Раскрытие индустриализации фишинг-атак в мире шифрования

С июня 2024 года команда безопасности зафиксировала большое количество аналогичных фишинговых и мошеннических транзакций. Только в июне сумма, вовлеченная в дела, превысила 55 миллионов долларов, а в августе и сентябре связанные с фишингом действия стали еще более частыми. В течение всего третьего квартала 2024 года фишинговые атаки стали наиболее значительным источником экономических потерь, в 65 атаках было получено более 243 миллионов долларов. Анализ показывает, что недавние частые фишинговые атаки, вероятно, связаны с одной печально известной командой инструментов для фишинга. Эта команда объявила о "выходе на пенсию" в конце 2023 года, но, похоже, теперь снова активна, организуя серию масштабных атак.

В данной статье будут проанализированы типичные методы работы некоторых групп, занимающихся фишинг-атаками, и подробно перечислены их характерные черты. Надеемся, что благодаря этому анализу пользователи смогут повысить свои способности к распознаванию и предотвращению фишинговых мошенничеств.

Мошенничество как услуга(Scam-as-a-Service)

В мире шифрования некоторые команды фишинга изобрели новую злонамеренную модель, называемую "ШАФ"(Scam-as-a-Service). Эта модель упаковывает инструменты и услуги для мошенничества и предлагает их другим преступникам в товарном виде. В период с ноября 2022 года по ноябрь 2023 года, когда они впервые объявили о закрытии сервиса, сумма их мошенничества превысила 80 миллионов долларов.

Эти поставщики услуг помогают покупателям быстро инициировать атаки, предоставляя готовые инструменты для фишинга и инфраструктуру, включая фронт- и бэкэнд фишинговых сайтов, смарт-контракты и аккаунты в социальных сетях. Фишеры, покупающие услуги, оставляют большую часть похищенных средств, в то время как поставщики услуг взимают комиссию в размере 10%-20%. Эта модель значительно снизила технический барьер для мошенничества, сделав киберпреступность более эффективной и масштабируемой, что привело к распространению фишинговых атак в сфере шифрования, особенно среди пользователей, которые не обладают достаточной безопасностью.

Способы работы мошенничества как услуги

Типичное децентрализованное приложение (DApp) обычно состоит из интерфейса и смарт-контрактов на блокчейне. Пользователи подключаются к интерфейсу DApp через блокчейн-кошелек, интерфейс генерирует соответствующую блокчейн-транзакцию и отправляет ее в кошелек пользователя. Затем пользователь использует блокчейн-кошелек для подписи и одобрения транзакции, после завершения подписи транзакция отправляется в блокчейн-сеть и вызывает соответствующий смарт-контракт для выполнения необходимых функций.

Атакующие, занимающиеся рыбалкой, ловко манипулируют пользователями, создавая злонамеренные интерфейсы и смарт-контракты, чтобы заставить их выполнять небезопасные действия. Атакующие часто направляют пользователей на нажатие злонамеренных ссылок или кнопок, тем самым обманывая их, чтобы они одобрили некоторые скрытые злонамеренные транзакции, а в некоторых случаях даже напрямую обманывают пользователей, заставляя их раскрывать свои приватные ключи. Как только пользователь подписывает эти злонамеренные транзакции или раскрывает приватные ключи, атакующий легко может перевести активы пользователя на свой счет.

Распространенные средства включают в себя:

1. Подделка фронтенда известных проектов: злоумышленники, тщательно имитируя официальные веб-сайты известных проектов, создают кажущиеся законными интерфейсы, заставляя пользователей ошибочно полагать, что они взаимодействуют с доверенным проектом.

2. Мошенничество с аирдропами токенов: они активно рекламируют фишинговые сайты в социальных сетях, утверждая, что есть "бесплатные аирдропы", "ранние предпродажи", "бесплатное чеканение NFT" и другие привлекательные возможности, чтобы заманить жертв кликнуть по ссылке.

3. Ложные хакерские инциденты и схемы вознаграждений: киберпреступники утверждают, что известный проект подвергся хакерской атаке или заморозке активов, и сейчас выплачивают пользователям компенсации или вознаграждения.

Модель "мошенничество как услуга" в значительной степени стала главным двигателем роста фишинговых мошенничеств за последние два года. Эти поставщики услуг полностью устранили технический барьер фишингового мошенничества, предлагая покупателям, у которых нет соответствующих технологий, услуги по созданию и хостингу фишинговых сайтов, и извлекая прибыль из мошеннических доходов.

Мошенничество как услуга: способ дележа денег среди покупателей

21 мая 2024 года, один из поставщиков инструментов для рыбалки опубликовал сообщение о проверке подписи на etherscan, объявив о своем возвращении и создав новый канал в Discord.

Анализируя транзакции адреса с аномальным поведением, мы обнаружили следующую схему распределения добычи:

1. Поставщик услуг создает контракт с помощью CREATE2. CREATE2 - это команда в виртуальной машине Ethereum, используемая для создания смарт-контрактов, которая позволяет заранее вычислить адрес контракта на основе байт-кода смарт-контракта и фиксированного salt.

2. Вызовите созданный контракт, предоставив токены жертвы адресу фишинга (покупателя услуг) и адресу для раздела добычи. Злоумышленник с помощью различных фишинговых методов направляет жертву на подписание вредоносного сообщения Permit2.

3. Переведите соответствующее количество токенов на два адреса для дележа и адрес покупателя, завершив дележ.

Стоит отметить, что способ создания контракта перед распределением похищенного может в определенной степени обойти некоторые функции защиты от фишинга в кошельках, что дополнительно снижает настороженность жертв. В одном конкретном случае покупатель услуг фишинга забрал 82,5% похищенных средств, в то время как поставщик услуг удержал 17,5%.

Простые шаги для создания фишингового сайта

С помощью мошенничества как услуги злоумышленникам стало крайне легко создать фишинговый сайт:

1. Войдите в канал связи поставщика услуг и выполните простую команду для создания бесплатного домена и соответствующего IP-адреса.

2. Выберите один из сотен предоставленных шаблонов, и через несколько минут вы сможете создать сайт-ловушку, который будет выглядеть нормально.

3. Поиск жертвы. Как только жертва попадает на этот сайт, верит мошеннической информации на странице и подключает кошелек для подтверждения вредоносной транзакции, активы жертвы будут переведены.

Весь процесс занимает всего несколько минут, что значительно снижает порог для фишинговых атак.

Итоги и рекомендации по предотвращению

Возвышение мошенничества как услуги создало огромные риски безопасности для пользователей отрасли. Пользователи, участвующие в торговле криптовалютами, должны всегда быть настороже и помнить о следующих моментах:

• Не верьте никакой рекламе "пироги падают с неба", например, подозрительным бесплатным аирдропам, компенсациям, доверяйте только официальным сайтам или проектам, прошедшим профессиональный аудит.
• Перед подключением кошелька к любому сайту внимательно проверьте URL, имитирует ли он известные проекты, и старайтесь использовать инструменты WHOIS для проверки доменных имен, чтобы увидеть дату их регистрации. Сайты с слишком коротким временем регистрации с большой вероятностью являются мошенническими проектами.
• Не передавайте свои сид-фразы или приватные ключи никаким подозрительным сайтам или приложениям, внимательно проверяйте, может ли данная транзакция привести к потере средств, прежде чем кошелек попросит подписать любое сообщение или подтвердить транзакцию.
• Следите за официальными аккаунтами в социальных сетях, которые публикуют предупреждения по расписанию. Если вы обнаружили, что по ошибке авторизовали токены на мошеннический адрес, своевременно отозвайте авторизацию или переведите оставшиеся активы на другой безопасный адрес.