Викриття індустрії фішинг-атак у світі шифрування

З червня 2024 року команда безпеки зафіксувала велику кількість подібних фішингових атак та угод з виведення коштів. Лише в червні сума, що підпадала під підозру, перевищила 55 мільйонів доларів, а в серпні та вересні пов'язані фішингові активності стали ще частішими. Протягом третього кварталу 2024 року фішингові атаки стали основним способом, що призвів до найбільших економічних втрат, під час 65 атак було отримано понад 243 мільйони доларів. Аналіз показує, що нещодавно виниклі фішингові атаки, ймовірно, пов'язані з відомою командою інструментів для фішингу. Ця команда оголосила про "вихід на пенсію" наприкінці 2023 року, але тепер, здається, знову активна, здійснюючи серію масштабних атак.

У цій статті буде проаналізовано деякі типові методи роботи груп, що займаються фішингом, а також детально наведено їх характеристику поведінки. Сподіваємось, що завдяки цим аналізам, користувачі зможуть підвищити свою здатність розпізнавати та запобігати шахрайству у мережі.

Шахрайство як послуга(Scam-as-a-Service)

У світі шифрування деякі фішингові групи винайшли нову шкідливу модель, яка називається "Шахрайство як послуга" ( Scam-as-a-Service ). Ця модель упаковує шахрайські інструменти та послуги, пропонуючи їх у формі товару іншим злочинцям. У період з листопада 2022 року по листопад 2023 року, під час першого оголошення про закриття послуг, їх загальна сума шахрайства перевищила 80 мільйонів доларів.

Ці постачальники послуг допомагають покупцям швидко розпочати атаки, пропонуючи готові інструменти для фішингу та інфраструктуру, включаючи фішингові веб-сайти, бекенд і фронтенд, смарт-контракти, а також облікові записи в соціальних мережах. Фішери, які купують послуги, зберігають більшість викрадених коштів, тоді як постачальники послуг стягують комісію в розмірі 10%-20%. Ця модель значно знижує технічний бар'єр для шахрайства, роблячи кіберзлочинність більш ефективною та масштабною, що призводить до розповсюдження фішингових атак у сфері шифрування, особливо серед користувачів, які не мають достатньої свідомості щодо безпеки, які стають легшими мішенями для атак.

Як працює шахрайство як послуга

Типовий децентралізований додаток (DApp) зазвичай складається з фронтального інтерфейсу та смарт-контрактів на блокчейні. Користувачі підключаються до фронтального інтерфейсу DApp через гаманці блокчейна, фронтальна сторінка генерує відповідну транзакцію блокчейна і надсилає її до гаманця користувача. Потім користувачі підписують цю транзакцію за допомогою гаманця блокчейна, після завершення підписання транзакція надсилається до мережі блокчейна і викликає відповідний смарт-контракт для виконання необхідних функцій.

Зловмисники, які займаються риболовлею, через розробку шкідливих інтерфейсів і смарт-контрактів, майстерно спонукають користувачів виконувати небезпечні дії. Зловмисники зазвичай спрямовують користувачів на натискання шкідливих посилань або кнопок, обманюючи їх на підтвердження деяких прихованих шкідливих транзакцій, а в деяких випадках навіть спонукаючи користувачів розкрити свої приватні ключі. Як тільки користувач підписує ці шкідливі транзакції або розкриває приватні ключі, зловмисники можуть легко перевести активи користувача на свої рахунки.

Звичайні засоби включають:

1. Підробка відомого проекту: зловмисники шляхом ретельного імітування офіційного веб-сайту відомого проекту створюють на перший погляд законний інтерфейс, змушуючи користувачів помилково вважати, що вони взаємодіють з надійним проектом.

2. Схема з аірдропом токенів: вони активно рекламують фішингові сайти в соціальних мережах, стверджуючи, що є "безкоштовні аірдропи", "ранні передпродажі", "безкоштовне карбування NFT" та інші надзвичайно привабливі можливості, щоб заманити жертв натиснути на посилання.

3. Фальшиві хакерські інциденти та схеми винагород: кіберзлочинці стверджують, що певний відомий проект зазнав хакерської атаки або замороження активів, і тепер виплачує компенсацію або винагороду користувачам.

Модель шахрайства як послуги в значній мірі стала найбільшим рушієм зростання фішингових шахрайств, які посилилися протягом останніх двох років. Ці постачальники послуг повністю усунули технічний бар'єр фішингового шахрайства, надаючи покупцям, які не мають відповідних технологій, послуги зі створення та хостингу фішингових сайтів, та отримуючи прибуток від шахрайських доходів.

Шахрайство як послуга: спосіб розподілу здобутку серед покупців

21 травня 2024 року, один постачальник риболовних інструментів оприлюднив на etherscan повідомлення про верифікацію підпису, оголосив про повернення та створив новий канал Discord.

Аналізуючи транзакції рибальської адреси з аномальною поведінкою, ми виявили такі моделі розподілу здобичі:

1. Постачальник послуг створює контракт через CREATE2. CREATE2 - це команда у віртуальній машині Ethereum, яка використовується для створення розумних контрактів, що дозволяє заздалегідь обчислити адресу контракту на основі байт-коду розумного контракту та фіксованого salt.

2. Виклик створеного контракту, надаючи токени жертви адресі рибалки (послуги покупця) та адресі розподілу здобичі. Зловмисник за допомогою різних рибацьких методів направляє жертву на те, щоб вона ненавмисно підписала шкідливе повідомлення Permit2.

3. Переведіть відповідну кількість токенів на два адреси розподілу та адресу покупця, завершивши розподіл.

Варто зазначити, що спосіб створення контракту перед розподілом награбованого певною мірою може обійти деякі функції захисту гаманців від фішингу, що further знижує настороженість жертви. У конкретному випадку покупець фішингових послуг забрав 82,5% награбованих коштів, тоді як постачальник послуг залишив собі 17,5%.

Простий процес створення фішингового сайту

За допомогою шахрайства як послуги зловмисникам стало надзвичайно легко створити фішинговий веб-сайт:

1. Увійдіть до каналу зв'язку постачальника послуг і створіть безкоштовний домен та відповідну IP-адресу за допомогою простого команди.

2. Виберіть один з сотень наданих шаблонів, і через кілька хвилин ви зможете створити сайт-риба, який виглядає нормально.

3. Шукати жертву. Як тільки жертва потрапляє на цей сайт, вірить шахрайській інформації на сторінці та підключає гаманець для схвалення шкідливої угоди, активи жертви будуть переведені.

Весь процес займає лише кілька хвилин, що значно знижує бар'єр для фішингових атак.

Підсумок та рекомендації щодо запобігання

Зростання шахрайства як послуги принесло величезні ризики безпеці для користувачів галузі. Користувачі, беручи участь у торгах криптовалютою, повинні завжди бути насторожі і пам'ятати про такі моменти:

• Не вірте жодній рекламі на кшталт "пиріжків, що падають з неба", такій як підозрілі безкоштовні аеродропи, компенсації; довіряйте лише офіційним веб-сайтам або проектам, які пройшли професійну аудиторську перевірку.
• Перед підключенням гаманця на будь-якому сайті уважно перевірте URL, чи імітує він відомі проекти, і намагайтеся використовувати інструменти WHOIS для перевірки дати реєстрації, сайти з занадто коротким терміном реєстрації можуть бути шахрайськими проектами.
• Не передавайте своїх мнемоничних фраз або приватних ключів на будь-які підозрілі сайти чи додатки, перед підписанням будь-якого повідомлення або затвердженням транзакції в гаманці ретельно перевірте, чи може ця транзакція призвести до втрати коштів.
• Слідкуйте за деякими офіційними обліковими записами в соціальних мережах, які регулярно публікують попередження. Якщо ви виявите, що ненавмисно надали токени шахрайській адресі, своєчасно відкличте авторизацію або перемістіть залишкові активи на іншу безпечну адресу.