Адрес для пополнения, скопированный со страницы, может оказаться поддельным даже после вставки. Это не страшилка, а реальный способ атаки, о котором SlowMist сообщила 27 октября. Стоит прочитать всем, кто пополняет счета на биржах.
Всё произошло в уголке сайта, на который многие даже не обращают внимания: в окне чата со службой поддержки в правом нижнем углу. SlowMist проверила два образца и обнаружила, что в скрипт, который должен был обеспечивать работу чата поддержки, встроили дополнительный загрузчик. Он скачивал второй файл с адреса, очень похожего на официальный домен: в слове global букву g заменили на q — при беглом взгляде такую подмену легко не заметить. После запуска скрипт мог читать cookie, доступные JavaScript в браузере, а также данные из localStorage и sessionStorage. Кроме того, он мог следить за формами входа и запросами авторизации и отправлять введённые учётные данные злоумышленникам. Cookie, защищённые флагом HttpOnly, ему недоступны — это важно уточнить: он не мог получить все данные для входа.
Для обычных пользователей особенно опасна другая часть атаки — на странице пополнения. По данным SlowMist, на страницах пополнения трёх бирж — MGBX, Biking Exchange и BitxEX — этот вредоносный код сканировал страницу каждые 200 миллисекунд и подменял отображаемый адрес для пополнения адресом злоумышленника. Под угрозой были Bitcoin, совместимые с Ethereum сети, TRON, Solana, Litecoin и Dogecoin. Код также вмешивался в функцию копирования: изменял кнопку копирования и перехватывал само действие. Иными словами, адрес на странице и вставленный вами адрес могли с самого начала быть одним и тем же поддельным адресом. Раньше советовали после копирования сверить его с адресом на странице, но при таком способе атаки эта проверка могла лишь подтвердить подделку.
Сразу обозначим границы известного, чтобы при пересказах факты не исказились. SlowMist не подтвердила, сколько пользователей действительно пострадало, были ли случаи входа в аккаунты и какая сумма была похищена. Не установлено и то, как именно скрипт попал на сайты. Это также не означает, что взломаны все сайты, использующие эту систему поддержки. Я описываю возможности обнаруженного образца, а не утверждаю, что с каждым открытым вами окном чата что-то не так.
Чтобы защитить свои средства, можно уже сейчас сделать три вещи. Во-первых, не сравнивайте адрес для пополнения только с тем, что показан на текущей странице: сначала сверьте его с адресом, на который вы уже успешно переводили средства, или с историей операций в официальном приложении платформы. Переводите только после того, как полностью совпадут все символы в начале и в конце: страницу и буфер обмена могли изменить одновременно. Во-вторых, не переводите крупную сумму одним платежом. Сначала отправьте небольшую сумму и дождитесь зачисления, а затем переведите остальное. Если с адресом что-то не так, потери хотя бы ограничатся этой небольшой суммой. В-третьих, если вы недавно входили в аккаунт на сайте с всплывающим окном чата поддержки и беспокоитесь за его безопасность, смените пароль в чистом браузере, завершите сеансы на других устройствах и включите двухфакторную аутентификацию. Не меняйте пароль на той же странице, которая могла быть заражена.
В конечном счёте, в этой атаке не затрагивали блокчейн и не взламывали кошелёк — мишенью стал уголок веб-страницы, который мы с вами открываем каждый день. Потратить лишние полминуты на проверку при пополнении куда полезнее, чем потом безуспешно искать помощи у службы поддержки.
А вы перед пополнением сверяете несколько первых и последних символов адреса или просто копируете, вставляете и отправляете?
#钱包安全 #防骗提醒 #SlowMist #БезопасностьБирж
—— Web3-«лук-порей» Сяокай
Этот пост отражает лишь личное мнение автора и представляет собой подборку общедоступной информации; он не является инвестиционной рекомендацией. О ходе инцидента и масштабах его последствий следует судить по дальнейшим сообщениям SlowMist и соответствующих платформ.
Всё произошло в уголке сайта, на который многие даже не обращают внимания: в окне чата со службой поддержки в правом нижнем углу. SlowMist проверила два образца и обнаружила, что в скрипт, который должен был обеспечивать работу чата поддержки, встроили дополнительный загрузчик. Он скачивал второй файл с адреса, очень похожего на официальный домен: в слове global букву g заменили на q — при беглом взгляде такую подмену легко не заметить. После запуска скрипт мог читать cookie, доступные JavaScript в браузере, а также данные из localStorage и sessionStorage. Кроме того, он мог следить за формами входа и запросами авторизации и отправлять введённые учётные данные злоумышленникам. Cookie, защищённые флагом HttpOnly, ему недоступны — это важно уточнить: он не мог получить все данные для входа.
Для обычных пользователей особенно опасна другая часть атаки — на странице пополнения. По данным SlowMist, на страницах пополнения трёх бирж — MGBX, Biking Exchange и BitxEX — этот вредоносный код сканировал страницу каждые 200 миллисекунд и подменял отображаемый адрес для пополнения адресом злоумышленника. Под угрозой были Bitcoin, совместимые с Ethereum сети, TRON, Solana, Litecoin и Dogecoin. Код также вмешивался в функцию копирования: изменял кнопку копирования и перехватывал само действие. Иными словами, адрес на странице и вставленный вами адрес могли с самого начала быть одним и тем же поддельным адресом. Раньше советовали после копирования сверить его с адресом на странице, но при таком способе атаки эта проверка могла лишь подтвердить подделку.
Сразу обозначим границы известного, чтобы при пересказах факты не исказились. SlowMist не подтвердила, сколько пользователей действительно пострадало, были ли случаи входа в аккаунты и какая сумма была похищена. Не установлено и то, как именно скрипт попал на сайты. Это также не означает, что взломаны все сайты, использующие эту систему поддержки. Я описываю возможности обнаруженного образца, а не утверждаю, что с каждым открытым вами окном чата что-то не так.
Чтобы защитить свои средства, можно уже сейчас сделать три вещи. Во-первых, не сравнивайте адрес для пополнения только с тем, что показан на текущей странице: сначала сверьте его с адресом, на который вы уже успешно переводили средства, или с историей операций в официальном приложении платформы. Переводите только после того, как полностью совпадут все символы в начале и в конце: страницу и буфер обмена могли изменить одновременно. Во-вторых, не переводите крупную сумму одним платежом. Сначала отправьте небольшую сумму и дождитесь зачисления, а затем переведите остальное. Если с адресом что-то не так, потери хотя бы ограничатся этой небольшой суммой. В-третьих, если вы недавно входили в аккаунт на сайте с всплывающим окном чата поддержки и беспокоитесь за его безопасность, смените пароль в чистом браузере, завершите сеансы на других устройствах и включите двухфакторную аутентификацию. Не меняйте пароль на той же странице, которая могла быть заражена.
В конечном счёте, в этой атаке не затрагивали блокчейн и не взламывали кошелёк — мишенью стал уголок веб-страницы, который мы с вами открываем каждый день. Потратить лишние полминуты на проверку при пополнении куда полезнее, чем потом безуспешно искать помощи у службы поддержки.
А вы перед пополнением сверяете несколько первых и последних символов адреса или просто копируете, вставляете и отправляете?
#钱包安全 #防骗提醒 #SlowMist #БезопасностьБирж
—— Web3-«лук-порей» Сяокай
Этот пост отражает лишь личное мнение автора и представляет собой подборку общедоступной информации; он не является инвестиционной рекомендацией. О ходе инцидента и масштабах его последствий следует судить по дальнейшим сообщениям SlowMist и соответствующих платформ.
