Krypto-Wallets haben aufgrund eines ignorierten Phishing-Angriffs 600.000 US-Dollar verloren
Am 23. Januar informierten Wallet Connect und andere Web3-Unternehmen ihre Benutzer über einen Phishing-Betrug, bei dem die E-Mail-Adressen offizieller Web3-Unternehmen genutzt wurden, um Gelder aus Tausenden von Krypto-Wallets zu stehlen.
Eine massive Phishing-Kampagne
Wallet Connect nutzte X, um seine Community über eine autorisierte E-Mail zu informieren, die von einer mit Wallet Connect verknüpften E-Mail-Adresse gesendet wurde. Diese E-Mail forderte die Empfänger dazu auf, einen Link zu öffnen, um einen Airdrop zu beanspruchen. Der Link führte jedoch zu einer bösartigen Website und wurde, wie Wallet Connect bestätigte, nicht direkt vom Team oder einem verbundenen Unternehmen ausgegeben. Wallet Connect kontaktierte das Web3-Sicherheits- und Datenschutzunternehmen Blockaid, um den Phishing-Betrug weiter zu untersuchen.
Wir haben einen raffinierten Phishing-Angriff entdeckt, der sich über eine gefälschte E-Mail, die auf eine bösartige Dapp verweist, als @WalletConnect ausgibt.
Blockaid-fähige Wallets sind sicher.https://t.co/quz9olGrpZ pic.twitter.com/TYS0BjIk2J
— Blockaid (@blockaid_) 23. Januar 2024
In den folgenden Stunden veröffentlichte Crypto Sleuth eine Community-Warnung, um ahnungslose Benutzer darüber zu informieren, dass auch die E-Mails des CoinTelegraph-, Token-Terminal- und De.Fi-Teams kompromittiert wurden, was darauf hindeutet, dass ein massiver und raffinierterer Angriff stattgefunden hat Es fand eine Phishing-Kampagne statt. Zum Zeitpunkt der Veröffentlichung waren rund 580.000 US-Dollar gestohlen worden.
Nach einer Untersuchung enthüllte Blockaid später, dass der Angreifer „eine Schwachstelle im E-Mail-Dienstleister MailerLite ausnutzen konnte, um sich als Web3-Unternehmen auszugeben.“
E-Mail-Phishing-Betrügereien sind bei Cyber-Betrügern weit verbreitet und machen Benutzer bei den meisten verdächtigen Links oder E-Mails vorsichtig. Gleichzeitig raten Unternehmen und Einrichtungen davon ab, Links zu öffnen, die nicht von ihren offiziellen Kanälen stammen. In diesem Fall konnte der Angreifer eine große Anzahl von Benutzern dieser Unternehmen täuschen, da die schädlichen Links von deren offiziellen E-Mail-Adressen stammten.
Die Kompromittierung ermöglichte es dem Angreifer, überzeugende E-Mails mit angehängten schädlichen Links zu versenden, die zu Websites führten, die den Geldbeutel verschlingen. Konkret führten die Links zu mehreren bösartigen dApps, die die Infrastruktur der Angel Drainer Group nutzen.
Die Angreifer nutzten, wie Bloackaid erklärte, die zuvor an Mailer Lite bereitgestellten Daten aus, da ihnen von diesen Unternehmen zuvor Zugriff zum Versenden von E-Mails im Namen der Domains dieser Websites gewährt worden war , insbesondere unter Verwendung bereits vorhandener DNS-Einträge, wie im Thread beschrieben:
Konkret verwendeten sie „baumelnde DNS“-Einträge, die mit Mailer Lite erstellt und verknüpft wurden (zuvor von diesen Unternehmen verwendet). Nach der Schließung ihrer Konten bleiben diese DNS-Einträge aktiv, sodass Angreifer die Möglichkeit haben, diese Konten zu beanspruchen und sich als solche auszugeben. pic.twitter.com/cbTpc5MXu1
— Blockaid (@blockaid_) 23. Januar 2024
MailerLite erklärt Sicherheitsverstoß
Die Erklärung kam später per E-Mail, in der MailerLite erklärte, dass die Untersuchung ergeben habe, dass ein Mitglied ihres Kundensupportteams versehentlich zum Ausgangspunkt der Kompromittierung geworden sei. Wie in der E-Mail erklärt:
Das Teammitglied antwortete auf eine Kundenanfrage über unser Support-Portal und klickte auf ein Bild, das fälschlicherweise mit einer betrügerischen Google-Anmeldeseite verknüpft war. Durch die irrtümliche Eingabe ihrer Zugangsdaten verschafften sich die Täter Zugriff auf ihr Konto. Der Einbruch wurde vom Teammitglied versehentlich durch eine Mobiltelefonbestätigung authentifiziert, da es davon ausging, dass es sich um einen legitimen Zugriffsversuch handelte. Dieser Verstoß ermöglichte es den Tätern, in unser internes Admin-Panel einzudringen.
MailerLite fügt außerdem hinzu, dass der Angreifer das Passwort für einen bestimmten Benutzer im Admin-Bereich zurückgesetzt hat, um die unbefugte Kontrolle weiter zu konsolidieren. Diese Kontrolle verschaffte ihnen Zugriff auf 117 Konten, von denen sie sich für den Phishing-Kampagnenangriff nur auf Konten im Zusammenhang mit Kryptowährungen konzentrierten.
Ein anonymer Reddit-Benutzer veröffentlichte eine Analyse der Situation und gab einen genaueren Einblick in die Transaktionen des Angreifers. Der Benutzer enthüllte:
Eine Opfer-Wallet scheint XB-Tokens im Wert von 2,64 Millionen verloren zu haben. Ich zeige, dass sich etwa 2,7 Millionen in der Phishing-Wallet von 0xe7D13137923142A0424771E1778865b88752B3c7 befinden, während 518,75 K an 0xef3d9A1a4Bf6E042F5aaebe620B5cF327ea05d4D gingen.
Der Benutzer gab an, dass sich die meisten gestohlenen Gelder in der ersten Phishing-Adresse befanden. Gleichzeitig wurden ETH im Wert von etwa 520.000 US-Dollar an das Datenschutzprotokoll Railgun gesendet, und er geht davon aus, dass sie bald über einen anderen Mixer oder eine andere Börse übertragen werden.
