Вредоносное ПО Bom лишает пользователей более чем 1.82 млн долларов: SlowMist

План массового кражи криптовалюты был выявлен после того, как различные пользователи сообщили о несанкционированном доступе к балансам своих кошельков 14 февраля 2025 года.

Компании по безопасности SlowMist и OKX выпустили совместный отчет, в котором сообщается, что они обнаружили, что за атаки отвечало злонамеренное приложение под названием BOM.

Исследование установило, что BOM предназначалось для обмана пользователей с целью получения доступа к их фотогалерее и локальному хранилищу. После предоставления разрешений приложение тайно сканировало скриншоты или фотографии с мнемоническими фразами кошельков или закрытыми ключами. Последние загружались на серверы злоумышленников.

Согласно данным MistTrack, вредоносное ПО затронуло не менее 13 000 пользователей, а общая сумма украденных средств превысила $1,82 млн. Злоумышленники переводили средства по различным блокчейнам, таким как Ethereum, BSC, Polygon, Arbitrum и Base, чтобы скрыть свои действия.

Анализ вредоносного ПО выявляет схему сбора данных

Анализ команды по безопасности OKX Web3 показал, что приложение было создано с использованием кроссплатформенного фреймворка UniApp. Это была архитектура, предназначенная для извлечения конфиденциальных данных. BOM запрашивает разрешение на доступ к фотогалерее устройства и локальным файлам при установке. Приложение вводит в заблуждение, утверждая, что разрешения необходимы для нормальной работы.

Декомпиляция приложения раскрыла его основную цель, связанную с извлечением и загрузкой пользовательской информации. Когда пользователи посещали страницу контракта в приложении, они активировали функции, которые сканировали и собирали медиафайлы из хранилища устройства. Они упаковывались и загружались на удаленный сервер, управляемый злоумышленниками.

Код приложения содержал функции, такие как «androidDoingUp» и «uploadBinFa», единственной целью которых было скачивание изображений и видео с устройства и их загрузка злоумышленникам. URL-адрес отчета использовал домен, полученный из локального кеша приложения, поэтому пользователям было непросто отследить место назначения своих данных.

Приложение-мошенник также имело аномальную подпись субъекта со случайными буквами («adminwkhvjv») вместо осмысленных букв, обычно используемых в подлинных приложениях. Этот аспект также подтверждал мошеннический характер приложения.

Анализ движения средств в блокчейне отслеживает потоки украденных активов

Анализ кражи в блокчейне показывает движение средств по нескольким сетям. Основной адрес кражи инициировал свою первую транзакцию 12 февраля 2025 года, получив 0,001 BNB с адреса.

В сети BSC злоумышленники получили прибыль около $37 000, в основном в USDC, USDT и WBTC. Хакеры часто использовали PancakeSwap для обмена различных токенов на BNB. На данный момент этот адрес содержит 611 BNB и токенов на сумму около $120 000, таких как USDT, DOGE и FIL.

Сеть Ethereum понесла наибольшие убытки от кражи, потеряв около $280 000. Большинство этих средств resulted from cross-chain ETH transfers from other networks. Злоумышленники перевели 100 ETH в резервный адрес, на который было переведено 160 ETH с другого связанного адреса. В целом, на этом адресе хранится 260 ETH без дополнительных движений.

В сети Polygon злоумышленники получили токены на сумму около $65 000, включая WBTC, SAND и STG. Большинство этих средств было обменяно на OKX-DEX почти на 67 000 POL. Дальнейшие кражи были зафиксированы в Arbitrum ($37 000) и Base ($12 000), при этом большинство токенов было обменяно на ETH и переведено в сеть Ethereum.