70 взломов и мошенничеств за 7 дней: 18 миллионов долларов украдено по данным SEAL

Обычная неделя. Альянс безопасности (SEAL) зафиксировал 70 инцидентов безопасности в криптоэкосистеме с 13 по 20 октября. Наибольшие потери связаны с поддельными Ledger, проданными компанией CryptoBilis: три новых жертвы и 9,3 миллиона долларов пропали за семь дней.

Коллектив, который управляет горячей линией SEAL 911, оценивает неделю в более чем 18 миллионов долларов по восьми основным категориям потерь. Добавьте около ста ETH и несколько BTC. В программе: украденные seed-фразы, физические ограбления и поддельные собеседования, организованные из Пхеньяна.
Ключевые моменты этой статьи:

• Альянс безопасности зафиксировал 70 инцидентов безопасности в криптоиндустрии за неделю, с потерями, превышающими 18 миллионов долларов.
• Поддельные Ledger, проданные CryptoBilis, вызвали потери в 9,3 миллиона долларов, несмотря на продолжающееся расследование и предупреждения о безопасности.

Кто такой SEAL и почему мы освещаем его работу

Альянс безопасности не является аудиторской компанией или охранной фирмой, продающей свои услуги. Это некоммерческая организация, основанная в начале 2024 года по инициативе samczsun, исследователя безопасности, который работал в Paradigm и объединяет несколько сотен волонтеров: исследователей, разработчиков, специалистов по расследованию on-chain, юристов. Его самый известный инструмент — SEAL 911, горячая линия, доступная в Telegram, где этичный хакер берет на себя управление в течение нескольких минут, когда протокол опустошается или когда частное лицо видит, как его средства исчезают.

Коллектив также публикует Соглашение о безопасной гавани, юридическую рамку, которая позволяет белым шляпам вмешиваться во время атаки, чтобы защитить средства, и поддерживает актуальные списки фишинговых доменов и мошеннических адресов. Именно благодаря этой кропотливой работе, видимой день за днем на графике ниже, появляются все цифры этой статьи. Наблюдаемые и зафиксированные инциденты, собранные SEAL с 13 по 20 октября. Источник: Альянс безопасности (SEAL)

Скажем прямо: Journal du Coin не имеет никакого партнерства с SEAL, и никто не просил нас об этом сообщить. Мы освещаем их работу, потому что она имеет общественную значимость, и эти еженедельные отчеты, насколько нам известно, являются самым надежным источником информации о том, что на самом деле происходит в области безопасности. В экосистеме, где никто не возвращает деньги, SEAL стал незаменимым. Если вы стали жертвой кражи или взлома, или если вы подозреваете, что устройство скомпрометировано, простая реакция: securityalliance.org/sos или бот Telegram @seal_911_bot, бесплатно, в любое время.

Ledger и CryptoBilis: имплант продолжает опустошать кошельки

Вы думали, что дело позади? Это не так. Три сообщения, полученные SEAL на этой неделе, составляют 9,3 миллиона долларов, что в среднем более 3 миллионов на жертву. Напомним, что Ledger начал свое расследование 9 октября, подтвердил 10 числа наличие несанкционированного аппаратного импланта в устройстве клиента, а затем 11 числа связал все зафиксированные потери с устройствами, проданными этим малайзийским продавцом.

Техническое обновление, опубликованное 13 октября Ledger Donjon, описывает механизм с жестокой простотой. Модуль, размещенный в корпусе, считывает экран во время настройки (в момент, когда отображаются 24 слова фразы восстановления). Затем он передает их по мобильной сети с помощью eSIM. Secure Element, защищенный чип, который подписывает транзакции, остается нетронутым. Таким образом, << Genuine Check >> от Ledger подтверждает устройство как подлинное, не имея возможности обнаружить имплант.

Производитель рекомендует никогда не инициализировать устройство, купленное у этого продавца, и перевести свои средства на новый кошелек с новой seed, если это уже сделано. Проблема теперь выходит за пределы Юго-Восточной Азии. Один немецкий клиент сообщил о поддельном устройстве, купленном в MediaMarkt, без потери средств на данный момент, и сеть убрала Ledger с полок во всех своих странах.

Seed-фразы и атаки с использованием ключей, человеческий фактор прежде кода

С 25 случаями из 70, компрометация seed-фразы остается самой частой категорией в отчете SEAL. Счет за неделю составляет 3,86 миллиона долларов, 64,5 ETH и 0,3 BTC. Seed-фраза — это 12 или 24 слова, которые дают доступ ко всем средствам кошелька. Кто бы их ни получил, становится владельцем. Захваты учетных записей добавляют 1,6 миллиона долларов к счетчику. 70 инцидентов за неделю по категориям: компрометация seed-фразы подавляет все остальное. Источник: Security Alliance (SEAL)

Атаки с использованием ключей также присутствуют в списке, с двумя жертвами, ограбленными лично, и 1,22 миллиона долларов украденными. SEAL уточняет, что эти физические нападения растут. Этот термин обозначает кражу криптовалюты под угрозой, когда гаечный ключ заменяет вредоносное ПО. Французские читатели знакомы с этой темой: уголовная полиция уже зафиксировала 41 кражу криптовалюты во Франции к середине апреля 2026 года.

Что касается протоколов, SEAL насчитывает девять отчетов. Шесть компрометаций обошлись в 2 миллиона долларов и 37,44 ETH, включая два взлома по 1 миллиону каждый. Захват инфраструктуры привел к потере 32 400 долларов и 5 BTC. А затем есть случай внутренней угрозы, почти комичный, если бы не был так серьезен. Один участник добавил свой собственный адрес в качестве подписанта мультиподписного кошелька, который требует нескольких подтверждений для перемещения средств.

Ложный Zoom и ложные рекрутеры, Северная Корея охватывает широкие масштабы

Северокорейские группы сделали пять жертв на сумму 260 000 долларов. Трое из них потеряли 86 000 долларов в ловушке << Зараженное Собеседование >> (ложное собеседование, где кандидат устанавливает вредоносное ПО, полагая, что проходит технический тест). Компрометация кошелька, еще не связанная с конкретной кампанией, составляет оставшиеся 174 000 долларов.

Более тревожным для разработчиков является то, что вредоносное ПО Polin Rider было обнаружено в 13 из 928 репозиториев программы вознаграждений с открытым исходным кодом, сообщает SEAL. На данный момент потерь не зафиксировано. Группа UNC1069 также зарегистрировала новые домены, имитирующие услуги видеоконференций. И набор вторжений, еще не атрибутированный, названный SINT-69, продолжает массово производить ложные сайты Zoom и Teams с названиями типа zoomwweb или teamlives.

Оперативный режим не меняется. Контакт предлагает вам звонок, ссылка ведет на страницу, которая требует обновления программного обеспечения для видеосвязи, и это обновление опустошает ваш кошелек. Проверьте имя домена перед установкой чего-либо. За неделю SEAL собрал 2393 домена фишинга, опубликовал 2437 индикаторов компрометации и перечислил 155 кошельков.

Ledger по-прежнему не предоставил официального отчета о количестве зараженных устройств или общей сумме украденного, которую он квалифицирует как <<ограниченную>>. Расследователи on-chain уже отслеживают 103 миллиона долларов добычи через Tornado Cash и Zcash, а три дела, добавленные на этой неделе SEAL, еще больше увеличивают сумму.