Криптоинвестор теряет $800k из своих кошельков за 46 часов

Криптоинвестор, известный под псевдонимом Sell When Over, обратился к Twitter, чтобы разобрать тревожный случай, когда хакер вывел 800 тысяч долларов из его криптокошельков всего за 46 часов. Основная проблема, похоже, связана с потенциальной уязвимостью Google Chrome, которая могла быть использована через задержки в обновлениях или не обнаруженное вредоносное ПО, что привело к несанкционированной установке вредоносных расширений.

Распутывание слоев безопасности

Sell When Over рассказал, как он отложил обновление Chrome, но был вынужден установить его после последующего обновления Windows. После перезагрузки изменения в Chrome были немедленными: пропали вкладки и были сброшены логины расширений. Эта аномалия заставила его повторно импортировать сид-фразы своих кошельков — процесс, который он тщательно выполнял со второго, не скомпрометированного устройства.

Однако обнаружение двух необычных расширений, «Sync Test Beta» и «Simple Game», в сочетании с несанкционированным включением автоперевода на корейский язык, указывало на более глубокую компрометацию. Примечательно, что одно конкретное приложение для кошельков, которое не требовало повторного импорта, осталось unaffected, что указывает на то, что источник взлома находился на одном скомпрометированном ПК.

Дальнейшее изучение этих расширений выявило тревожные функции. «Sync Test Beta», расширение с яркими цветами, было идентифицировано как кейлоггер, тайно передающий данные на внешний PHP-скрипт. С другой стороны, «Simple Game», похоже, отслеживал активность вкладок браузера. Sell When Over сожалел о том, что не стер полностью систему при первых признаках аномалии, особенно когда такие странности совпадают с крупными обновлениями, такими как переработка интерфейса Chrome.

Дорогой урок цифровой бдительности

По мере расширения темы Sell When Over раскрыл критическую уязвимость безопасности — взлом входа в Google, связанный с необычным устройством Windows, возможно, маскирующимся под знакомое имя устройства для обхода раннего обнаружения. Этот взлом был прослежен до VPS, размещенного на Kaopu Cloud, известной в хакерских кругах своей ролью в различных киберпроступках. Несмотря на включенную двухфакторную аутентификацию (2FA), злоумышленник обошел ее, оставив точный метод взлома — от фишинга OAuth до межсайтового скриптинга — предметом спекуляций.

Инцидент стал суровым пробуждением, и Sell When Over поделился несколькими ключевыми выводами:

1. Разочарование в Bitdefender из-за его неспособности обнаружить какие-либо угрозы, в отличие от эффективности Malwarebytes.
2. Предупреждение против самоуспокоенности в вопросах безопасности, независимо от количества обрабатываемых криптовалют.
3. Строгий совет не вводить сид-фразы ни при каких обстоятельствах, рекомендуя вместо этого настроить новую систему.
4. Отказ от Chrome в пользу более безопасных браузеров, таких как Brave.
5. Важность разделения устройств, особенно для крипто-транзакций.
6. Регулярный мониторинг оповещений Google Activity.
7. Рекомендации отключить синхронизацию расширений, особенно на устройствах, предназначенных для крипто.
8. Признание ограничений 2FA.
9. Необходимость регулярных аудитов безопасности и обновления процедур для предотвращения скрытых угроз.

Несмотря на финансовые потери, Sell When Over уточнил, что его аппаратный кошелек остался в безопасности, опровергая любые спекуляции о мотивах уклонения от уплаты налогов за этим раскрытием. Несмотря на то, что часть украденных средств начала отмываться, была предложена надежная награда в размере 150 тысяч долларов за их возвращение, а также рассматриваются варианты форензического расследования на основе вознаграждения.

Сага завершилась на ноте продолжительной бдительности, особенно на фоне сомнительного решения Google игнорировать предупреждения о безопасности — шаг, который потенциально скрыл вторжение.