Oszuści phishingowi związani z Trezorem, promowani przez reklamę sponsorowaną przez Google, podobno wykradli oszczędności całego życia jednego użytkownika, jak twierdzi ofiara. W innym miejscu, BTCPay Server wydał pilną poprawkę dla krytycznej luki, która już była aktywnie wykorzystywana.
Oba incydenty miały miejsce w ciągu około 24 godzin. Żaden z nich nie dotknął samego protokołu Bitcoin (BTC), jednak oba narażały fundusze użytkowników na bezpośrednie ryzyko.
Reklama Google kieruje ofiary na stronę phishingową Trezora
Ofiara, publikując na X (Twitterze) pod nazwiskiem David, obwiniła w czwartek reklamę w wyszukiwarce sponsorowaną. Zgodnie z raportem, reklama umieściła fałszywą stronę Trezora, hostowaną na Google Sites, powyżej prawdziwej strony producenta portfela.
Każdy, kto wpisał frazę odzyskiwania na tej stronie, oddał atakującym pełną kontrolę nad swoim portfelem.
Dane on-chain pokazują, że portfel wskazany w raporcie otrzymał 24,04 BTC w 80 transakcjach. Ta suma odpowiada około 1,6 miliona dolarów przy obecnej cenie Bitcoina wynoszącej około 65 172 dolarów. Jednak prawie wszystko zostało już przetransferowane, pozostawiając około 0,04 BTC.
Trezor powiedział, że zgłosił sprawę wewnętrznie i zgłosił stronę do usunięcia.
„Dla wszystkich czytających: zawsze weryfikuj, że korzystasz z oficjalnej strony Trezora i nigdy nie wpisuj kopii zapasowej swojego portfela na stronie internetowej lub formularzu,” zaapelował zespół.
Sam sprzęt nigdy nie został naruszony. Atak zadziałał, ponieważ fraza odzyskiwania opuściła urządzenie. Scenariusz przypomina fałszywą stronę phishingową Uniswap, która wykradła 400 000 dolarów z portfeli w maju.
BTCPay Server spieszy się z poprawką dla wykorzystanej luki
Tymczasem BTCPay Server, oprogramowanie open-source, które pozwala sprzedawcom akceptować płatności bitcoinowe bezpośrednio, wydało własne ostrzeżenie w piątek.
Śledź nas na X, aby otrzymywać najnowsze wiadomości na bieżąco
Zespół poinformował operatorów, aby natychmiast zaktualizowali do wersji 2.4.2 lub wyłączyli serwery, aż będą mogli to zrobić.
„Ta wersja zawiera poprawkę krytycznej luki, która jest aktywnie wykorzystywana. Musisz zaktualizować tak szybko, jak to możliwe,” stwierdzają notatki wydania projektu.
Zespół bezpieczeństwa Bitcoin Red, grupa badawcza działająca na zasadzie wolontariatu, zgłosił błąd deweloperom.
Jednak samo załatanie nie kończy sprzątania. Operatorzy muszą również odświeżyć makaroniki, dane dostępowe, na których polegają węzły Lightning, oraz ciągi autoryzacyjne dla innych backendów.
Każdy, kto wygenerował gorący portfel w BTCPay, powinien przenieść te środki i odtworzyć go. Integratorzy powinni również zaktualizować NBXplorer, narzędzie indeksujące, do wersji 2.6.10.
Dlaczego oba incydenty mają znaczenie dla samodzielnego przechowywania Bitcoinów
Jedno z ataków wykorzystało zaufanie do reklam w wyszukiwarkach. W przeciwieństwie do tego, drugie wykorzystało kod działający na serwerach sprzedawców. Oba ominęły model bezpieczeństwa Bitcoin i uderzyły w oprogramowanie oraz nawyki wokół niego..
Phishing pozostaje najdroższym zagrożeniem w kryptowalutach. Straty z kradzieży kryptowalut w styczniu osiągnęły około 400,3 miliona dolarów, a jeden atak phishingowy stanowił ponad 70% tej kwoty.
Google wciąż nie wyjaśnił, jak oszukańcza reklama przeszła weryfikację. Jak szybko strona zostanie usunięta i ilu operatorów BTCPay zdąży zareagować na czas, wpłynie na rozmiar szkód.
Źródło: BeInCrypto
