly є нагадуванням, що найпереконливіша приманка часто націлена на людей, які думають, що вони є нападниками. Практичний захист простий: не запускайте код, якому не можете довіряти, блокуйте непотрібні скрипти та підтверджуйте кожну адресу гаманця на екрані апаратного гаманця, перш ніж схвалити транзакцію. Ставтеся до свого браузера як до недовіреного для фінальної перевірки та будьте обережні в публічних або незнайомих мережах під час переміщення криптовалюти.
