70 oszustw i haków w 7 dni: 18 milionów dolarów skradzionych według SEAL

Zwykły tydzień. Security Alliance (SEAL) odnotowała 70 incydentów bezpieczeństwa w ekosystemie kryptowalut od 13 do 20 października. Największe straty dotyczą zainfekowanych Ledgerów sprzedawanych przez CryptoBilis: trzy nowe ofiary i 9,3 miliona dolarów zniknęło w ciągu siedmiu dni.

Kolektyw, który prowadzi infolinię SEAL 911, szacuje straty tygodniowe na ponad 18 milionów dolarów w ośmiu głównych kategoriach strat. Do tego dodajemy około setki ETH i kilka BTC. W programie: skradzione seed phrases, fizyczne napady i fałszywe rozmowy kwalifikacyjne prowadzone z Pjongjangu.
Kluczowe punkty tego artykułu:

• Security Alliance odnotowała 70 incydentów bezpieczeństwa w sektorze kryptowalut w ciągu tygodnia, z stratami przekraczającymi 18 milionów dolarów.
• Zainfekowane Ledger'y sprzedawane przez CryptoBilis spowodowały straty w wysokości 9,3 miliona dolarów, mimo trwającego śledztwa i ostrzeżeń o bezpieczeństwie.

Kim jest SEAL i dlaczego relacjonujemy ich pracę

Security Alliance nie jest ani firmą audytorską, ani firmą ochroniarską sprzedającą swoje usługi. To organizacja non-profit, która została założona na początku 2024 roku z inicjatywy samczsun, badacza bezpieczeństwa z Paradigm, która zrzesza setki wolontariuszy: badaczy, programistów, śledczych on-chain, prawników. Jej najbardziej znanym narzędziem jest SEAL 911, infolinia dostępna na Telegramie, gdzie etyczny haker przejmuje sprawy w ciągu kilku minut, gdy protokół jest opróżniany lub gdy osoba prywatna widzi, jak jej środki znikają.

Kolektyw publikuje również Safe Harbor Agreement, ramy prawne, które pozwalają białym kapeluszom interweniować podczas ataku, aby zabezpieczyć środki, oraz prowadzi aktualizowane listy domen phishingowych i fałszywych adresów. To z tej mrówczej pracy, widocznej dzień po dniu na poniższym wykresie, pochodzą wszystkie liczby w tym artykule. Obserwacje i incydenty zbierane dzień po dniu przez SEAL od 13 do 20 października. Źródło: Security Alliance (SEAL)

Mówimy to bez ogródek: Journal du Coin nie ma żadnego partnerstwa z SEAL, i nikt nie prosił nas o relacjonowanie ich pracy. Relacjonujemy ich pracę, ponieważ jest to użyteczne dla społeczeństwa, a te cotygodniowe raporty są, według naszej wiedzy, najwiarygodniejszym źródłem informacji o tym, co naprawdę dzieje się w kwestii bezpieczeństwa. W ekosystemie, w którym nikt nie zwraca pieniędzy, SEAL stał się niezbędny. Jeśli jesteś ofiarą kradzieży lub hakowania, lub jeśli podejrzewasz, że twoje urządzenie zostało skompromitowane, reakcja jest prosta: securityalliance.org/sos lub bot Telegram @seal_911_bot, za darmo, o każdej porze.

Ledger i CryptoBilis: implant nadal opróżnia portfele

Myślałeś, że sprawa jest za tobą? Nie jest. Trzy zgłoszenia otrzymane przez SEAL w tym tygodniu same w sobie wynoszą 9,3 miliona dolarów, co daje średnio ponad 3 miliony na ofiarę. Dla przypomnienia, Ledger rozpoczął swoje śledztwo 9 października, potwierdził 10 października obecność nieautoryzowanego implantu sprzętowego w urządzeniu klienta, a następnie 11 października powiązał wszystkie zgłoszone straty z urządzeniami sprzedawanymi przez tego malezyjskiego sprzedawcę.

Aktualizacja techniczna opublikowana 13 października przez Ledger Donjon opisuje mechanizm o okrutnej prostocie. Moduł umieszczony w obudowie odczytuje ekran podczas konfiguracji (moment, w którym wyświetlane są 24 słowa frazy odzyskiwania). Następnie przesyła je przez sieć mobilną dzięki eSIM. Secure Element, zabezpieczony chip, który podpisuje transakcje, pozostaje nienaruszony. Zatem << Genuine Check >> od Ledger potwierdza urządzenie jako autentyczne, nie będąc w stanie wykryć implantu.

Producent zaleca nigdy nie inicjować urządzenia zakupionego u tego sprzedawcy oraz przenieść swoje środki do nowego portfela z nowym seedem, jeśli już to zrobiono. Problem wykracza już poza Azję Południowo-Wschodnią. Niemiecki klient zgłosił zainfekowane urządzenie zakupione w MediaMarkt, bez utraty środków na tym etapie, a sieć wycofała Ledger z półek we wszystkich swoich krajach.

Frazy seed i ataki wrench, czynnik ludzki przed kodem

Z 25 przypadkami na 70, kompromitacja frazy seed pozostaje zdecydowanie najczęstszą kategorią w bilansie SEAL. Tygodniowy rachunek osiąga 3,86 miliona dolarów, 64,5 ETH i 0,3 BTC. Fraza seed to te 12 lub 24 słowa, które dają dostęp do wszystkich środków w portfelu. Ktokolwiek je zdobędzie, staje się właścicielem. Przejęcia kont dodają 1,6 miliona dolarów do licznika. 70 incydentów tygodnia według kategorii: kompromitacja frazy seed przytłacza wszystko inne. Źródło: Security Alliance (SEAL)

Ataki wrench również znajdują się w zestawieniu, z dwiema ofiarami obrabowanymi osobiście i 1,22 miliona dolarów skradzionymi. SEAL podkreśla, że te fizyczne agresje są w wzroście. Termin ten odnosi się do kradzieży kryptowalut pod groźbą, kiedy klucz francuski zastępuje złośliwe oprogramowanie. Francuscy czytelnicy znają temat: policja kryminalna odnotowała już 41 porwań kryptowalut we Francji w połowie kwietnia 2026.

Jeśli chodzi o protokoły, SEAL odnotowuje dziewięć raportów. Sześć kompromitacji kosztowało 2 miliony dolarów i 37,44 ETH, w tym dwa exploity po 1 milionie każdy. Przejęcie infrastruktury spowodowało stratę 32 400 dolarów i 5 BTC. A potem jest ten przypadek wewnętrznego zagrożenia, niemal komiczny, gdyby nie był tak poważny. Jeden z uczestników dodał własny adres jako sygnatariusza multisig, tego portfela, który wymaga wielu potwierdzeń, aby poruszyć środki.

Fałszywe Zoom i fałszywi rekruterzy, Korea Północna szeroko zbiera

Grupy północnokoreańskie miały pięć ofiar na 260 000 dolarów. Trzy z nich straciły 86 000 dolarów w pułapce << Contagious Interview >> (fałszywe rozmowy kwalifikacyjne, w których kandydat instaluje złośliwe oprogramowanie, wierząc, że przechodzi test techniczny). Kompromitacja portfela, która nie została jeszcze przypisana do konkretnej kampanii, stanowi pozostałe 174 000 dolarów.

Co gorsza dla programistów, złośliwe oprogramowanie Polin Rider zostało wykryte w 13 z 928 repozytoriów programu bounty open source, raportuje SEAL. Na tym etapie nie zgłoszono żadnych strat. Grupa UNC1069 zarejestrowała również nowe domeny imitujące usługi wideokonferencyjne. A zestaw intruzów, jeszcze nie przypisany, nazwany SINT-69, nadal produkuje fałszywe strony Zoom i Teams o nazwach typu zoomwweb lub teamlives.

Tryb operacyjny się nie zmienia. Kontakt proponuje rozmowę, link prowadzi do strony, która wymaga "aktualizacji" oprogramowania do wideokonferencji, a ta aktualizacja opróżnia Twój portfel. Sprawdź nazwę domeny przed zainstalowaniem czegokolwiek. W ciągu tygodnia SEAL zebrał 2393 domeny phishingowe, opublikował 2437 wskaźników kompromitacji i zarejestrował 155 portfeli.

Ledger wciąż nie przekazał oficjalnego bilansu liczby zainfekowanych urządzeń ani całkowitej kwoty skradzionej, którą określa jako "ograniczoną". Śledczy on-chain już śledzą 103 miliony dolarów łupu przez Tornado Cash i Zcash, a trzy sprawy dodane w tym tygodniu przez SEAL jeszcze bardziej zwiększają tę kwotę.