Социальные сети Immutable AI Labs взломаны, распространяются фишинговые ссылки

Кажется, что социальные сети Immutable AI Labs были скомпрометированы, когда было замечено, что они распространяют рискованную ссылку для аирдропа токена IMMU. Исследователи безопасности Web3 недавно обнаружили другие случаи компрометации профилей в социальных сетях. 

Профиль Immutable AI Labs в социальных сетях был взломан, что было обнаружено службой Web3 Antivirus. Обнаружение произошло после того, как аккаунт Immutable AI в X был найден распространяющим поддельную ссылку, предлагающую пользователям проверить свою eligibility перед новым аирдропом токена IMMU. 

Риск все еще сохраняется, так как аккаунт Immutable AI в X все еще не заморожен и не заблокирован. Вредоносная ссылка оставалась активной спустя несколько часов после первоначальной публикации. Поддельная ссылка использует поддельный сайт ImmutableAI, который отличается от настоящего проверочного сайта eligibility лишь незначительно. Взломанный аккаунт также распространяет фишинговую ссылку через ответы.

Проверщики адресов не помечают поддельный сайт как рискованный, а инструмент Web3 Antivirus обнаруживает риск только при попытке подключения кошелька.

Взломанные аккаунты в социальных сетях являются одним из основных способов распространения поддельных адресов токенов и фишинговых ссылок. На этот раз инцидент также включал полностью поддельный веб-сайт. Служба Web3 Antivirus помечает адрес как рискованный, содержащий ворующий средства скрипт (drainer) и поддельный адрес Ethereum, который выглядит легитимно. 

Взломщики Immutable AI Labs рекламируют поддельный токен IMMU

Для Immutable AI Labs токен IMMU не упоминается нигде в других местах в социальных сетях, без подробных условий на айрдропа. У Immutable AI нет ничего общего с ImmutableX, который является отдельным проектом, заявляющим о защите моделей обучения ИИ на блокчейне. 

Атаки в социальных сетях обманули пользователей на сумму до $3,5 млн за последние несколько месяцев, согласно данным отслеживания блокчейна от ZachXBT. В основном атакованными аккаунтами были крипто-инсайдеры, хотя среди них был и аккаунт McDonald’s. 

Взломанные аккаунты в X могут быть особенно коварными, так как были случаи, когда хакер восстанавливал контроль над приложением даже после восстановление. Иногда хакер может настроить ключ доступа (passkey) в мобильном приложении, чего обычно достаточно для повторного входа в аккаунт и отправки сообщений.

Эксплуатация уязвимости опиралась на создание ключа доступа, которое не сразу заметно для настоящего владельца аккаунта. Для проектов Web3 и других проектов восстановление доступа должно учитывать возможность получения доступа через ключ, который необходимо отозвать.  

По мере роста стоимости токенов и увеличения активности фишинговые ссылки теперь имеют больше возможностей для скрытия в различных формах. Активность в DeFi, продажи токенов, минтинг NFT или другие активности в Web3 — все это жизнеспособные варианты для создания скриптов-воров, поддельных токенов или rug-пулов на Pump.fun. 

DEX Aerodrome также был имитирован через вредоносные рекламные объявления в Google

В случаях, когда хакеры не могут захватить контроль над аккаунтом в социальных сетях, поддельная реклама в поиске Google остается распространенным инструментом для распространения поддельных ссылок. Недавняя атака была направлена на DeFi Llama сервис торговли.

Лучший способ избежать этих ловушек — добавить легитимные ссылки в закладки для большинства DEX и DeFi-сервисов, вместо того чтобы каждый раз полагаться на поиск в Google. Некоторые ссылки могут потребовать двойной проверки или, в крайнем случае, тестирования с кошельком, не содержащим значительных резервов.

🚨 Предупреждение о безопасности: Обнаружены фишинговые объявления, имитирующие Aerodrome в Google! Эти мошеннические объявления могут украсть ваши активы, если вы подключите кошелек и подпишете транзакции.

🛡️ Советы по безопасности:
• Пропускайте результаты рекламных объявлений в Google
• Добавляйте доверенные сайты в закладки
• Никогда не спешите подписывать транзакции pic.twitter.com/OkCg3uK4Zy

— Scam Sniffer | Web3 Anti-Scam (@realScamSniffer) 27 ноября 2024 г.

Популярность блокчейна Base и его способность привлекать ценные активы заставили хакеров разместить поддельную рекламу для Aerodrome, одного из самых активных DEX на этой сети. 

На этот раз спонсируемый контент был удален почти сразу. Атака на Base показывает, что эта сеть утвердилась как один из основных хранилищ ценности. До недавнего времени сервисы отслеживания мошенничества отмечали, что более 95% эксплойтов были направлены против Ethereum. Base, как Layer 2, по-прежнему хранит ценные активы, включая токены USDC. 

Эксплойты кошельков Solana даже более рискованны, так как подписанное разрешение не может быть отозвано. Как только ворующий скрипт получает контроль над кошельком с подписанным разрешением, этот адрес навсегда становится скомпрометированным и небезопасным для хранения любых активов, даже если пользователь контролирует свои закрытые ключи. 

Фишинговые ссылки часто опустошают кошельки с небольшими балансами. Однако некоторые из самых крупных эксплойтов достигли сумм более $32M. Pink Drainer, самый распространенный инструмент для опустошения кошельков, на данный момент аккумулировал более $8B активов на нескольких цепочках, затронув 22 161 жертву. Целевое опустошение кошельков с крупными суммами обычно является более эффективным вариантом, но общие поддельные ссылки все еще пытаются опустошить кошельки розничных пользователей.