SEAL: за неделю хакеры украли более $18 млн в криптоиндустрии

Некоммерческая организация Security Alliance (SEAL), основанная в начале 2024 года исследователем безопасности samczsun (ранее работал в Paradigm), опубликовала еженедельный отчёт о преступлениях в криптоиндустрии. За период с 13 по 20 октября зафиксировано 70 инцидентов. Суммарные потери по восьми основным категориям превысили $18 млн, к ним добавились около сотни ETH и несколько BTC.

Самый тяжёлый эпизод недели связан с устройствами Ledger, которые продавал малайзийский реселлер CryptoBilis. Три новые жертвы потеряли $9,3 млн — в среднем более $3 млн на человека. Ledger начала расследование 9 октября, на следующий день подтвердила: в устройстве клиента нашли несанкционированный аппаратный имплантат. А 11 октября связала все случаи потерь именно с этим продавцом. Как объяснили 13 октября в Ledger Donjon, модуль внутри корпуса считывает экран во время настройки устройства — в момент, когда на нём отображаются 24 слова seed-фразы, — и передаёт их через мобильную сеть с помощью eSIM. Защищённый чип Secure Element, который отвечает за подпись транзакций, при этом остаётся нетронутым, поэтому встроенная проверка Genuine Check подделку не выявляет. Ledger советует не активировать устройства, купленные у этого реселлера, а тем, кто уже сделал это, — перенести средства на новый кошелёк с новой seed-фразой. Проблема вышла за пределы Юго-Восточной Азии: клиент из Германии сообщил о заражённом устройстве, купленном в сети MediaMarkt (потерь средств пока не зафиксировано). После этого ритейлер снял Ledger с продажи во всех странах присутствия.

Самой частой категорией атак остаётся компрометация seed-фраз — 25 случаев из 70. Потери за неделю составили $3,86 млн, 64,5 ETH и 0,3 BTC. Захваты учётных записей принесли злоумышленникам ещё $1,6 млн. Зафиксированы также два случая физических ограблений (так называемые wrench attacks) на $1,22 млн — SEAL отмечает, что число таких нападений растёт.

Среди атак на протоколы — девять инцидентов: шесть компрометаций обошлись в $2 млн и 37,44 ETH, включая два эксплойта по $1 млн каждый, а захват инфраструктуры одного протокола привёл к потере $32 400 и 5 BTC. Отдельно отмечен случай внутренней угрозы: один из контрибьюторов добавил собственный адрес как подписанта в мультисиг-кошелёк.

Группы, связанные с Северной Кореей, атаковали пять жертв на $260 000. Трое из них потеряли $86 000 из-за схемы Contagious Interview — фальшивых собеседований, где кандидату предлагают установить вредоносное ПО под видом технического теста. Оставшиеся $174 000 потерь связаны с компрометацией кошелька, пока не привязанной к конкретной кампании. SEAL также обнаружила вредонос Polin Rider в 13 из 928 репозиториев одной open-source программы по поиску уязвимостей, хотя потерь в этом случае не зафиксировано. Группа UNC1069 зарегистрировала новые доменные имена, имитирующие сервисы видеосвязи.