Мемкоин-трейдер сообщил о потере $600 000 из-за фальшивой CAPTCHA

Фальшивая CAPTCHA Cloudflare стала инструментом новой фишинговой атаки на криптотрейдеров. Один из пользователей под ником @cladzsol сообщил о потере примерно $600 000 после того, как выполнил инструкции на странице, имитировавшей обычную проверку «Я человек».

По данным криптоаккаунта @insidecalls, пользователь столкнулся с поддельной страницей во время работы с криптовалютными сервисами. Она предложила выполнить команду или скрипт с повышенными правами в Windows. После запуска вредоносной нагрузки средства были похищены.

Сам трейдер публично написал, что ошибка обошлась ему примерно в $600 000. Независимого технического отчета с полной атрибуцией всех похищенных активов пока нет, поэтому эту сумму корректнее считать заявленной потерей.

Как работает фальшивая CAPTCHA Cloudflare

Обычная CAPTCHA предназначена для проверки, что сайт посещает человек, а не бот.

Пользователь привык видеть:

галочку;

кнопку Verify;

проверку браузера;

сообщение вроде «Checking your connection».

Этим привычным сценарием и пользуются злоумышленники.

Фальшивая страница внешне выглядит как Cloudflare, но вместо реальной проверки предлагает выполнить необычные действия на компьютере.

Например:

открыть PowerShell;

открыть окно Run;

вставить скопированную команду;

запустить файл;

предоставить административные права.

Именно этот момент является главным красным флагом.

Настоящая проверка Cloudflare не требует от пользователя вручную запускать команды PowerShell или административные скрипты для доказательства того, что он человек.

Атака напоминает ClickFix

Подобную технику специалисты по кибербезопасности называют ClickFix.

Ее идея заключается в том, чтобы не пытаться самостоятельно обойти защиту компьютера.

Вместо этого злоумышленник убеждает пользователя самому запустить вредоносную команду.

В одной из описанных схем JavaScript на фальшивой странице копирует команду в буфер обмена. Затем пользователю показывают инструкцию:

1. открыть системное окно;
2. вставить команду;
3. нажать Enter.

Человек уверен, что завершает CAPTCHA.

На самом деле он запускает вредоносный код.

Это особенно эффективно против опытных пользователей, потому что визуально страница может выглядеть совершенно нормально.

Чем эта атака опаснее обычного wallet drainer

Большинство криптовалютного фишинга строится вокруг кошелька.

Например, мошенник убеждает пользователя:

подключить MetaMask;

подписать сообщение;

выдать unlimited approval;

подтвердить перевод.

Здесь схема принципиально другая.

Пользователь может вообще не подписывать вредоносную блокчейн-транзакцию.

Вместо этого заражается сам компьютер.

Если вредоносный код получает достаточные права, он потенциально может искать:

данные браузера;

сессии криптобирж;

файлы кошельков;

пароли;

API-ключи;

данные расширений;

буфер обмена;

локально сохраненные секреты.

Именно поэтому такая атака способна поставить под угрозу сразу несколько кошельков и сервисов.

Почему целью стали мемкоин-трейдеры

Мемкоин-трейдинг создает почти идеальную среду для такого вида социальной инженерии.

Пользователь работает очень быстро.

За несколько минут ему приходится проверить:

контракт;

ликвидность;

график;

соцсети;

сайт;

держателей токена;

объемы торгов.

Новые монеты появляются постоянно.

Из-за этого трейдер открывает десятки незнакомых сайтов и ссылок.

На таком фоне очередная Cloudflare-проверка не вызывает подозрений.

Именно привычка действовать быстро становится частью атаки.

Вредоносные ссылки прячут в данных токена

Еще одна важная особенность нынешней кампании — способ распространения ссылок.

По сообщениям исследователей, вредоносные URL размещаются в полях, связанных с токенами.

Это могут быть ссылки на:

официальный сайт;

Telegram;

X;

другие ресурсы проекта.

Трейдер видит ссылку на странице токена и естественным образом предполагает, что она принадлежит проекту.

Но содержимое таких полей может задаваться создателем токена или меняться позднее при изменении контроля над проектом или его community-инфраструктурой.

Поэтому сама по себе ссылка, отображаемая агрегатором, не гарантирует ее безопасность.

DexScreener не обязательно является источником атаки

Это тоже стоит четко объяснить в статье.

Если вредоносный сайт отображается на странице токена в агрегаторе, это не означает, что агрегатор был взломан.

Платформы могут автоматически отображать информацию, указанную в метаданных проекта.

То есть цепочка выглядит примерно так:

создатель токена / оператор проекта → метаданные → агрегатор → пользователь → внешний сайт.

А вредоносная часть начинается уже на внешнем домене.

Поэтому правильнее говорить, что злоумышленники используют инфраструктуру отображения токенов как канал доставки фишинговой ссылки, а не что DexScreener или аналогичная площадка обязательно скомпрометированы.

Трейдер сообщил о потере $600 000

Наиболее известной жертвой кампании стал пользователь @cladzsol.

@insidecalls охарактеризовал его как одного из сильных трейдеров на платформе Axiom и сообщил, что тот потерял примерно $600 000 во время попытки перемещения средств.

Сам @cladzsol публично признал ошибку и указал аналогичную сумму.

Этот случай интересен еще и потому, что жертвой стал не абсолютный новичок.

Он показывает простую вещь:

опыт торговли не равен опыту кибербезопасности.

Можно хорошо понимать ликвидность, графики и мемкоины — и при этом один раз выполнить неправильную команду в Windows.

Почему административные права особенно опасны

Если обычная программа запускается с ограниченными правами, операционная система частично ограничивает ее возможности.

Но когда пользователь самостоятельно предоставляет Administrator privileges, вредонос получает значительно больше свободы.

В зависимости от конкретной нагрузки он может попытаться:

установить дополнительное ПО;

изменить настройки системы;

закрепиться после перезагрузки;

получить доступ к другим процессам;

читать больше локальных данных.

Поэтому любая веб-страница, предлагающая запустить файл или команду от имени администратора, должна рассматриваться как крайне подозрительная.

Тем более если речь идет всего лишь о CAPTCHA.

Это уже не первая подобная атака на мемкоин-трейдеров

В ноябре 2024 года произошел другой крупный случай.

Инвестор мемкоина Gigachad (GIGA) потерял активы примерно на $6,09 млн после перехода по фальшивой ссылке на Zoom-встречу.

По словам пострадавшего, ссылка привела к установке вредоносного ПО на ноутбук.

После заражения атакующий вывел средства с трех кошельков — всего около 95,27 млн GIGA.

Затем злоумышленник продал похищенные токены примерно за 11 759 SOL, которые на тот момент оценивались примерно в $2,1 млн.

То есть механизм был похож:

доверенный на вид сервис → установка вредоносного ПО → компрометация криптоактивов.

Поддельный Zoom и поддельный Cloudflare используют одну психологию

В обоих случаях злоумышленник копирует привычный сервис.

Zoom знаком пользователю.

Cloudflare тоже знаком.

Поэтому человек думает не:

«Мне предлагают запустить неизвестный код».

А:

«Мне нужно закончить обычную техническую процедуру».

Это важный психологический прием.

Мошенник маскирует опасное действие под рутинную операцию.

Чем привычнее выглядит интерфейс, тем меньше пользователь анализирует происходящее.

Инцидент с Trezor показывает другую сторону той же проблемы

10 сентября Trezor сообщил о взломе стороннего email-провайдера Brevo.

Атакующий получил доступ к инфраструктуре сервиса и отправлял фишинговые письма от имени клиентов Brevo, включая Trezor.

Письмо приходило с инфраструктуры, связанной с официальным доменом Trezor, и предупреждало о якобы критической уязвимости аппаратных кошельков.

Пользователям предлагалось перейти по ссылке и скачать приложение.

Далее оно пыталось получить wallet backup — seed-фразу.

Сам Trezor при этом взломан не был.

Письмо получили около 347 000 адресов

Trezor сообщил, что потенциально затронута база примерно из 347 000 email-адресов.

Компания отключила Brevo и заблокировала вредоносный домен примерно через 20 минут.

До этого по ссылке успели перейти примерно 2500 человек.

Trezor подчеркнул:

кошельки;

устройства;

пароли;

wallet backups

из его собственных систем не утекли.

Опасность возникала только для пользователей, которые самостоятельно вводили seed-фразу в поддельное приложение.

Общая тенденция: доверять интерфейсу больше нельзя

Все эти атаки объединяет один принцип.

Злоумышленники все реже пытаются «взломать блокчейн».

Гораздо дешевле взломать доверие пользователя.

Фальшивый:

Cloudflare;

Zoom;

Trezor;

MetaMask;

биржа;

сайт токена

может выглядеть практически идеально.

Поэтому внешний вид больше не является надежным признаком безопасности.

Главное правило: CAPTCHA не запускает PowerShell

Для пользователя здесь можно сформулировать очень простое правило.

Если сайт для подтверждения того, что вы человек, просит:

нажать Win+R;

открыть PowerShell;

открыть Terminal;

вставить команду;

скачать .bat, .exe, .msi, .cmd или другой файл;

дать Administrator access —

закройте страницу.

Нормальная CAPTCHA этого не требует.

Это правило способно остановить большую часть подобных атак буквально за секунду.

Что делать, если команда уже была запущена

Если пользователь действительно запустил неизвестный скрипт с административными правами, простого закрытия браузера уже недостаточно.

Разумно считать компьютер потенциально скомпрометированным.

В первую очередь стоит использовать другое, заведомо чистое устройство.

С него необходимо проверить критически важные сервисы и при необходимости:

сменить пароли;

завершить активные сессии;

отозвать API-ключи;

сменить ключи биржевых аккаунтов;

перевести активы из потенциально скомпрометированных hot wallets.

Если seed-фраза могла храниться на зараженном компьютере или когда-либо вводилась на нем, безопаснее создать новый кошелек с новым seed на чистом устройстве и переместить туда активы.

Аппаратный кошелек снижает риск, но не отменяет его

Hardware wallet защищает приватный ключ от прямого извлечения с компьютера.

Поэтому malware на Windows не должен просто прочитать seed из Ledger или Trezor.

Но аппаратный кошелек не дает полной неуязвимости.

Зараженный компьютер способен:

подменить адрес в интерфейсе;

показать ложные данные;

создать вредоносную транзакцию;

попытаться убедить пользователя ее подтвердить.

Поэтому финальные параметры операции необходимо проверять на экране самого аппаратного устройства, а не только в браузере.

Не храните seed-фразу на компьютере

Одна из самых простых мер безопасности — никогда не хранить seed:

в TXT-файле;

Google Drive;

Telegram Saved Messages;

почте;

Notes;

скриншоте;

облачном хранилище.

Если компьютер заражается infostealer-malware, такие файлы становятся одной из первых целей.

Для аппаратного кошелька seed должен оставаться офлайн.

Trezor отдельно напоминает, что компания никогда не попросит пользователя вводить wallet backup на сайте или в приложении, полученном по ссылке из письма.

Отдельный компьютер для трейдинга становится разумной мерой

Для человека, который активно торгует значительными суммами, один универсальный компьютер — не лучший вариант.

Особенно если на нем одновременно:

открываются неизвестные сайты мемкоинов;

устанавливаются расширения;

используются Telegram и Discord;

скачиваются файлы;

хранятся биржевые API;

работают криптокошельки.

Более безопасная архитектура:

одна среда для исследования и рискованных сайтов;

другая — для хранения и подписания крупных операций.

Чем больше капитал, тем сильнее имеет смысл разделять эти роли.

Для крупных сумм hot wallet должен быть расходным

Еще один практический принцип.

Кошелек, которым пользователь ежедневно взаимодействует с:

DEX;

мемкоинами;

airdrops;

новыми контрактами,

не должен одновременно хранить основной капитал.

Логичнее разделять:

Cold wallet — основное хранение.

Trading wallet — рабочий капитал.

Burner wallet — самые рискованные новые проекты.

Тогда даже успешная фишинговая атака не обязательно приводит к потере всего состояния.

Один браузер — тоже не лучшая идея

Для активного трейдера можно дополнительно разделить браузерные профили.

Например:

один профиль — биржи;

второй — DeFi;

третий — исследование неизвестных токенов.

Это не абсолютная защита от malware, особенно если злоумышленник получил администраторские права.

Но такая сегментация уменьшает количество данных и активных сессий, доступных в одном контексте.

Почему эта схема будет распространяться

ClickFix очень удобен для злоумышленников.

Им не нужно:

искать zero-day;

ломать MetaMask;

взламывать Windows;

подбирать private key.

Нужно лишь убедить человека выполнить одну команду.

А криптотрейдинг — идеальная среда:

высокие суммы;

быстрые решения;

неизвестные сайты;

страх упустить новую монету;

привычка работать с десятками сервисов.

Поэтому подобные атаки, вероятно, будут встречаться все чаще.

Что это значит для инвестора?

Главный урок этой истории — не каждая атака на криптовалюту начинается в блокчейне.

В данном случае сеть могла вообще работать идеально.

Кошелек тоже мог быть технически исправен.

Атака произошла на уровне операционной системы пользователя.

Именно поэтому криптобезопасность должна состоять как минимум из трех уровней:

блокчейн-безопасность;

безопасность кошелька;

безопасность компьютера и самого пользователя.

Провал одного уровня может сделать остальные бесполезными.

Вывод Expert Finance: мемкоин-трейдер @cladzsol сообщил о потере около $600 000 после взаимодействия с фальшивой Cloudflare-проверкой. Схема отличается от обычных wallet drainers: жертву убеждают самостоятельно запустить вредоносную команду или скрипт с повышенными правами на компьютере. Вредоносные ссылки могут размещаться в данных мемкоинов и отображаться агрегаторами как ссылки на официальный сайт. Главное правило защиты здесь предельно простое: ни Cloudflare, ни нормальная CAPTCHA никогда не требуют запускать PowerShell, Terminal или административный скрипт для подтверждения того, что вы человек.

Источник

Хотите разобрать свою ситуацию?

Если вы не хотите собирать портфель методом «увидел тикер — купил», можно разобрать вашу ситуацию на консультации Эксперт Финанс: цели, риск, сумму входа, подходящие монеты и ошибки, которые лучше не оплачивать собственным депозитом.

Записаться на консультацию

Телеграм-канал «Эксперт Финанс» — подпишитесь и будьте в курсе самых главных и актуальных новостей о криптовалюте.