- L'app BOM è stata identificata come malware che prende di mira gli utenti di criptovalute.
- Un'operazione truffaldina ha rubato oltre 1,82 milioni di dollari a oltre 13.000 vittime.
- Un'indagine congiunta tra SlowMist e OKX rivela i dettagli tecnici dell'attacco.
Un piano di massiccia rapina di criptovalute è stato identificato dopo che diversi utenti hanno segnalato l'accesso non autorizzato ai saldi dei loro portafogli il 14 febbraio 2025.
Le società di sicurezza SlowMist e OKX hanno rilasciato un joint report mostrando che hanno scoperto che un'app rogue chiamata BOM era responsabile degli attacchi.
Lo studio ha stabilito che BOM era inteso a ingannare gli utenti fornendo l'accesso alla loro libreria di foto e allo storage locale. Una volta fornite le autorizzazioni, l'applicazione ha scansionato segretamente screenshot o foto con frasi mnemoniche del portafoglio o chiavi private. Le ultime sono state pubblicate sui server degli attaccanti.
Secondo MistTrack, il malware ha colpito non meno di 13.000 utenti, con fondi totali rubati che ammontano a oltre 1,82 milioni di dollari. Gli attaccanti hanno trasferito fondi su diverse blockchain come Ethereum, BSC, Polygon, Arbitrum e Base nel tentativo di nascondere le loro azioni.
L'analisi del malware mostra uno schema di raccolta dati
L'analisi del team di sicurezza Web3 di OKX ha mostrato che l'app è stata costruita con il framework cross-platform UniApp. Questa era un'architettura progettata per estrarre dati sensibili. BOM chiede l'autorizzazione per accedere alla galleria foto del dispositivo e ai file locali all'installazione. L'app afferma fuorviante che le autorizzazioni sono richieste affinché l'app funzioni normalmente.
La decompilazione dell'app ha rivelato che il suo scopo principale era centrato sul recupero e l'upload delle informazioni utente. Quando gli utenti visitavano la pagina del contratto nell'app, attivavano funzioni che scansionavano e raccoglievano file multimediali dallo storage del dispositivo. Questi erano impacchettati e caricati su un server remoto distante gestito dagli attaccanti.
Il codice nell'applicazione aveva funzioni come “androidDoingUp” e “uploadBinFa”, il cui unico scopo era scaricare immagini e video dal dispositivo e caricarli sugli attaccanti. L'URL di segnalazione impiegava un dominio che era stato ottenuto dalla cache locale dell'app; quindi, non era facile per gli utenti tracciare la destinazione dei loro dati.
L'app truffa aveva anche un soggetto del certificato di firma anomalo con lettere casuali (“adminwkhvjv”) invece delle lettere significative normalmente usate nelle app autentiche. Questo aspetto ha anche stabilito l'app come fraudolenta.
L'analisi on-chain dei fondi traccia i flussi di asset rubati
L'analisi blockchain del furto mostra i flussi di fondi su diverse reti. L'indirizzo principale del furto ha avviato la sua transazione iniziale il 12 febbraio 2025 con la ricezione di 0,001 BNB dall'indirizzo.
Sulla catena BSC, gli attaccanti hanno realizzato profitti per circa 37.000 dollari, in gran parte in USDC, USDT e WBTC. Gli hacker hanno usato frequentemente PancakeSwap per scambiare diversi token in BNB. Al momento, questo indirizzo ha 611 BNB e circa 120.000 dollari di token, come USDT, DOGE e FIL.
La rete Ethereum ha subito il furto più consistente, perdendo circa 280.000 dollari. La maggior parte di questi fondi è derivata da trasferimenti di ETH cross-chain da altre reti. Gli aggressori hanno depositato 100 ETH in un indirizzo di backup, al quale sono stati trasferiti 160 ETH da un altro indirizzo collegato. In totale, 260 ETH sono detenuti in questo indirizzo senza ulteriori movimenti.
Su Polygon, gli aggressori hanno incassato token per un valore di circa 65.000 dollari, tra cui WBTC, SAND e STG. La maggior parte di questi fondi è stata scambiata su OKX-DEX per quasi 67.000 POL. Ulteriori furti sono stati osservati su Arbitrum (37.000 dollari) e Base (12.000 dollari), con la maggior parte dei token scambiati in ETH e trasferiti sulla rete Ethereum.
Non limitarti a leggere le notizie sulle criptovalute. Comprendile. Iscriviti alla nostra newsletter. È gratuita.
Dichiarazione di responsabilità. Le informazioni fornite non costituiscono consigli di trading. Cryptopolitan.com non si assume alcuna responsabilità per eventuali investimenti effettuati sulla base delle informazioni fornite in questa pagina. Si consiglia vivamente di effettuare ricerche indipendenti e/o consultare un professionista qualificato prima di prendere qualsiasi decisione di investimento.
Vignesh Karunanidhi
Vignesh è uno scrittore di contenuti crypto, giornalista crypto, editor di contenuti e social media manager. Ha lavorato con Watcher.guru, BeInCrypto, CoinGape, Milkroad e Airdrops per oltre 6 anni. Le sue competenze nella copertura di notizie su tecnologia, robotica, business e intelligenza artificiale si sono affinate grazie a una laurea magistrale in Commercio.
