Zlonamerna programska oprema za zastrupitev naslovov in ugrabitelj odložišča: zaustavitev spremenjenih kripto in elektronskih prenosov¶

Nekaj trenutkov po kliku »Pošlji« pri nakazilu v kriptovaluti ali bančnem nakazilu ugotovite, da ciljni naslov na zaslonu ni denarnica ali IBAN, ki ste ga nameravali plačati, čeprav je prvih 4 do 6 znakov in zadnjih 4 do 6 znakov naslova videti enakih (0x71C9...89A4), pomeni, da vas je prizadel bodisi Napad z zastrupitvijo naslova v verigi ali Ugrabitelj odložišča (»Clipper«) zlonamerna programska oprema. Za razliko od a črpanje denarnice za kriptovalute ali kompromis semenske fraze če napadalec ukrade vašo 12-besedno frazo za obnovitev, niti zastrupitev naslova niti zlonamerna programska oprema za striženje ne zahtevata, da bi napadalec poznal vaše zasebne ključe. Namesto tega oba napada izkoriščata človeško navado kopiranja in lepljenja dolgih nizov (42-character Ethereum/EVM addresses, 34-to-62-character Bitcoin/Solana/Tron addresses, oz 15-to-34-character international IBAN bank account numbers) in samo vizualno preverjanje prvih štirih in zadnjih štirih znakov. Če se je spremenjeni naslov pojavil v vašem brskalniku ali na namizju točno tisto milisekundo, ko ste pritisnili Ctrl+V (Cmd+V), vaš računalnik ali telefon ima aktiven trojanec za spremljanje odložišča ali lažno razširitev brskalnika; preberite naš vodnik zlonamerne razširitve brskalnika, ugrabitelji odložišča in odstranjevanje oglaševalske programske opreme. Če je bilo spremenjeno nakazilo domače ali mednarodno bančno nakazilo (SWIFT / SEPA / Fedwire / Faster Payments), takoj izvedite korake priklica v ogroženost poslovne elektronske pošte (BEC) in odpoklic žičnih goljufij. Če ste soočeni z izsiljevanjem ali neposredno nevarnostjo za življenje, pokličite lokalno številko za klic v sili (911 v ZDA in Kanadi, 112 po vsej Evropski uniji, 999 v Združenem kraljestvu) ali preverite naš imenik mednarodnih številke za klic v sili.

Naredi to zdaj¶

1. V 10 sekundah zaženite »Preizkus kopiranja in lepljenja beležnice«, da ugotovite, ali je vaš računalnik/telefon okužen z zlonamerno programsko opremo Clipper ALI ste pomotoma kopirali zastrupljen naslov iz zgodovine transakcij:
2. Odprite urejevalnik navadnega besedila (Notepad, TextEditali naslovno vrstico brskalnika), vnesite ali kopirajte pravi naslov denarnice (0x71C95911E9a5D330f4D621842EC243EE1343292e), in pritisnite Ctrl+V (Cmd+V).
3. Rezultat A (Prilepljeni niz se spreminja med Ctrl+C in Ctrl+V): Vaša naprava je aktivno okužena z zlonamerno programsko opremo Clipboard Hijacker (»Clipper«) (bodisi izvršljiva datoteka v ozadju sistema Windows/macOS ali zlonamerna razširitev brskalnika Chrome/Brave/Edge), ki prestreže API odložišča operacijskega sistema (AddClipboardFormatListener / NSPasteboard) in zamenja kateri koli niz, ki se ujema z regularnim izrazom za Bitcoin, Ethereum, Solana, Tron (USDT) ali IBAN z naslovom napadalca v manj kot 5 milisekundah. Ta računalnik takoj izključite iz interneta in na njem ne podpisujte več transakcij.
4. Rezultat B (Prilepljeni niz se NE spremeni, ko kopirate pravi naslov, ker ste pomotoma kopirali napačen naslov s seznama »Nedavne transakcije« vaše denarnice ali Etherscan/Tronscan): Prizadela vas je prevara z zastrupitvijo nečimrnega naslova v verigi, kjer je bot opazoval vaše javne prenose v verigi blokov in ustvaril podoben naslov denarnice »nečimrnosti« s popolnoma enakim naslovom. začetnih in končnih znakov kot vaš pogost prejemnik, in poslala a $0.00 (oz $0.00001 prah) v vašo denarnico, tako da je njihov podoben naslov sedel na samem vrhu zgodovine transakcij vaše denarnice in čakal, da ga kopirate. Vaš računalnik in zasebni ključi NISO vdrti; vaša denarnica je še vedno varna.
5. Če je vaša transakcija s kriptovaluto še vedno »na čakanju« v mempoolu (Unconfirmed), oddaja nadomestilo za nadomestilo (RBF) / Transakcija Same-Nence Preklic takoj:
6. Na Ethereum, Arbitrum, Optimism, Polygon, Base ali BSC (MetaMask, Rabby, Ledger Live, Coinbase Wallet): Če transakcija še ni bila vključena v blok, takoj kliknite "Prekliči" ali omogočite Custom Nonce v nastavitvah denarnice in pošljite 0 ETH na svoj naslov denarnice z uporabo popolnoma istega Nonce številko s 50 % višjo pristojbino za prednostni plin (Max Priority Fee), da prepiše zastrupljeno transakcijo, preden jo validatorji potrdijo.
7. Na Bitcoin (Electrum, Sparrow, BlueWallet, Ledger): Z desno miškino tipko kliknite nepotrjeno transakcijo in izberite Prekliči (Dvojna poraba z RBF) ali Otrok plača za starša (CPFP) vračilo sredstev na vaš naslov za spremembo z višjo stopnjo provizije za sat/vB.
8. Če ste poslali USDT (Tether) oz USDC (Obkrožite) na zastrupljen naslov ali naslov, ugrabljen s strojem za striženje, vložite takojšnjo zahtevo za zamrznitev izdajatelja v nujnih primerih (Blacklist / Freeze):
9. Za razliko od domačega bitcoina ali ETH pametne pogodbe za USDT (Tether) na Ethereum, Tron (TRC-20), Solana in Avalanche ter USDC (Circle) imajo vgrajen skrbniški addBlackList() / blacklist() funkcija, ki lahko zamrzne ukradene žetone neposredno v napadalčevi denarnici, preden jih napadalec premosti ali unovči prek menjalnice.
10. Takoj shranite Zgoščeno vrednost transakcije (TxID), Napadalčev ciljni naslov in vaš Naslov za pošiljanje, vložite spletno poročilo pri FBI IC3 (ic3.gov) ali lokalna kibernetska policija, prijavite incident na Chainabuse (chainabuse.com) in pošljite vstopnico za nujno zamrznitev na Tether (tether.to/en/contact-us -> Zahteva za zamrznitev pravne zadeve / organov pregona) ali Obkrožite (circle.com) med sledenjem sredstev na Etherscan/Tronscan/Arkham, da opozori morebitno centralizirano izmenjavo (Binance, Coinbase, Kraken, OKX, Bybit, HTX) v trenutku, ko napadalec položi sredstva.
11. Če je bilo spremenjeno nakazilo bančno nakazilo (IBAN / SWIFT / ACH / Faster Payments spremenjeno z zlonamerno programsko opremo banking clipper), v prvih 30 minutah pokličite službo za odpoklic bankovnih goljufij:
12. Zahtevajte takojšnjo SWIFT MT192 / MT199 (pacs.004) Preklic in odpoklic zaradi goljufije, prosite svojo banko, da pošlje obvestilo o zadržanju odškodnine neposredno med bankami službi za skladnost banke prejemnice in sporočite spremenjeno IBAN.
13. Iz brskalnika in operacijskega sistema odstranite zlonamerno programsko opremo Clipper, preden kopirate drug občutljiv niz:
14. Odpri chrome://extensions (oz edge://extensions, brave://extensions, about:addons) in takoj odstranite vsako neprepoznano razširitev.
15. V sistemu Windows odprite upravitelja opravil / Microsoft Sysinternals Autoruns in preglejte načrtovana opravila, HKCU\Software\Microsoft\Windows\CurrentVersion\Run, in %APPDATA% / %LOCALAPPDATA%\Temp za lažne izvedljive datoteke v ozadju, ki poslušajo odložišče.

Odločitveno drevo: diagnoza in odziv zlonamerne programske opreme v primerjavi z zastrupitvijo naslova Clipper¶

Uporabite ta diagram poteka, da ugotovite, kateri vektor napada je spremenil vaš ciljni naslov in katera takojšnja dejanja lahko prihranijo vaša sredstva ali napravo:

flowchart TD
    Incident["Poslano (ali skoraj poslano) kripto ali bančno nakazilo na napačen podoben naslov"] --> NotepadTest{"Zaženite test Beležnice: Kopirajte znano dobro denarnico/naslov IBAN in ga prilepite v Beležnico (Ctrl+C -> Ctrl+V). Ali se prilepljeno besedilo spremeni?"}

    NotepadTest -->|"DA: Prilepljeno besedilo se samodejno zamenja v milisekundah"| ClipperPath["VEKTOR A: Zlonamerna programska oprema Active Clipboard Hijacker ('Clipper') v vašem računalniku, Macu, telefonu ali razširitvi brskalnika"]

    NotepadTest -->|"NE: Prilepljeno besedilo ostane enako (podoben naslov ste kopirali iz lastne zgodovine transakcij)"| PoisonPath["VEKTOR B: Prevara z zastrupitvijo z nečimrnim naslovom v verigi (vaša naprava in semenska fraza NISTA okužena)"]

    ClipperPath --> IsolateDevice["KORAK 1A: Prekinite povezavo okuženega računalnika/telefona z interneta -> Nadzor chrome://extensions & zagonskih procesov -> Preverite, ali je Broader Infostealer ukradel tudi piškotke/gesla brskalnika"]

    PoisonPath --> TxStatus{"Ali ste že objavili transakcijo in ali je potrjena?"}
    IsolateDevice --> TxStatus

    TxStatus -->|"Še ni poslano (ujeto pred podpisom)"| SafeStop["Posodobite svoj imenik/belo listo denarnice s preverjenimi polnimi 42-mestnimi naslovi in ​​nikoli ne kopirajte iz zgodovine transakcij"]

    TxStatus -->|"Na čakanju v Mempoolu (nepotrjeno)"| RBF["NUJNO: oddajanje Same-Nonce 0-ETH Self-Transfer (EVM) ali RBF Double-Spend (Bitcoin) s 50 % višjo pristojbino za plin za preklic"]

    TxStatus -->|"Potrjeno poslano v verigi ali bančno nakazilo"| AssetCheck{"Kakšna vrsta sredstva je bila poslana?"}

    AssetCheck -->|"USDT (Tether) ali USDC (Circle)"| FreezeToken["Vloži poročilo policije/IC3 + predloži nujno črno listo žetonov/zahtevo za zamrznitev v Tether/Circle + spremljaj naslov napadalca za depozit CEX"]
    AssetCheck -->|"Izvorni BTC / ETH / SOL"| TraceCEX["Sledite sredstvom prek Etherscan/Arkham/MistTrack -> Pošljite vstopnico za zamrznitev organov kazenskega pregona v ciljno borzo (Binance, Coinbase, Kraken, OKX) ob pologu"]
    AssetCheck -->|"Bančno nakazilo / SEPA IBAN / hitrejša plačila"| WireRecall["Takojšnja pisarna za bančne goljufije pri pošiljanju klicev za odpoklic SWIFT MT192 / SEPA + obvestilo skladnosti banke prejemnice"]

Kako delujeta oba napada: zastrupitev z naslovom Vanity v primerjavi s trojanskimi konji Clipper¶

Čeprav oba napada povzročita, da gre vaš denar v denarnico ali bančni račun napadalca, so njuni tehnični mehanizmi in njihov pomen za varnost vaše naprave popolnoma nasprotni:

1. faza: Kaj storiti, če ste pravkar poslali sredstva na zastrupljen ali ugrabljen naslov¶

Čas se meri v minutah pri sledenju nakazil v verigi ali priklicu bančnih nakazil. Takoj sledite tem korakom:

1. Sledenje in zamrznitev ukradenega USDT (Tether) oz USDC (Krog) V verigi¶

Ker več kot 75 odstotkov vseh izgub zaradi zastrupitve naslovov v verigi nastane v USDT (na Tron TRC-20 in Ethereum ERC-20) in USDC imajo žrtve ključno prednost pri okrevanju, ki je Bitcoin in domači ETH nimata: centralizirano zamrznitev pametnih pogodb. 1. Odprite raziskovalec blockchain (etherscan.io, tronscan.org, solscan.io, arbiscan.io) in prilepite svojo zgoščeno vrednost transakcije (TxID): - Kliknite Napadalčev naslov prejemnika, da vidite, ali je vaš ukraden USDT oz USDC še vedno leži v njihovi denarnici ali če so jo premaknili v vmesno "hop" denarnico. 2. Če USDT oz USDC še vedno leži v denarnici v zunanji lasti (EOA) na Ethereum, Tron, Solana, Polygon, Arbitrum, Base ali Avalanche: - Tether (USDT) in Krog (USDC) so zamrznili več kot 1,8 milijarde $ ukradenih sredstev na tisoče naslovih, tako da so poklicali pametne pogodbe AddedBlackList deluje po prejemu poročil organov pregona ali preverjenih žrtev. - Takoj predloži: 1. Nujno poročilo pri FBI IC3 (ic3.gov), Action Fraud UK, Europol ali vaš lokalni policijski oddelek za kibernetski kriminal, da pridobite referenčno številko poročila. 2. Javno poročilo o goljufiji na Chainabuse (chainabuse.com) in ** Etherscan / Tronscan »Poročilo / Označi naslov«**, torej varnostni API-ji denarnice (Blockaid, Blowfish, Wallet Guard, Rabby, MetaMask) naslov napadalca takoj označi z rdečo za druge uporabnike. 3. Nujna zamrznitev vstopnice za Tether Support (tether.to/en/contact-us) in MistTrack / SlowMist / Seal 911 (@Seal_911 na Telegramu, telefonski liniji Web3 Security Alliance 24/7 za odzivanje na nujne primere) z vašim TxID, natančen časovni žig UTC in sklic policije/IC3. 3. Če napadalec premakne ukradeno kripto v centralizirano borzo (CEX) Naslov depozita (Binance, Coinbase, OKX, Kraken, Bybit, HTX, KuCoin, Gate.io): - Upoštevajte natančno ime Exchange Hot Wallet, označeno na Etherscan/Tronscan/Arkham, in natančno TxID depozita v to borzo. - Vsaka večja centralizirana borza ima 24/7 portal za zamrznitev premoženja žrtev za organe kazenskega pregona (Binance Law Enforcement Request / Customer Support Case, Coinbase Support, OKX Risk Control). Oddajte Depozit TxID se takoj obrnite na službo za podporo te borze in jih prosite, naj začasno 7-dnevno zamrznejo skladnost na podračunu, ki je prejel polog TxID [Hash] medtem ko organi pregona posredujejo uradno odredbo o zamrznitvi.

2. Odpoklic spremenjenega bančnega nakazila (IBAN / Account Number Zamenjano z zlonamerno programsko opremo Clipper)¶

Če bančni clipper trojanec (ClipBanker, Qakbot, ZeuS/ZLoader) zamenjal dobavitelja ali najemodajalca IBAN ali usmerjevalna številka/številka računa, ko ste jo prilepili na svoj spletni bančni portal: 1. V prvi uri pokličite Wire Fraud/Treasury Recall Desk svoje banke in zahtevajte takojšen Fraudulent Wire Recall (SWIFT MT192 / SEPA SCT Recall / Faster Payments APP Fraud Claim). 2. Poiščite bančno identifikacijsko kodo (BIC) / usmerjevalna številka, vdelana v napadalčevo IBAN (znaki od 5 do 8 katerega koli evropskega/UK IBAN določite točno banko prejemnico) in pokličite neposredno oddelek za goljufije banke prejemnice, da prijavite ta račun [Attacker IBAN] je račun denarne mule, ki prejema prihodke od goljufije z zlonamerno programsko opremo v odložišču.

Faza 2: Odkrivanje in izkoreninjenje zlonamerne programske opreme ugrabitelja odložišča (»Clipper«)¶

Če je vaš Notepad Copy-Paste Test pokazal, da kopiranje kripto naslova ali IBAN in njegovo lepljenje takoj zamenja besedilo (ali če sumite, da ima vaš PC, Mac ali telefon Android nameščen strižnik), sledite temu forenzičnemu zaporedju odstranjevanja, preden napravo uporabite za kakršne koli finančne dejavnosti:

1. Najprej preverite razširitve brskalnika (številka 1 za večplatformske strižnike)¶

Sodobni napadalci pogosto skrijejo JavaScript za zamenjavo odložišča znotraj na videz nedolžnih razširitev brskalnika (PDF converters, ad blockers, volume boosters, dark mode toggles, fake MetaMask/Phantom/Ledger helper extensions, oz ChatGPT sidebar tools) z uporabo brskalnika navigator.clipboard.writeText() oz document.execCommand('copy') API-ji: 1. Odpri chrome://extensions (ali edge://extensions, brave://extensions, about:addons v Firefoxu). 2. IZKLOPITE ali odstranite vsako razširitev, ki ji ne zaupate 100-odstotno ali preizkusite lepljenje znotraj Brez beleženja zgodovine/zasebnega okna (kjer so razširitve privzeto onemogočene). 3. Če se zamenjava odložišča ustavi takoj, ko onemogočite določeno razširitev brskalnika, kliknite Prijavi zlorabo in Odstrani, nato sledite našemu celotnemu vodniku za čiščenje brskalnika: zlonamerne razširitve brskalnika, ugrabitelji odložišča in odstranjevanje oglaševalske programske opreme.

2. Odkrivanje in uničenje trojanskih programov Clipper v sistemu Windows, macOS in Android¶

Če odložišče še vedno zamenja naslov vaše denarnice, tudi ko kopirate in prilepite noter Notepad.exe oz TextEdit ko je vaš spletni brskalnik popolnoma zaprt, strižnik deluje kot izvorni proces v ozadju operacijskega sistema:

V sistemu Windows 10/11:¶

1. Takoj prekinite povezavo računalnika z Wi-Fi in Ethernet (mnogi strižniki kot Laplas Clipper poizvedite spletni strežnik C2 vsakič, ko kopirate naslov, da lahko vrnejo po meri podoben naslov; prekinitev dostopa do interneta ustavi zamenjavo ali povzroči, da se zlonamerna programska oprema vrne na trdo kodiran naslov in prepreči sočasno zlonamerna programska oprema infostealer od nalaganja vaših datotek).
2. Uporabite Process Explorer ali PowerShell, da ujamete lažni proces, ki drži verigo odložišča: Odprite okno Administrator PowerShell in navedite vse ne-Microsoftove izvajajoče se procese, ki se izvajajo iz imenikov, v katere lahko piše uporabnik (%APPDATA%, %LOCALAPPDATA%, %TEMP%, C:\ProgramData):

   Get-CimInstance Win32_Process | Where-Object { $_.ExecutablePath -match "AppData|Temp|ProgramData|Public" } | Select-Object ProcessId, Name, ExecutablePath, CommandLine | Format-Table -AutoSize
   

3. Preverite obstojnost zagona sistema Windows (Scheduled Tasks in Run Ključi): 90 odstotkov strižnikov sistema Windows vztraja prek prikritega Načrtovanega opravila ali Registra Run tipka, ki zažene a .vbs, .bat, .ps1, oz .exe skrit v notranjosti %APPDATA%:

   Get-ScheduledTask | Where-Object { $_.TaskPath -notmatch "\\Microsoft\\" -and $_.State -ne "Disabled" } | Select-Object TaskName, TaskPath, @{N="Actions";E={$_.Actions.Execute + " " + $_.Actions.Arguments}}
   

   In preverite registrske ključe trenutnega zagona uporabnika:

   Get-ItemProperty "HKCU:\Software\Microsoft\Windows\CurrentVersion\Run", "HKCU:\Software\Microsoft\Windows\CurrentVersion\RunOnce"
   

4. KRITIČNO OPOZORILO: Clippers skoraj nikoli ne potujejo sami v sistemu Windows ali macOS: V sodobnih kampanjah kibernetske kriminalitete (Lumma Stealer, RedLine, Vidar, Stealc, Atomic macOS Stealer), Modul Clipper je samo končna obstojna koristna obremenitev, ki ostane za sabo POTEM, ko je Infostealer že postrgal vsa shranjena gesla, sejni piškotek in trezor programske kripto denarnice (MetaMask Local Extension Settings .ldb datoteke, Electrum, Exodus, Atomic) iz računalnika.
5. Če v računalniku ali Macu najdete izvorno zlonamerno programsko opremo za striženje, prevzemite vsako programsko denarnico (MetaMask, Phantom, Rabby, Trust, Exodus) in vsaka prijavljena seja brskalnika na tem računalniku je bila prav tako ogrožena.
6. Uporabite ločen, čist računalnik ali telefon za prenos vseh preostalih kriptovalut iz vročih denarnic programske opreme v popolnoma novo Denarnico strojne opreme (Ledger, Trezor, Keystone, Coldcard) začetni izraz, prekliče vse aktivne seje brskalnika in izvede čisto ponovno namestitev OS.

V sistemu macOS:¶

1. Odprite Terminal in preverite ne-Apple LaunchAgente in procese v ozadju:

   ls -la "$HOME/Library/LaunchAgents" /Library/LaunchAgents /Library/LaunchDaemons
   

2. Če vidite neznanca .plist datoteka, iz katere se zažene dvojiška datoteka /tmp/, /Users/Shared/, oz $HOME/Library/Application Support/, ga razložite in izbrišite, nato skenirajte z Malwarebytes for Mac ali Objective-See KnockKnock.

Na pametnih telefonih Android:¶

• Strižniki za Android se pogosto predstavljajo kot ponarejeni stransko naloženi .apk aplikacije (Fake Telegram, Fake WhatsApp, Fake Authenticator, ali zlomljene igre) z dovoljenji Accessibility Service (ker Android 10+ omejuje branje odložišča v ozadju, razen če je aplikacija privzeta tipkovnica za način vnosa IME ali ima aktivno prekrivko za dostopnost).
• Pojdite na Nastavitve > Dostopnost > Nameščene aplikacije in Nastavitve > Sistem > Tipkovnica > Zaslonska tipkovnica in takoj odstranite vse neprepoznane aplikacije.

Faza 3: Trajna obramba pred zastrupitvijo naslovov in zlonamerno programsko opremo Clipper¶

Ko enkrat sprejmete teh pet operativnih navad, vas niti 100.000 $ vredna farma za zastrupljanje naslovov GPU niti prikriti trojanski odložišče ne moreta več zavesti, da bi sredstva poslali na napačno destinacijo:

• 1. Pravilo vizualnega preverjanja "Srednji-6 + Prvi-4 + Zadnji-4":
• Nikoli ne preverjajte samo prvih 4 in zadnjih 4 znakov naslova denarnice ali IBAN.
• Ker ustvarjanje nečimrnega naslova, ki se ujema z 8 zunanjimi znaki (4 prefix + 4 suffix, približno 4,29 milijarde kombinacij) sodobna gruča GPU potrebuje manj kot 2 sekundi, napadalci lahko vedno poiščejo konce vašega naslova.
• Vendar je ujemanje dodatnih 6 znakov točno na sredini naslova (približno 72 kvadrilijonov kombinacij) računsko neizvedljivo za oportunistične robote za zastrupljanje. Pred podpisom vedno preverite prve 4 znake, 6 znakov točno na sredini in zadnje 4 znake glede na izvirni vir.
• 2. NIKOLI ne kopirajte naslova iz zgodovine "nedavnih transakcij" ali zavihka dejavnosti Etherscan/Tronscan:
• Obravnavajte zavihek »Zgodovina transakcij/dejavnost« svoje denarnice kot nezaupljive javne grafite, kamor lahko vsakdo na Zemlji vnese ponaredek $0.00 prenose in podobne naslove.
• Namesto tega shranite vsakega ponavljajočega se prejemnika, denarnico za hladilnico in naslov za zamenjavo depozita znotraj vgrajenega adresarja/belega seznama stikov vaše denarnice z jasno, človeku berljivo oznako ("My Coinbase USDC Deposit", "Hardware Ledger Vault #1") in izberite prejemnika izključno iz shranjenega imenika.
• 3. Preklopite na varnostne denarnice, ki samodejno označijo zastrupljene in prve naslove (Rabby, MetaMask Blockaid, Phantom):
• Sodobne denarnice Web3, kot sta Rabby Wallet in MetaMask (z omogočenimi varnostnimi opozorili Blockaid) vas pred podpisom opozorijo v svetlo rdeči barvi, če:
  • To je prvič, da ste poslali resnično vrednost na točno ta 42-mestni naslov ("Warning: First-time transfer to this address"), takoj ujamete zastrupitev z naslovom, ker mislite, da pošiljate na star znan naslov, čeprav v resnici še nikoli niste poslali denarja na napadalčev podoben naslov.
  • Ciljni naslov ima visoko oceno podobnosti (Levenshtein distance) na drug naslov v vaši zgodovini ("Address Poisoning Detected").
• 4. Vedno preverite polni ciljni naslov na fizičnem zaslonu strojne denarnice (Ledger, Trezor, Keystone, Coldcard, GridPlus):
• Tudi če zlonamerna programska oprema Clipper na vašem okuženem računalniku zamenja naslov na monitorju vašega računalnika (ali celo če napredna zlonamerna programska oprema zaskoči DOM vašega brskalnika, da prikaže pravi naslov v Chromu, medtem ko posreduje napadalčev naslov zahtevi za podpis USB), zlonamerna programska oprema na vašem računalniku ne more spremeniti tega, kar je prikazano na izoliranem zaslonu EAL5+/EAL6+ Secure Element vaše fizične strojne denarnice.
• Primerjajte naslov, prikazan na fizičnem OLED/zaslonu na dotik vaše denarnice strojne opreme, z drugo neodvisno napravo (na primer gledanje prejemnikovega računa ali kode QR na vašem pametnem telefonu, medtem ko se podpisujete v denarnico strojne opreme vašega računalnika).
• 5. Pošljite majhno preizkusno transakcijo samo, če ponovno kopirate iz prvotnega preverjenega vira:
• Upoštevajte subtilno past: veliko žrtev Zastrupitve z nečimrnim naslovom je bilo tako previdnih, da so poslale $10 test transaction prvi. Še vedno so izgubili 50.000 $ pri drugi transakciji, ker je 60 sekund po potrditvi njihove testne transakcije v vrednosti 10 $ v verigi napadalčev avtomatizirani bot zastrupil njihovo zgodovino transakcij s podobnim naslovom, in ko je žrtev šla poslati preostalih 50.000 $, je s svojega seznama nedavnih transakcij kopirala "naslov, na katerega sem pravkar poslal 10 $".
• Če pošljete testno transakcijo, shranite preverjeni naslov v svoj Imenik pred pošiljanjem testa in izberite natančen vnos v imeniku za glavni prenos.

Regionalne številke za klic v sili in protokoli agencije¶

Ne glede na to, ali so bila vaša sredstva preusmerjena zaradi zastrupitve nečimrnega naslova v verigi ali zlonamerne programske opreme v odložišču, je za prisilo centraliziranih izmenjav potrebno takojšnje poročanje organom pregona in obveščevalnim službam verige blokov (CEXs) in izdajatelji stabilnih kovancev (Tether / Circle) za zamrznitev in vrnitev ukradenih sredstev:

• Združene države in Kanada:
• Dežurne službe: Pokličite 911 če obstaja kakršna koli fizična grožnja.
• Center FBI za pritožbe o internetnem kriminalu (IC3): Takoj vložite poročilo o kriptovaluti ali elektronski goljufiji na ic3.gov (za velike kraje žic ali kriptovalut v zadnjih 72 urah označite pritožbo za IC3 Recovery Asset Team RAT in vključite natančno TxID, omrežje blockchain, pogodba žetona in naslov denarnice napadalca).
• ZDA Tajna služba (USSS) Delovna skupina za kibernetske goljufije & CISA: Obrnite se na lokalni urad USSS za večje kripto/žične preusmeritve ali prijavite indikatorje zlonamerne programske opreme na cisa.gov/report.
• Kanadski center za boj proti goljufijam (CAFC): Prijavi se na antifraudcentre-centreantifraude.ca ali 1-888-495-8501 in vložite prijavo pri vaši občinski policijski enoti za kibernetsko kriminaliteto.
• Združeno kraljestvo:
• Dežurne službe: Pokličite 999 (ali 101 za policijo, ki ni nujna).
• Akcija Goljufija: Pokliči 0300 123 2040 takoj (24/7 za kibernetski/finančni kriminal v živo) ali se javite na actionfraud.police.uk. Za bančna nakazila, spremenjena z zlonamerno programsko opremo, se nemudoma obrnite na svojo banko pod UK Faster Payments Authorized Push Payment (APP) Pravila povračila zaradi goljufije.
• Evropska unija:
• Dežurne službe: Pokličite 112 v vseh državah članicah EU.
• Nacionalne enote Europola za kibernetski kriminal: vložite takojšnjo policijsko poročilo prek europol.europa.eu/report-a-crime/report-cybercrime-online (zahtevajo Tether, Circle in večje borze v EU MiCA / okviri AML za ohranitev zamrznitve sredstev po začetnem nujnem zadržanju).
• Avstralija in Nova Zelandija:
• Dežurne službe: Pokličite 000 v Avstraliji ali 111 na Novi Zelandiji.
• ReportCyber ​​(ACSC Avstralija): Prijavite se na cyber.gov.au/report-and-recover/report ali pokličite 1300 CYBER1 (1300 292 371).
• CERT NZ (Nova Zelandija): Poročilo pri cert.govt.nz.
• Indija in Azija-Pacifik:
• Indijska nacionalna telefonska številka za pomoč pri kibernetskem kriminalu: Pokličite 1930 takoj ali se javite na cybercrime.gov.in.
• Singapurska policija (SPF) Center za boj proti prevaram in hongkonška policija (ADCC): Pokliči 1800-722-6688 (Singapur) ali 18222 (Anti-Deception Coordination Centre Hong Kong).

Pogosta vprašanja¶

Če a $0.00 USDT prenos se je v moji denarnici prikazal kot "Poslano Z mojega naslova" na nenavaden naslov, ali to pomeni, da ima heker moj začetni stavek ali zasebni ključ?¶

Ne, vaša semenska fraza in zasebni ključi so popolnoma varni. V standardnem Ethereumu (ERC-20), Tron (TRC-20) in veriga BNB (BEP-20) pametne pogodbe žetonov, transferFrom(pošiljatelj, prejemnik, znesek) funkcija preveri, ali ima klicatelj dovoljenje za premikanje znesek žetoni v vašem imenu (`allowance >= amount`). Ker je vaš privzeti dodatek za tujca 0, in neznanec gre mimo znesek = 0, pametna pogodba preveri, ali 0 >= 0 (kar je res) in omogoča vsakomur na Zemlji, da oddaja ponaredek 0,00 USDT dogodek prenosa, pri čemer je vaša denarnica navedena kot pošiljatelj, ne da bi kdaj imeli vaš zasebni ključ ali odobritev. Napadalec je to storil samo zato, da bi vstavil svoj podoben naslov na seznam »Nedavne dejavnosti« vaše denarnice.

Kako je heker ustvaril naslov denarnice, ki se začne s popolnoma enakimi 5 znaki in konča s popolnoma enakimi 5 znaki kot moj pravi naslov?¶

Naslovi denarnice za kriptovalute so javne zgoščene vrednosti, matematično izpeljane iz naključnega zasebnega ključa. Medtem ko je nemogoče narediti povratni inženiring zasebnega ključa vašega določenega 42-mestnega naslova, napadalec, ki uporablja skupino uporabniških grafičnih kartic (`GPUs` tekaška orodja, kot je `profanity2` oz `vanity-eth`) lahko ustvari milijarde naključnih parov ključev na sekundo in preprosto zavrzite vse naslove, ki se slučajno ne začnejo z vašimi prvimi 4-5 znaki in končajo z vašimi zadnjimi 4-5 znaki. Ker ujemanje 8 do 10 šestnajstiških znakov zahteva samo testiranje 4,3 milijarde do 1 bilijona zgoščenih vrednosti, lahko strežnik z več grafičnimi procesorji ustvari prepričljiv naslov, podoben predponi in priponi, v sekund, medtem ko srednjih 30 znakov ostane popolnoma naključnih.

Ali lahko zlonamerna programska oprema Clipper spremeni naslov Ethereum ali Bitcoin, potem ko sem jo že prilepil na spletno stran?¶

Standardna zlonamerna programska oprema za striženje operacijskega sistema spremeni le besedilo v medpomnilniku odložišča vašega sistema med trenutkom, ko pritisnete Ctrl+C in v trenutku, ko pritisnete Ctrl+V. Če pa se zlonamerna programska oprema izvaja v vašem spletnem brskalniku kot zlonamerna razširitev za Chrome/Edge/Firefox, ima popoln dostop za branje in pisanje do dokumentnega objektnega modela spletne strani (DOM) in lahko tiho zamenja ciljni naslov znotraj spletnega polja za vnos, takoj ko kliknete gumb »Pošlji«. Zato morate vedno preveriti polni naslov na fizični zaslon strojne denarnice preden pritisnete gumb za fizično potrditev.

Ali uporablja ime ENS (vitalik.eth) ali Solana .sol me domena zaščiti pred zastrupitvijo naslovov in zlonamerno programsko opremo za striženje?¶

Uporaba človeku berljivih imen ENS (`alice.eth`) pomaga preprečiti kopiranje zastrupljenega šestnajstiškega naslova iz vaše zgodovine transakcij, pod pogojem, da ime ENS vnesete neposredno ročno, namesto da ga kopirate in prilepite. Bodite previdni pri dveh pasteh ENS: najprej napadalci registrirajo homografske/zatipkane domene ENS z uporabo nevidnih znakov ničelne širine Unicode ali črk, podobnih cirilici (`aIice.eth`). Drugič, vedno preverite, ali je razrešen osnovni 0x... šestnajstiški naslov, prikazan na zaslonu strojne denarnice, se ujema s pravim naslovom prejemnika.

Če sem pomotoma poslal sredstva na zastrupljen naslov, ali lahko hekerju pošljem sporočilo v verigi, v katerem ponudim 10- ali 20-odstotno nagrado za vračilo preostanka?¶

Da, pošiljanje sporočila UTF-8 v verigi, vdelanega znotraj Vhodni podatki (Hex) polje majhne transakcije na napadalčev naslov (ki jasno navaja, da so vložene zahteve za zamrznitev organov kazenskega pregona in Tether/Circle/Exchange, ter ponuja čisto 10- do 20-odstotno nagrado, če je 80-90 % sredstev vrnjenih v 24 urah) je uspelo v več odmevnih primerih zastrupitve naslova, zlasti ko je ukradeno sredstvo USDT oz USDC da napadalec ve, da bo Tether ali Circle vseeno uvrščen na črni seznam in trajno zamrznil svojo denarnico. Zahtevo za zamrznitev Tether/Circle in policijsko poročilo vedno vložite vzporedno brez odlašanja.

Sorodni vodniki¶

• Zlonamerne razširitve brskalnika, ugrabitelji odložišča in odstranjevanje oglaševalske programske opreme
• Izčrpavanje denarnice za kriptovalute in kompromis semenske fraze
• Kompromis poslovne elektronske pošte (BEC) in odpoklic žičnih goljufij
• Ugrabitev sejnih piškotkov, zlonamerna programska oprema infostealer in preklic gesla
• Goljufija s kripto naložbami in romantična goljufija pri izterjavi DeFi
• Številke za klic v sili po državah

Viri in uradna navodila¶

• Zvezni preiskovalni urad (FBI) Center za pritožbe o internetnem kriminalu (IC3) in tajna služba ZDA (USSS): Opozorila javnih služb o zastrupitvi s kriptovalutami z naslovom, ki se ne uporablja (Zero-Value Token Transfer) Napadi in zlonamerna programska oprema za ugrabitev odložišča.
• Agencija za kibernetsko varnost in varnost infrastrukture (CISA) in okvir MITER ATT&CK (Technique T1115: Clipboard Data): Odkrivanje in ublažitev spremljanja odložišča in nadomestne zlonamerne programske opreme (ClipBanker, Laplas Clipper).
• SlowMist & Web3 Security Alliance (SEAL 911) Raziskovalna poročila: Verižna analiza ERC-20 / TRC-20 transferFrom Zastrupitev z naslovom ničelne vrednosti, zastrupitev z majhnimi količinami prahu in USDT/USDC Postopki črnega seznama v nujnih primerih.
• Nacionalni center za kibernetsko varnost (NCSC) (Združeno kraljestvo) & Agencija Evropske unije za kibernetsko varnost (ENISA): Zaščita transakcij digitalnih sredstev, preverjanje denarnice strojne opreme in zaščita pred goljufijami pri preusmerjanju plačil.