Malware kradnący kryptowaluty: amerykańska operacja z CrowdStrike
Malware kradnący kryptowaluty stał się przedmiotem wspólnej operacji amerykańskich władz federalnych i firmy CrowdStrike. Według dostępnych informacji działania miały zakłócić funkcjonowanie złośliwego oprogramowania, które przez około osiem lat przekierowało aktywa cyfrowe o łącznej wartości szacowanej na około 150 tys. dolarów.
To kwota niewielka w porównaniu z największymi atakami na giełdy czy protokoły DeFi, ale sam mechanizm jest istotny dla każdego użytkownika kryptowalut. Przestępcy nie zawsze muszą włamywać się do giełdy albo przejmować całą aplikację. Czasem wystarczy zainfekować komputer i podmienić adres portfela w momencie wykonywania transakcji.
Malware kradnący kryptowaluty — na czym polega zagrożenie?
Malware, czyli złośliwe oprogramowanie, to szeroka grupa programów zaprojektowanych do wykonywania działań bez zgody właściciela urządzenia. W świecie aktywów cyfrowych może ono służyć między innymi do wykradania kluczy prywatnych, przechwytywania haseł, zdalnego sterowania komputerem albo obserwowania operacji wykonywanych przez użytkownika.
W opisywanym przypadku chodziło o malware, który przekierowywał kryptowaluty. Najbardziej prawdopodobny schemat tego rodzaju ataku wygląda następująco: użytkownik kopiuje adres odbiorcy, a złośliwy program rozpoznaje ciąg znaków przypominający adres portfela i zastępuje go adresem kontrolowanym przez przestępców. Na ekranie może pojawić się prawidłowo wyglądający adres, dlatego pomyłka bywa trudna do zauważenia.
Nie należy jednak utożsamiać tego mechanizmu z każdym przypadkiem kradzieży kryptowalut. Materiał dotyczący operacji nie podaje nazwy malware’u, sposobu jego dystrybucji, liczby poszkodowanych ani konkretnych sieci blockchain, których dotyczył. Te szczegóły mają znaczenie, ponieważ inne działania ochronne stosuje się przy zainfekowanym komputerze, a inne przy przejęciu konta na giełdzie.
Co wiadomo o operacji amerykańskich władz i CrowdStrike?
Według opisu operacji federalne władze Stanów Zjednoczonych współpracowały z sektorem prywatnym, w tym z firmą CrowdStrike, specjalizującą się w cyberbezpieczeństwie. Celem było zakłócenie działalności infrastruktury wykorzystywanej przez malware oraz ograniczenie możliwości dalszego przekierowywania środków.
Z dostępnych danych wynika, że złośliwe oprogramowanie miało odpowiadać za przekierowanie kryptowalut o wartości około 150 tys. dolarów w ciągu ośmiu lat. To oznacza średnią wartość znacznie niższą niż w przypadku spektakularnych ataków na duże podmioty, ale nie należy wyciągać z tego wniosku, że zagrożenie było nieistotne. Długie działanie programu może wskazywać, że ataki były rozproszone i nastawione na wiele mniejszych transakcji.
Współpraca organów publicznych z firmami zajmującymi się bezpieczeństwem jest obecnie ważnym elementem reagowania na cyberprzestępczość. Firmy prywatne często dysponują danymi o złośliwych plikach, domenach, serwerach i sposobach infekcji, natomiast organy ścigania mogą podejmować formalne działania wobec infrastruktury przestępczej. Samo wykrycie malware’u nie oznacza jeszcze odzyskania wszystkich skradzionych środków.
Dlaczego transferów kryptowalut nie da się po prostu cofnąć?
W większości publicznych sieci blockchain zatwierdzona transakcja jest zasadniczo nieodwracalna. Jeżeli użytkownik wyśle środki na niewłaściwy adres, operator portfela, bank ani twórcy aplikacji nie mogą automatycznie anulować transferu. Właśnie dlatego złośliwa podmiana adresu jest tak niebezpieczna.
Blockchain może pomóc w prześledzeniu przepływu środków, ale identyfikacja adresu nie jest tym samym co ustalenie tożsamości osoby. Przestępcy mogą próbować przenosić aktywa między portfelami, korzystać z usług pośredniczących lub wymieniać jedne tokeny na inne. Skuteczność dochodzenia zależy między innymi od rodzaju sieci, dostępnych danych, współpracy giełd oraz szybkości zgłoszenia incydentu.
Warto też rozróżnić portfel od konta na giełdzie. Portfel samodzielny, określany jako self-custody, daje użytkownikowi kontrolę nad kluczem prywatnym, ale oznacza również większą odpowiedzialność za bezpieczeństwo urządzenia i kopii zapasowych. Gdy środki są przechowywane na giełdzie, użytkownik nie zarządza bezpośrednio kluczem, lecz ryzyko koncentruje się między innymi wokół konta, hasła i zabezpieczeń platformy.
Jak ograniczyć ryzyko podobnego ataku?
Nie istnieje jedna metoda gwarantująca pełną ochronę, ale kilka prostych nawyków znacząco ogranicza ryzyko:
- Sprawdzaj cały adres odbiorcy. Nie polegaj wyłącznie na kilku pierwszych i ostatnich znakach. Przed zatwierdzeniem transakcji porównaj adres z zaufanym źródłem.
- Wykonuj przelew testowy. Przy większej kwocie można najpierw wysłać niewielką sumę i potwierdzić, że dotarła do właściwego odbiorcy.
- Aktualizuj system i aplikacje. Poprawki bezpieczeństwa zmniejszają ryzyko wykorzystania znanych luk w systemie operacyjnym, przeglądarce i portfelu.
- Instaluj oprogramowanie tylko z oficjalnych źródeł. Fałszywe portfele, dodatki do przeglądarek i „narzędzia pomocnicze” mogą zawierać malware.
- Używaj sprzętowego portfela przy większych środkach. Nie eliminuje on wszystkich zagrożeń, ale może ograniczyć ryzyko związane z codziennie używanym komputerem.
- Nie wprowadzaj frazy seed do formularzy internetowych. Osoba lub strona żądająca frazy odzyskiwania zwykle próbuje przejąć kontrolę nad portfelem.
- Rozważ wieloskładnikowe uwierzytelnianie. Na giełdach i w usługach powiązanych z kryptowalutami lepszym wyborem jest aplikacja uwierzytelniająca lub klucz sprzętowy niż kody przesyłane SMS-em, jeśli platforma oferuje takie opcje.
Dobrym uzupełnieniem tych zasad jest ostrożność wobec telefonów i komunikatów podszywających się pod giełdy. Przykładem podobnego schematu socjotechnicznego są fałszywe aktualizacje API Binance, w których atakujący próbują nakłonić użytkownika do wykonania niebezpiecznej czynności.
Co zrobić po podejrzeniu infekcji?
Jeżeli użytkownik podejrzewa, że komputer został zainfekowany, powinien przerwać wykonywanie transakcji na tym urządzeniu i odłączyć je od internetu. Następnie warto skorzystać z aktualnego narzędzia antywirusowego lub pomocy specjalisty. Zmiana hasła na zainfekowanym komputerze może nie wystarczyć, ponieważ malware może przechwytywać nowe dane.
Jeśli klucz prywatny lub fraza seed mogły zostać ujawnione, bezpieczniejszym rozwiązaniem jest utworzenie nowego portfela na czystym urządzeniu i przeniesienie pozostałych środków. Nie należy publikować frazy odzyskiwania podczas zgłaszania incydentu ani przekazywać jej osobom oferującym „odzyskanie kryptowalut”.
Warto zachować adresy portfeli, identyfikatory transakcji, daty, zrzuty ekranu i informacje o używanej aplikacji. Takie dane mogą pomóc giełdzie, dostawcy portfela lub organom ścigania przeanalizować incydent. Nie gwarantują odzyskania środków, ale ułatwiają odtworzenie przebiegu zdarzeń.
Podsumowanie
Operacja amerykańskich władz i CrowdStrike pokazuje, że kradzież kryptowalut może odbywać się nie tylko przez atak na duży podmiot, lecz także przez ciche działanie malware’u na komputerach użytkowników. Według dostępnych informacji złośliwe oprogramowanie przekierowało aktywa o wartości około 150 tys. dolarów w ciągu ośmiu lat. Najważniejszą ochroną pozostają weryfikacja adresu przed wysłaniem środków, aktualne oprogramowanie, ostrożność wobec nieznanych plików oraz traktowanie frazy seed jak klucza do całego portfela.
Źródło: US officials work with CrowdStrike to fight malware behind crypto theft
