Ai economii în criptomonede? Alertă DNSC: Amenințări avansate asupra portofelelor digitale

În ultimele luni, cercetătorii în securitate cibernetică au observat o creștere semnificativă a amenințărilor cibernetice care vizează portofelele digitale și platformele de exchange cripto. Grupuri de criminalitate cibernetică, mai ales APT-uri (advanced persistent threats), dezvoltă malware personalizat pentru a compromite chei private, tranzacții și autentificări, anunță Directoratul Național pentru Securitate Cibernetică (DNSC) printr-un comunicat de presă.

Noi variante de malware sunt dezvoltate special pentru a viza industria cripto.

Tactici utilizate:

• Clipper Malware – Înlocuiește automat adresa unui portofel cripto în clipboard cu una controlată de atacatori;
• Infecții browser-based – Exploatează extensiile de portofel cripto pentru a fura seed phrase-uri și chei private;
• Troieni bancari adaptați pentru cripto – Malware tradițional precum RedLine, Agent Tesla, și Raccoon Stealer au fost modificați pentru a fura credențiale MetaMask, Trust Wallet și Exodus;
• Backdoor-uri și exploit-uri asupra portofelelor hardware – Grupuri APT investighează modalități de compromitere a Ledger, Trezor și altor dispozitive hardware.

Malware-ul specializat în atacarea portofelelor cripto

Cel mai recent exemplu este atacul asupra platformei ByBit (Februarie 2025), unde grupul Lazarus (TraderTraitor) a reușit să sustragă o sumă destul de considerabilă, prin exploatarea mecanismelor interne de semnare a tranzacțiilor.

Acest incident subliniază escaladarea riscurilor pentru utilizatorii de criptomonede și platformele de schimb, demonstrând că atacurile devin din ce în ce mai țintite și mai sofisticate.

Modus operandi: Atacul asupra ByBit desfășurat de către gruparea Lazarus

Țintă: ByBit – Platformă de tranzacționare cripto
Atacatori: Grupul APT Lazarus (TraderTraitor)
Vector de atac: Exploatarea procesului de transfer între portofele “hot” și “cold”, manipularea interfeței de semnare și redirectarea fondurilor către adrese controlate de atacatori.

Tehnici folosite:

• Spear-phishing asupra angajaților companiei care gestionează platforma;
• Malware personalizat pentru a captura chei private și date de autentificare;
• Recunoaștere și Execuție – Atacatorii au analizat infrastructura țintă, au identificat procedurile operaționale utilizate pentru modificarea portofelelor vizate, au determinat persoanele responsabile de semnarea tranzacțiilor și au intervenit în procesul de actualizare a portofelelor.
• Utilizarea infrastructurii descentralizate pentru a ascunde fondurile furate.

Măsuri de atenuare și protecție

• Blocați și monitorizați portofelele implicate în atac prin utilizarea sistemelor de anti-fraudă și SIEM;
• Implementați protecție anti-clipping pentru a preveni înlocuirea adreselor cripto în clipboard;
• Monitorizați traficul pentru a identifica cereri suspecte de rețea către infrastructura controlată de atacatori;
• Utilizați autentificarea multifactor (MFA) și hardware security keys pentru accesul la conturile cripto;
• Analizați comportamentul aplicațiilor și monitorizați fișierele JavaScript suspecte;
• Folosiți soluții de threat intelligence pentru a detecta și preveni atacurile bazate pe malware cripto;

Concluzie – Evoluția amenințărilor în sectorul cripto

Atacul asupra ByBit indică faptul că grupurile APT își îndreaptă atenția către sectorul cripto, dezvoltând malware sofisticat pentru furtul de fonduri. Industria trebuie să implementeze măsuri avansate de securitate pentru a preveni astfel de atacuri în viitor.

Organizațiile și utilizatorii trebuie să devină factori proactivi în securizarea portofelelor și infrastructurii blockchain pentru a contracara aceste amenințări emergente.