Phishing na Trezor i krytyczna luka w BTCPay

W pierwszym zdarzeniu sponsorowana reklama w wyszukiwarce kierowała użytkowników na kopię strony Trezora hostowaną na Google Sites. Użytkownik publikujący pod imieniem David poinformował, że na fałszywej stronie wpisał frazę przywracania i utracił środki. Dane on-chain pokazują, że adres kontrolowany przez oszustów otrzymał 24,04 BTC w 80 transakcjach; przy cenie Bitcoina około 65 172 USD odpowiada to około 1,6 mln USD. Większość środków została przetransferowana dalej, pozostało około 0,04 BTC.

Trezor zgłosił sprawę do wewnętrznego rozpatrzenia i poprosił o usunięcie fałszywej strony. Producent zaapelował, by nigdy nie wpisywać frazy przywracania na stronach internetowych ani w formularzach i zweryfikować, czy korzysta się z oficjalnego serwisu. Producent dodał, że urządzenie nie zostało złamane technicznie; atak powiódł się, ponieważ fraza opuściła urządzenie i trafiła do przestępców. Trezor przekazał: 'Dla wszystkich czytających: zawsze sprawdzajcie, czy korzystacie z oficjalnej strony Trezor i nigdy nie wpisujcie frazy do przywracania portfela na stronie internetowej ani w żadnym formularzu.’

W ciągu około doby po incydencie z Trezorem twórcy BTCPay Server opublikowali ostrzeżenie o krytycznej luce i wydali awaryjną aktualizację 2.4.2. Zespół poinformował operatorów, aby jak najszybciej zaktualizowali instancje przez panel administracyjny (Admin Dashboard -> Server -> Maintenance -> Update) i potwierdzili obecność numeru wersji 2.4.2 w stopce. W komunikacie zamieszczono: 'There is a critical vulnerability being actively exploited on BTCPay Server, which can result in the loss of funds. Please update your BTCPayServer to 2.4.2…’

Twórcy oprogramowania i zgłaszający lukę ochotnicy z Bitcoin Red Team wskazali, że sama aktualizacja nie wystarczy. Operatorzy muszą odświeżyć macarony — tokeny dostępu używane przez węzły Lightning — oraz zaktualizować ciągi autoryzacyjne backendów. Użytkownicy hot walletów powinni przenieść środki i utworzyć portfele ponownie. Integratorzy otrzymali instrukcję aktualizacji NBXplorer do wersji 2.6.10.

Oba zdarzenia nie wpłynęły bezpośrednio na protokół Bitcoina, lecz dotyczyły oprogramowania i praktyk użytkowników związanych z przechowywaniem środków. W styczniu straty z kradzieży kryptowalut sięgnęły około 400,3 mln USD, przy czym pojedynczy atak phishingowy odpowiadał za ponad 70% tej kwoty. W maju odnotowano wcześniejszy przypadek fałszywej strony, która przejęła około 400 000 USD z portfeli użytkowników.

Nie podano wyjaśnienia, jak oszukańcza reklama przeszła proces weryfikacji w systemie reklamowym Google ani jak szybko zostanie ona usunięta. W przypadku BTCPay Server skala szkód będzie zależała od tempa, w jakim operatorzy przeprowadzą aktualizacje i wdrożą dodatkowe środki naprawcze.