Фишинг криптоинвесторов: 885 000 номеров попали в базу мошенников

Фишинг криптоинвесторов становится все более технологичным и адресным. Эксперты Rapid7 обнаружили инфраструктуру мошеннической операции ASTERIX, на которой находилось около 885 000 телефонных номеров потенциальных владельцев криптовалют.

Параллельно специалисты выявили поддельные AML-сервисы, атаку на популярные библиотеки Rust и масштабный взлом камер Dahua. Все эти инциденты показывают, как быстро развивается рынок киберугроз.

Фишинг криптоинвесторов через звонки и поддельные кошельки

Исследователи Rapid7 получили доступ к открытой директории на сервере, связанном с мошеннической операцией Operation ASTERIX.

На инфраструктуре находились базы телефонных номеров, инструменты проверки аккаунтов, фишинговые панели, автоматические системы звонков и поддельные приложения криптокошельков.

Всего специалисты обнаружили около 885 000 телефонных номеров, распределенных по нескольким наборам данных.

Самый крупный файл содержал 316 002 номера из Германии. Кроме того, присутствовали наборы, связанные с США, Великобританией, Гонконгом, Болгарией, канадскими финтех-сервисами и пользователями Ledger.

При этом речь не обязательно идет об одной утечке. Rapid7 описывает совокупность различных наборов данных, собранных злоумышленником.

Мошенники проверяли, кто действительно владеет криптовалютой

Главная особенность кампании заключалась в предварительном отборе потенциальных жертв.

Мошенники не хотели звонить случайным людям. Вместо этого они автоматически проверяли телефонные номера и выясняли, связаны ли они с аккаунтами криптовалютных сервисов.

На немецкой выборке из 316 002 номеров система подтвердила 43 066 аккаунтов. Таким образом, доля совпадений составила около 13,6%.

На сервере также обнаружили отдельные инструменты проверки аккаунтов Kraken и Crypto.com.

Кроме того, исследователи нашли панель Binance, в которой находились 5576 подтвержденных потенциальных целей для дальнейшей атаки.

После проверки мошенники могли использовать имя, электронную почту, местоположение и сведения об аккаунте жертвы. Это делало последующий звонок значительно убедительнее.

Поддельные Ledger, Trezor и Exodus похищали сид-фразы

Следующим этапом становилась социальная инженерия.

Потенциальной жертве могли отправить письмо от имени известной криптокомпании. Затем мошенник звонил под видом сотрудника технической поддержки.

Письмо и телефонный разговор дополняли друг друга. Например, злоумышленник мог назвать номер обращения или код из ранее отправленного сообщения.

После этого пользователя убеждали установить приложение якобы для защиты активов.

Rapid7 обнаружила фальшивые версии Trezor Suite, Ledger Live и Exodus для macOS и Windows. Их основной задачей была кража сид-фразы или других данных для доступа к кошельку.

Особенно сложной оказалась поддельная версия Trezor Suite. На macOS вредоносная программа могла ожидать запуска настоящего приложения, закрывать его и выводить вместо него собственное окно.

Для пользователя происходящее выглядело как обычный запуск кошелька.

ИИ помогал создавать инфраструктуру атаки

В Operation ASTERIX активно применялись инструменты искусственного интеллекта.

По данным Rapid7, злоумышленник использовал ИИ для написания и изменения кода, упаковки приложений, обфускации вредоносного ПО и настройки фишинговой инфраструктуры.

Когда одна из моделей начала отказываться выполнять часть запросов, оператор переключился на другого поставщика и попытался обойти его защитные ограничения с помощью специального jailbreak-промта.

Таким образом, генеративный ИИ становится не только инструментом разработчиков и бизнеса. Киберпреступники также используют его для ускорения подготовки атак.

Фейковые AML-чекеры крадут криптовалюту

Другая схема направлена на пользователей, которые сами пытаются проверить безопасность своих активов.

Эксперты Malwarebytes обнаружили поддельные сервисы проверки криптовалютных адресов по AML.

AML — это процедуры противодействия отмыванию денег. В криптовалютной сфере подобные сервисы анализируют историю адреса и его возможные связи с мошенничеством, санкциями или взломами.

Для обычной проверки сервису нужен только публичный адрес кошелька. Подключать сам кошелек или подписывать транзакцию не требуется.

Мошеннические сайты действуют иначе.

Они копируют дизайн известных сервисов вроде AMLBot или используют нейтральные названия наподобие AML Check. Затем пользователя просят подключить кошелек.

После этого сайт имитирует анализ блокчейна и показывает результат вроде «Clean, Low Risk».

Однако далее пользователю предлагают подтвердить транзакцию или предоставить разрешение смарт-контракту. Это может дать злоумышленникам возможность вывести активы.

Главный тревожный сигнал прост: для обычной AML-проверки подключение кошелька не требуется.

Атака на Rust затронула цепочку поставок ПО

Еще один серьезный инцидент произошел 20 августа.

Злоумышленники опубликовали вредоносные версии трех пакетов Rust:

• arrayref@0.3.10;
• internment@0.8.7;
• append-only-vec@0.1.9.

В них появилась зависимость от пакета proc-macro1. Название специально похоже на популярный легитимный пакет proc-macro2.

Опасность заключалась в механизме сборки Cargo.

Вредоносный build.rs автоматически запускался во время компиляции проекта. После этого он определял операционную систему и загружал дополнительный код.

По данным Wiz, вредоносная программа собирала информацию о системе, изучала данные браузеров Chrome, Brave и Edge и позволяла выполнять дополнительные команды.

Исследователи также обнаружили существенное пересечение инфраструктуры с предыдущими кампаниями, связанными с северокорейскими группировками.

Однако это не является окончательным доказательством, что именно КНДР стояла за атакой на Rust-пакеты.

Почему атака на библиотеки особенно опасна

Такой сценарий называют атакой на цепочку поставок программного обеспечения.

Хакеру необязательно взламывать каждого разработчика отдельно. Достаточно заразить компонент, который используют тысячи других проектов.

В результате вредоносный код может попасть на компьютеры программистов, CI-серверы и системы сборки приложений.

Особенно чувствителен этот риск для криптоиндустрии. Разработчики могут хранить на рабочих компьютерах API-ключи, токены доступа, ключи подписи или данные инфраструктуры блокчейн-проектов.

Rust широко применяется в криптовалютной разработке, поэтому подобные атаки требуют повышенного внимания.

Более 14 500 камер Dahua оказались скомпрометированы

Киберугрозы недели не ограничились криптовалютами.

Исследователи Hunt.io раскрыли операцию CameraSwarm, в ходе которой злоумышленник скомпрометировал более 14 530 IP-камер Dahua.

Кампания продолжалась около 35 дней — с 17 июня по 22 июля 2026 года. Основная концентрация подтвержденных заражений пришлась на Украину и Россию.

Хакер использовал сразу несколько методов.

Через открытый порт 37777 и подбор паролей было затронуто 12 324 устройства.

Еще 1923 камеры атаковали через старые уязвимости CVE-2021-33044 и CVE-2021-33045. На устройства устанавливался скрытый аккаунт p2pwn.

Этот бэкдор мог сохраняться даже после изменения основного пароля. На многих версиях прошивки он переживал даже сброс устройства до заводских настроек.

Еще 283 камеры были доступны через отдельный P2P-механизм.

Android-троян Manic научился передавать данные через другие смартфоны

Еще одну необычную угрозу обнаружили эксперты ThreatFabric.

Android-вредонос Manic отслеживает 169 идентификаторов приложений. Среди целей — банки, платежные сервисы, криптокошельки, биржи, государственные приложения и мессенджеры.

Главной особенностью Manic стал механизм передачи похищенных данных.

Если зараженный смартфон не имеет доступа в интернет, вредонос может искать поблизости другие зараженные устройства.

Передача происходит через Wi-Fi Direct, Bluetooth RFCOMM или BLE. Данные способны пройти через цепочку из нескольких устройств, пока не попадут на смартфон с доступом в сеть.

Фактически злоумышленники создали элемент децентрализованной сети для передачи украденной информации.

Что это значит для инвестора?

События недели показывают изменение характера угроз в криптовалютной индустрии.

Главный риск все чаще связан не с прямым взломом блокчейна, а с атакой на человека, его устройство или используемое программное обеспечение.

Фишинг криптоинвесторов становится персонализированным. Мошенники заранее знают имя пользователя, его телефон, биржу и иногда другие сведения об аккаунте.

Поэтому звонок якобы от Binance, Crypto.com, Ledger или другого сервиса может выглядеть крайне убедительно.

Инвесторам стоит придерживаться нескольких базовых правил:

• никогда не сообщать сид-фразу сотрудникам поддержки;
• не вводить ее на сайтах по ссылкам из писем или сообщений;
• скачивать приложения кошельков только с официальных ресурсов;
• не подписывать непонятные транзакции;
• не подключать кошелек к AML-сервису только ради проверки адреса;
• регулярно обновлять кошельки, браузеры, операционную систему и другое ПО;
• использовать отдельные устройства или профили для хранения значимых криптоактивов.

Особенно опасна потеря сид-фразы. В отличие от банковской карты, ее нельзя просто заблокировать звонком в банк. Получив recovery phrase, злоумышленник фактически получает контроль над активами.

Вывод Expert Finance: киберпреступники объединяют утечки данных, социальную инженерию, вредоносные приложения, атаки на разработчиков и ИИ. Поэтому безопасность криптоактивов все больше зависит не только от самого кошелька, но и от всей цифровой среды пользователя.

Источник

Хотите разобрать свою ситуацию?

Если вы не хотите собирать портфель методом «увидел тикер — купил», можно разобрать вашу ситуацию на консультации Эксперт Финанс: цели, риск, сумму входа, подходящие монеты и ошибки, которые лучше не оплачивать собственным депозитом.

Записаться на консультацию

Телеграм-канал «Эксперт Финанс» — подпишитесь и будьте в курсе самых главных и актуальных новостей о криптовалюте.