Kryptotrader stracił 600 tys. USD po fałszywym Cloudflare

Kryptotrader działający pod pseudonimem cladzsol poinformował 17 września 2026 r., że stracił około 600 000 USD po wejściu na fałszywą stronę udającą mechanizm weryfikacji Cloudflare. Według niego udało mu się zachować około 400 000 USD. Cladzsol przyznał: „odpowiedzialność za to, co się stało, spoczywa na mnie samym”.

Z opublikowanych materiałów wynika, że złośliwa strona automatycznie skopiowała do schowka polecenie i nakłoniła użytkownika do otwarcia okna Uruchom (Win + R), wklejenia polecenia (Ctrl + V) i naciśnięcia Enter. Taki schemat odpowiada technice socjotechnicznej określanej jako ClickFix, w której ofiara sama uruchamia złośliwy kod na swoim urządzeniu.

Początkowo pojawiły się sugestie powiązania incydentu z mostem w ekosystemie Arc, lecz cladzsol później wyjaśnił, że atak nie miał związku z Arc.

Technicznie atak mógł zostać uruchomiony za pośrednictwem zewnętrznych linków umieszczanych w profilach tokenów na serwisach agregujących notowania. Niektóre agregatory pozwalają na dodawanie odnośników do stron internetowych i mediów społecznościowych, co wcześniej wykorzystywano do rozpowszechniania linków phishingowych. Na moment publikacji nie ma niezależnego potwierdzenia, że cladzsol trafił na złośliwy zasób właśnie w ten sposób.

Specjaliści ds. bezpieczeństwa opisali wcześniejsze kampanie, w których atakujący imitowali mechanizmy weryfikacyjne, automatycznie kopiowali złośliwe polecenia do schowka i namawiali użytkowników do ich uruchomienia przez Windows Run lub PowerShell. W takim scenariuszu nie zawsze wymaga się podłączania portfela ani podpisywania transakcji — złośliwy kod jest wykonywany lokalnie na komputerze ofiary, co umożliwia przejęcie środków lub instalację dodatkowego oprogramowania.

Wcześniejsze fale phishingu wymierzone przeciwko użytkownikom portfeli sprzętowych łączono z naruszeniami u zewnętrznych dostawców usług e-mail. Eksperci wskazują, że luki w łańcuchach dostaw i możliwość zamieszczania zewnętrznych linków w profilach tokenów stanowią dodatkowe wektory wykorzystywane przez napastników.

Na chwilę obecną nie ma publicznych informacji o prowadzonym śledztwie ani o ustaleniu tożsamości sprawców. Informacje o stratach i zachowanych środkach pochodzą z opublikowanych przez cladzsola materiałów i komunikatów związanych z incydentem.