Атаки на кошельки Electrum Bitcoin продолжаются
По статистике, около 6% пользователей кошелька Electrum Bitcoin потеряли в общей сумме 4,6 млн. долларов. Заражение началось в конце декабря 2018 года и продолжается по настоящее время серией целенаправленных фишинговых атак. Согласно исследованию, опубликованному Malwarebytes Labs, мошенники смогли обмануть ничего не подозревающих пользователей при загрузке вредоносной версии кошелька, используя уязвимость в программном обеспечении. В феврале разработчики Electrum решили использовать тот же недостаток в своем собственном программном обеспечении, чтобы перенаправить пользователей для загрузки последней исправленной версии. Затем, в марте, ситуация ухудшилась, и разработчики начали использовать еще одну неизвестную уязвимость, по сути, атакуя уязвимых клиентов, чтобы они не подключались к плохим узлам, которые они называли «контратака». После этого запустили распределенные атаки типа DDoS на серверы Electrum, чтобы лучше ориентировать пользователей на устаревшие уязвимые кошельки.
Почему произошли атаки?
Исследователи Malwarebytes объясняют, что Electrum реализует разновидность метода, называемого «упрощенная проверка платежей» (SPV), известного как «легкий» биткойн-кошелек. Этот метод позволяет пользователям отправлять и получать транзакции без загрузки полной копии цепочки биткойнов (размер которой составляет сотни гигабайт). Вместо этого Electrum работает в конфигурации клиент/сервер. Злоумышленники воспользовались тем, что кому-либо разрешено управлять публичным партнером Electrum. В ходе выяснения причины атаки оказалось, что авторы вредоносных программ реализовали функцию загрузки украденных ключей кошелька и начальных данных на удаленный сервер. Также были предприняты усилия для того, чтобы эта функция была скрыта. Кроме того, любой баланс, найденный в кошельке, был отправлен на один из заранее запрограммированных публичных адресов, контролируемых мошенниками. Исследователи обнаружили, что адреса Pay-to-PubkeyHash (P2PKH) были использованы во время установки по умолчанию, а это означает, что пользователи, применяющие настройки по умолчанию, оказываются наиболее уязвимыми. Злоумышленники отключили автообновления, удалили запросы о таких вопросах, как «Да, я уверен», и даже забрали возможность выполнять транзакции с заменой за плату (RBF). Анализируя транзакции на блокчейне, исследователи обнаружили, что украденные средства были разбиты на меньшие суммы биткойнов.
