Фальшивое предупреждение о безопасности
Фальшивое предупреждение о безопасности появилось в крипто-кошельках, заставив пользователей спешить защищать свои средства. Вместо этого уведомление привело их прямо к ворам, которые украли около $2.56 миллиона, используя доверенную систему уведомлений, не взламывая само оборудование.
Уязвимость в системе уведомлений
Бельгийский производитель аппаратных кошельков Ngrave, известный как NGRAVE, сообщил 19 октября, что злоумышленники захватили уведомления третьей стороны, обслуживающей его приложение LIQUID. Уязвимость позволила преступникам отправить сообщения, выглядящие как настоящие предупреждения о безопасности, непосредственно клиентам 17 октября.
Сообщение утверждало, что кошелек пользователя был синхронизирован с устройством Pixel 9 в Москве.
Нажатие на уведомление открывало поддельный сайт Ngrave с таймером обратного отсчета и зловещим выбором: одобрить или отклонить подозрительную активность. Оба варианта вели в одну и ту же ловушку. Пользователей просили ввести свою 24-словную фразу восстановления или Perfect Key, передавая злоумышленникам все необходимое для воссоздания их кошельков.
Кража средств и последствия
Автоматизированные скрипты опустошали скомпрометированные счета в течение нескольких минут. Расследование Ngrave установило, что около $2.56 миллиона было украдено из 70 адресов кошельков на четырех сетях. Bitcoin составил $1.77 миллиона, за ним следовали $454,000 в XRP, $316,000 в активах на основе Ethereum и $18,000 в Stellar.
Отчет компании о происшествии показывает, что несанкционированный доступ мог начаться 11 октября, за шесть дней до появления мошеннических уведомлений. Злоумышленники получили один ключ доступа и использовали его для получения другого с более широкими правами, включая доступ к определенной аналитической информации.
Реакция Ngrave и рекомендации
Ngrave обнаружил вредоносные уведомления в течение минуты после их появления в 21:30 UTC 17 октября. Тем не менее, первый кошелек был опустошен через шесть минут. Компания отключила свою систему уведомлений к 22:45, но кражи продолжались с ранее скомпрометированных кошельков до 3:51 следующего утра.
Критически важно, что Ngrave утверждает, что его аппаратные кошельки ZERO и приватные ключи остались нетронутыми.
Преступники вместо этого манипулировали клиентами, заставляя их передавать свои собственные учетные данные. Украденные средства проходили через биржи, блокчейн-мосты и новые адреса. Ngrave проследил bitcoin до 12 адресов, в то время как XRP перемещался через 54 перевода.
Проблемы безопасности в индустрии
Это был трудный год для производителей аппаратных кошельков, так как 2023 год был полон проблем с безопасностью. Почти дюжина задокументированных инцидентов безопасности аппаратных кошельков, связанных с Ledger, Trezor, Tangem, Safepal, Bitbox02 и Coldcard, привела к убыткам, превышающим $180 миллионов по двум инцидентам, выявив уязвимости в прошивке, сторонних поставщиках, физической безопасности и фишинге, а не в результате прямых удаленных атак на фразы восстановления.
