A empresa de cibersegurança dos EUA CrowdStrike e a força federal de aplicação da lei desmantelaram o botnet do malware Sality, ligado à Rússia, que operava desde 2003 e sequestrava pagamentos de criptomoedas em computadores infectados pelos últimos oito anos. De acordo com a ChainCatcher, a carga útil central do malware, EggJagger, monitorava a área de transferência e substituía textos semelhantes a endereços de Bitcoin ou Ethereum por endereços controlados pelo atacante, fazendo com que as vítimas enviassem fundos ao destino errado ao colar os detalhes da transferência.

A Sality não tinha um servidor central para tomar e, em vez disso, dependia da comunicação direta entre dispositivos infectados, verificando nós pares a cada 40 minutos e se espalhando por compartilhamentos de rede e drives USB. A CrowdStrike afirmou que explorou uma falha de segurança nesse mecanismo para substituir os servidores da botnet por endereços de pares legítimos, cortando mais de 15.000 dispositivos infectados da rede. A operação foi demonstrada ao vivo na segunda-feira, durante o Day Zero summit da CrowdStrike em Las Vegas, e o Departamento de Justiça dos EUA disse que a ação teve origem na Rússia.

A CrowdStrike estimou que os atacantes roubaram pelo menos 12,1 milhões de rublos ao longo de oito anos. A maior parte da criptomoeda roubada não foi gasta, e seu valor subiu para cerca de US$ 1,35 milhão no início de 2025, conforme os preços aumentaram. Autoridades recomendaram que os usuários verificassem os primeiros e os últimos caracteres de um endereço de criptomoeda após colá-lo para ajudar a detectar ataques de sequestro da área de transferência (clipboard).