Atak phishingowy 2FA na użytkowników MetaMask

Specjalista ds. bezpieczeństwa blockchain SlowMist ostrzegł w poniedziałek, że oszuści podrabiają wiadomości MetaMask dotyczące uwierzytelniania dwuskładnikowego, kierując odbiorców na fałszywe domeny, które zbierają 12-wyrazowe frazy seed i opróżniają portfele.

W poście na X główny specjalista ds. bezpieczeństwa SlowMist 23pds opisał wiadomości e-mail sformatowane jako pilne powiadomienia bezpieczeństwa z krótkimi terminami na włączenie 2FA. Linki prowadzą do stron podobnych do MetaMask, gdzie użytkownik przechodzi przez fałszywą „weryfikację”, a następnie proszony jest o wprowadzenie frazy odzyskiwania, aby „zakończyć” konfigurację.

Po wprowadzeniu frazy kontrola nad portfelem przechodzi w ręce cyberprzestępcy, co umożliwia mu przelewanie aktywów. SlowMist podkreślił, że dostawcy zdecentralizowanych portfeli nigdy nie proszą o podanie tajnej frazy odzyskiwania podczas kontroli bezpieczeństwa.

Pomimo ciągłych prób, straty spowodowane phishingiem zmniejszyły się z roku na rok. Raport narzędzia bezpieczeństwa Web3 Scam Sniffer odnotował straty w wysokości $83,3 mln w 2025 r. — o 83% mniej niż $494 mln w 2024 r. Liczba ofiar zmniejszyła się o 68% — do 106 000 z 332 000.

W raporcie odnotowano wzrost w trzecim kwartale podczas wysokiej aktywności rynkowej. „Kiedy rynki są aktywne, ogólna aktywność użytkowników wzrasta, a pewien odsetek z nich staje się ofiarami — phishing działa jako funkcja prawdopodobieństwa aktywności użytkowników” — czytamy w raporcie.

MetaMask od Consensys — jeden z najpopularniejszych portfeli niepowierniczych, z ponad 100 milionami użytkowników rocznie i 244 000 podłączonych zdecentralizowanych aplikacji. Marka często staje się celem podróbek.

SlowMist podkreślił, że każde żądanie 12-wyrazowej frazy seed w ramach 2FA lub weryfikacji e-mailowej jest oszustwem. Frazy odzyskiwania są przeznaczone do tworzenia kopii zapasowych offline i przywracania dostępu, a wprowadzenie ich na stronie internetowej lub poprzez link z wiadomości e-mail daje złoczyńcom możliwość przenoszenia środków.

Jak informowaliśmy wcześniej, 26 grudnia Trust Wallet ujawnił, że jego rozszerzenie przeglądarki zostało skompromitowane w ramach ukierunkowanego ataku na użytkowników komputerów stacjonarnych, co spowodowało straty w wysokości około $7 milionów. SlowMist stwierdził, że złośliwe rozszerzenie eksportowało dane osobowe użytkowników. Współzałożyciel Yu Xiang powiedział, że cyberprzestępca przygotowywał się przez wiele tygodni i wykazał się dogłębną znajomością kodu źródłowego.