A carteira de hardware não foi comprometida, mas os usuários perderam 2,56 milhões de dólares — a vulnerabilidade estava no elo humano.
A NGRAVE revelou que um atacante sequestrou o serviço de notificações de terceiros usado pelo aplicativo LIQUID e enviou alertas de segurança falsos aos usuários, induzindo-os a clicar em sites fraudulentos e inserir a frase de recuperação de 24 palavras ou a Perfect Key. Cerca de 70 carteiras foram roubadas em 4 blockchains, totalizando aproximadamente 2,56 milhões de dólares. $BTC perdeu cerca de 1,77 milhão de dólares, $XRP cerca de 454 mil dólares, os ativos relacionados a $ETH cerca de 316 mil dólares, e a Stellar cerca de 18 mil dólares. Scripts automatizados transferiram os ativos em poucos minutos.
A NGRAVE enfatizou que a carteira de hardware ZERO e as chaves privadas não foram comprometidas diretamente: as vítimas entregaram voluntariamente suas credenciais de recuperação durante o ataque de phishing. O acesso não autorizado pode ter começado em 11 de outubro. Primeiro, o atacante obteve uma chave de acesso e, em seguida, conseguiu uma chave com permissões mais amplas. Em 17 de outubro, enviou notificações falsas. A empresa detectou a anomalia cerca de 1 minuto após o envio das notificações, mas a primeira carteira já havia sido esvaziada 6 minutos depois. O sistema de notificações foi desativado naquela noite. O CEO admitiu que a empresa não cumpriu as responsabilidades de segurança mais básicas de uma empresa de segurança cripto. As chaves afetadas já foram substituídas, e foram adicionados processos de aprovação por duas pessoas, restrições de domínio e um mecanismo de desligamento de emergência.
O que vale a pena refletir neste caso é a diferença de tempo: a anomalia foi detectada em 1 minuto e os fundos foram retirados em 6. A reação foi relativamente rápida, mas ainda assim não foi possível salvar os ativos. Depois que a frase de recuperação é revelada, nenhuma medida posterior consegue acompanhar a velocidade dos scripts. Um dispositivo de hardware pode proteger as chaves privadas, mas não pode impedir que o próprio usuário entregue a chave.
Como você costuma identificar um “alerta de segurança” enviado oficialmente pela carteira? Quando recebe uma notificação desse tipo, sua primeira reação é clicar nela ou verificar primeiro pelos canais oficiais?
#钓鱼攻击 #钱包安全 #SegurançaCripto
A NGRAVE revelou que um atacante sequestrou o serviço de notificações de terceiros usado pelo aplicativo LIQUID e enviou alertas de segurança falsos aos usuários, induzindo-os a clicar em sites fraudulentos e inserir a frase de recuperação de 24 palavras ou a Perfect Key. Cerca de 70 carteiras foram roubadas em 4 blockchains, totalizando aproximadamente 2,56 milhões de dólares. $BTC perdeu cerca de 1,77 milhão de dólares, $XRP cerca de 454 mil dólares, os ativos relacionados a $ETH cerca de 316 mil dólares, e a Stellar cerca de 18 mil dólares. Scripts automatizados transferiram os ativos em poucos minutos.
A NGRAVE enfatizou que a carteira de hardware ZERO e as chaves privadas não foram comprometidas diretamente: as vítimas entregaram voluntariamente suas credenciais de recuperação durante o ataque de phishing. O acesso não autorizado pode ter começado em 11 de outubro. Primeiro, o atacante obteve uma chave de acesso e, em seguida, conseguiu uma chave com permissões mais amplas. Em 17 de outubro, enviou notificações falsas. A empresa detectou a anomalia cerca de 1 minuto após o envio das notificações, mas a primeira carteira já havia sido esvaziada 6 minutos depois. O sistema de notificações foi desativado naquela noite. O CEO admitiu que a empresa não cumpriu as responsabilidades de segurança mais básicas de uma empresa de segurança cripto. As chaves afetadas já foram substituídas, e foram adicionados processos de aprovação por duas pessoas, restrições de domínio e um mecanismo de desligamento de emergência.
O que vale a pena refletir neste caso é a diferença de tempo: a anomalia foi detectada em 1 minuto e os fundos foram retirados em 6. A reação foi relativamente rápida, mas ainda assim não foi possível salvar os ativos. Depois que a frase de recuperação é revelada, nenhuma medida posterior consegue acompanhar a velocidade dos scripts. Um dispositivo de hardware pode proteger as chaves privadas, mas não pode impedir que o próprio usuário entregue a chave.
Como você costuma identificar um “alerta de segurança” enviado oficialmente pela carteira? Quando recebe uma notificação desse tipo, sua primeira reação é clicar nela ou verificar primeiro pelos canais oficiais?
#钓鱼攻击 #钱包安全 #SegurançaCripto