Revelando a industrialização do phishing no mundo da encriptação

A partir de junho de 2024, a equipe de segurança monitorou uma grande quantidade de transações de phishing/esgotamento de fundos semelhantes, com um valor total envolvido de mais de 55 milhões de dólares apenas em junho. Com a entrada em agosto e setembro, a atividade dos endereços de phishing relacionados se tornou ainda mais frequente, e os ataques de phishing estão se intensificando. No terceiro trimestre de 2024, os ataques de phishing se tornaram o meio de ataque que causou as maiores perdas econômicas, com os atacantes obtendo mais de 243 milhões de dólares em 65 ações.

Análise mostra que os recentes ataques de phishing estão muito provavelmente relacionados a uma equipe de ferramentas de phishing notória. Esta equipe havia anunciado em grande estilo sua "aposentadoria" no final de 2023, mas agora parece estar novamente ativa, desencadeando uma série de ataques em grande escala.

Este artigo analisará os métodos utilizados por gangues típicas de ataques de phishing e enumerará detalhadamente as suas características comportamentais, para ajudar os usuários a melhorar a sua capacidade de reconhecer e prevenir fraudes de phishing.

Fraude como serviço

No mundo da encriptação, certas equipas inventaram um novo modo malicioso, chamado "fraude como serviço". Este modo empacota ferramentas e serviços de fraude, oferecendo-os de forma comercial a outros criminosos. Durante o período em que anunciaram pela primeira vez o encerramento do serviço, entre novembro de 2022 e novembro de 2023, o montante fraudulento ultrapassou os 80 milhões de dólares.

Essas equipes ajudam os compradores a iniciar ataques rapidamente, fornecendo ferramentas e infraestrutura de phishing prontas, incluindo front-end e back-end de sites de phishing, contratos inteligentes e contas de redes sociais. Os phishers que compram os serviços ficam com a maior parte do dinheiro roubado, enquanto as equipes que fornecem os serviços cobram uma comissão de 10%-20%. Esse modelo reduziu significativamente a barreira técnica para fraudes, tornando o crime cibernético mais eficiente e escalável, resultando em uma proliferação de ataques de phishing na indústria de encriptação, especialmente entre usuários que carecem de consciência de segurança, que se tornam alvos mais fáceis.

A forma de operação do golpe como serviço

Antes de apresentar este modelo de serviço, podemos primeiro entender o fluxo de trabalho típico de uma aplicação descentralizada (DApp). Uma DApp típica é geralmente composta por uma interface frontal (como uma página da Web ou um aplicativo móvel) e contratos inteligentes na blockchain. Os usuários conectam-se à interface frontal da DApp através de uma carteira de blockchain, a página frontal gera a transação de blockchain correspondente e a envia para a carteira do usuário. O usuário, em seguida, utiliza a carteira de blockchain para assinar e aprovar a transação, e após a assinatura, a transação é enviada para a rede blockchain e chama o contrato inteligente correspondente para executar a função desejada.

Então, como os atacantes de phishing conseguem enganar os usuários e roubar seus fundos? A resposta está em como eles projetam interfaces front-end e contratos inteligentes maliciosos, induzindo astuciosamente os usuários a executar operações inseguras. Os atacantes geralmente levam os usuários a clicar em links ou botões maliciosos, enganando-os para aprovar algumas transações maliciosas ocultas, e até mesmo, em certos casos, induzindo diretamente os usuários a revelar suas chaves privadas. Uma vez que os usuários assinam essas transações maliciosas ou expõem suas chaves privadas, os atacantes conseguem facilmente transferir os ativos dos usuários para suas próprias contas.

Aqui estão alguns dos meios mais comuns:

1. Front-end de projetos conhecidos falsificados: atacantes criam uma interface frontal aparentemente legítima, imitando cuidadosamente os sites oficiais de projetos conhecidos, fazendo os usuários acreditarem que estão interagindo com um projeto confiável, levando-os a relaxar a vigilância, conectar suas carteiras e executar operações inseguras.

2. Esquemas de airdrop de tokens: Eles promovem amplamente sites de phishing nas redes sociais, alegando ter oportunidades extremamente atraentes como "airdrops gratuitos", "pré-vendas antecipadas", "cunhagem gratuita de NFTs" e assim por diante, atraindo as vítimas a clicar nos links. Depois de atraídas para o site de phishing, as vítimas frequentemente se conectem a suas carteiras e aprovam transações maliciosas sem perceber.

3. Incidentes falsos de hackers e esquemas de recompensas: cibercriminosos afirmam que um projeto conhecido sofreu um ataque de hackers ou que os ativos foram congelados, e agora estão a oferecer compensações ou recompensas aos usuários. Eles atraem os usuários para sites de phishing através dessas falsas emergências, enganando-os para conectarem as suas carteiras, e finalmente roubando os fundos dos usuários.

Pode-se dizer que a encriptação de phishing não é uma nova tática; já era bastante comum antes de 2020, mas este modelo de serviço é, em grande parte, o maior impulsionador do aumento da encriptação de phishing nos últimos dois anos. Antes do surgimento desse modelo, os atacantes de phishing precisavam preparar capital inicial na blockchain, criar um site front-end e um contrato inteligente para cada ataque. Embora a maioria desses sites de phishing seja rudimentar, eles podem ser recriados através do uso de um conjunto de templates e pequenas modificações, a operação do site e o design da página ainda requerem um certo nível de habilidade técnica. Esses fornecedores de ferramentas eliminaram completamente a barreira técnica para a encriptação de phishing, oferecendo serviços de criação e hospedagem de sites de phishing para compradores sem as habilidades técnicas necessárias, e retirando lucros dos ganhos fraudulentos.

Descubra: quantos passos são necessários para criar um site de phishing?

Depois de ver como essas equipes dividem o botim, vamos ver quão fácil é para os atacantes criar um site de phishing com a ajuda desse modelo de serviço.

Primeiro passo, após entrar no canal de comunicação fornecido, basta um simples comando e um domínio gratuito e o respectivo endereço IP são criados.

Segundo passo, escolha um dos centenas de modelos fornecidos pelo robô, e em seguida entre no processo de instalação; após alguns minutos, um site de phishing com uma interface bastante semelhante foi criado.

O terceiro passo é encontrar as vítimas. Uma vez que uma vítima entra no site, acredita nas informações fraudulentas na página e conecta a carteira para aprovar a transação maliciosa, os ativos da vítima serão transferidos. E os atacantes, com a ajuda deste serviço, podem criar um site de phishing assim em apenas três passos, gastando apenas alguns minutos.

Resumo e Revelações

O retorno desta ferramenta de phishing traz, sem dúvida, enormes riscos de segurança para os usuários do setor, tornando-se uma das ferramentas preferidas dos criminosos cibernéticos para realizar ataques de phishing e roubo de fundos, devido à sua poderosa funcionalidade, métodos de ataque encobertos e baixíssimo custo criminal.

Os usuários que participam de transações de encriptação devem estar sempre atentos e lembrar os seguintes pontos:

• Não existe almoço grátis: não acredite em nenhuma propaganda de "pancadas do céu", como airdrops gratuitos ou compensações duvidosas, confie apenas nos sites oficiais ou em projetos que tenham passado por auditorias profissionais.
• Verifique sempre a ligação à rede: antes de conectar a carteira a qualquer site, verifique cuidadosamente o URL para ver se imita projetos conhecidos e tente usar ferramentas de pesquisa de domínio WHOIS para verificar a data de registro; sites com datas de registro muito curtas são muito provavelmente projetos fraudulentos.
• Proteger informações de privacidade: Não envie suas palavras-chave ou chaves privadas para nenhum site ou aplicativo suspeito. Antes de assinar qualquer mensagem ou aprovar uma transação na carteira, verifique cuidadosamente se a transação é um Permit ou Approve que pode resultar em perda de fundos.
• Fique atento às atualizações de informações sobre fraudes: siga as contas oficiais de redes sociais que publicam regularmente informações de alerta. Se você perceber que autorizou inadvertidamente um endereço de fraude a acessar seus tokens, revogue a autorização imediatamente ou transfira os ativos restantes para outro endereço seguro.