FTX и Alameda выкупили $45 миллионов в Solana из стейкинга, добавив к $1,2 миллиарда, ликвидированным с 2023 года.

Исследователи обнаружили новое вредоносное ПО, нацеленное на криптокошельки

Компания по безопасности Mosyle обнаружила штамм вредоносного ПО, способный обходить обнаружение антивирусным программным обеспечением и красть информацию из браузерных криптокошельков. Вредоносное ПО распространяется через фальшивые рекламные объявления рекрутеров в интернете. 

ModStealer использует Node.js для кражи закрытых ключей

Согласно исследованиям 9to5Mac, вредоносное ПО ModStealer маскировалось на системах macOS под фоновую вспомогательную программу для обеспечения постоянства, гарантируя автоматический запуск при каждой перезагрузке компьютера. На зараженных системах присутствовал файл с меткой sysupdater.dat и необычные соединения с подозрительными серверами. 

Шань Чжан, главный специалист по информационной безопасности в SlowMist, компании в сфере безопасности блокчейна, сообщил, что ModStealer обходит обнаружение антивирусами mainstream и представляет значительный риск для экосистемы цифровых активов. Он добавил, что вредоносное ПО поддерживает несколько платформ и работает скрытно, что отличает его от традиционных вирусов. 

Чарльз Гийоме, технический директор Ledger, сообщила упомянул еще одну аналогичную атаку, позволившую злоумышленникам скомпрометировать аккаунт разработчика в Node Package Manager (npm) с целью распространения вредоносного кода, который может незаметно заменять адреса кошельков во время транзакций. Он предупредил, что такие инциденты демонстрируют уязвимость библиотек кода, связанных с блокчейном.

«Ошибки злоумышленников привели к сбоям в конвейерах CI/CD, что позволило обнаружить атаку на ранней стадии и ограничить ущерб. Тем не менее, это четкое напоминание: если ваши средства хранятся в программном кошельке или на бирже, вы на один шаг выполнения кода от потери всего. Компромисс цепочки поставок остается мощным вектором доставки вредоносного ПО, и мы также наблюдаем рост целевых атак.»

–Чарльз Гийоме, технический директор Ledger

Чжан предупредил, что вредоносное ПО ModStealer представляет прямую угрозу для пользователей криптовалют и платформ, добавив, что для отдельных пользователей компрометация закрытых ключей, сид-фраз и ключей API бирж может привести к немедленным убыткам. Он также отметил, что массовая кража данных кошельков браузерных расширений может спровоцировать крупномасштабные эксплойты в блокчейне, подорвать доверие пользователей и повысить риски во всей цепочке поставок криптовалют. 

Новые киберэксплойты нацелены на данные криптокошельков

Гийоме ошибки в логике вычислений Aave V3, немедленно приостановив новые депозиты и займы на затронутых рынках. Этот шаг был предпринят для обеспечения безопасности средств пользователей и возможности вывода средств и погашения займов без каких-либо рисков. сообщил, что экосистема JavaScript была скомпрометирована в результате масштабной атаки на цепочку поставок, нацеленной на такие библиотеки, как chalk, strip-ansi, color-convert и error-ex. Затронутые пакеты скачивались более миллиарда раз в неделю, что представляет серьезную угрозу для экосистемы блокчейна. 

Вредоносное ПО работало как криптоклиппер, то есть могло заменять адреса кошельков в сетевых запросах или изменять транзакции, инициированные через MetaMask и другие кошельки. Атака была обнаружена благодаря незначительному сбою сборки в конвейере CI/CD. Позже исследователи выяснили, что вредоносное ПО использовало две стратегии. Первая стратегия заключалась в пассивной подмене адресов: она отслеживала исходящие сетевые запросы и заменяла адреса кошельков на контролируемые злоумышленниками. Для этого использовался алгоритм расстояния Левенштейна, который выбирает визуально похожие адреса, затрудняя обнаружение изменений.

Другой метод, использованный злоумышленниками, заключался в активной перехвате транзакций: он изменял ожидающие транзакции в памяти перед их отправкой на утверждение пользователем, как только обнаруживался криптокошелек. Этот трюк заставлял пользователей подписывать переводы напрямую на кошелек злоумышленника.

Аналогичные инциденты были сообщал на Cryptopolitan недавно, где исследование ReversingLabs выявило другое вредоносное ПО, скрытое в смарт-контрактах Ethereum. Атака распространялась через пакеты npm, включая colortoolv2 и mimelib2, которые действовали как агенты второго этапа, загружая вредоносное ПО, хранящееся в блокчейне Ethereum. 

ReversingLabs revealed, что вредоносное ПО обходило сканирование безопасности, скрывая вредоносные URL-адреса внутри смарт-контрактов Ethereum. Позже оно загружалось через поддельные репозитории GitHub, выдававшие себя за торговые боты для криптовалют. Операция была связана с Ghost Network Стареца (Stargazer’s Ghost Network) — системой скоординированных атак, повышающих легитимность вредоносных репозиториев.