Сооснователь Binance Чанпен Чжао (CZ) 5 ноября использовал свой аккаунт в X, чтобы предупредить криптопользователей о фишинговом сайте, имитирующем Trust Wallet. Сайт, размещенный по адресу trastwallet.cam, заманивает посетителей подключать свои кошельки под предлогом «проверки переводов». Исследователь безопасности Анураг, управляющий аккаунтом Malwarehunter X, опубликовал технические детали, показывающие, что страница может взаимодействовать с Trust Wallet, Phantom и OKX Wallet, сканировать балансы через backend API и готовить транзакции на захардкоженные адреса.

Как работает поддельный сайт

Согласно анализу Анурага, страница отображает баннер «Проверьте переводы вашего кошелька» и кнопку, побуждающую пользователей подключить кошелёк. После установления подключения JavaScript-код обращается к endpoint сканирования, который извлекает данные о токенах в кошельке. Второй скрипт затем формирует пакеты данных для переводов на адреса, контролируемые злоумышленниками, с лимитами на актив от $1 до $5 000. Хотя код содержит логику для подписания транзакций, Анураг отметил, что в изученной им версии подписание было отключено, что ограничивает непосредственную угрозу подготовкой переводов, а не их выполнением.

Более широкая фишинговая кампания, нацеленная на пользователей Trust Wallet

Схема фишинга Trust Wallet, по-видимому, является частью более широкой волны атак. Bitdefender 3 ноября сообщила, что мошенники используют недавний инцидент с безопасностью Binance для отправки поддельных писем с верификацией, утверждая, что пользователям Trust Wallet необходимо подтвердить свои аккаунты. Письма, отправленные пользователям в США, Великобритании, Австралии, Ирландии и ЮАР, направляли получателей на поддельные сайты верификации, где могли быть похищены учетные данные. Ранее в этом году CYFIRMA задокументировала попытки фишинга с использованием вредоносных QR-кодов в Telegram, нацеленных на владельцев Trust Wallet.

Отдельные утверждения об уязвимости iOS

Параллельно в X распространилось неподтвержденное утверждение о том, что злоумышленник похитил примерно $1,1 млн у пользователей Trust Wallet, используя уязвимость в iOS 18.5. Пост, приписываемый аккаунту Emperor.SOL, заявил, что эксплойт может извлекать сид-фразы с затронутых iPhone, и призвал пользователей немедленно обновить операционную систему. По сообщениям, служба поддержки Trust Wallet также рекомендовала обновление, хотя официального заявления, подтверждающего сумму потерь, не было опубликовано.

За чем следить дальше

Инвесторам и пользователям кошельков следует следить за дальнейшими раскрытиями информации от Trust Wallet и Apple относительно предполагаемой уязвимости iOS. Ожидается, что исследователи безопасности опубликуют более подробный анализ кода сайта trastwallet.cam, который может выявить, будет ли функция подписания транзакций позже включена. Наконец, стоит ожидать дополнительных фишинговых кампаний, которые могут использовать недавние громкие инциденты с нарушением безопасности, поскольку злоумышленники, по-видимому, извлекают выгоду из повышенной тревожности пользователей.