Malwarebytes mengatakan pada 1 September bahwa sebuah situs web yang berpura-pura sebagai penjual salinan Grand Theft Auto VI yang bocor mengandung kode yang dirancang untuk menguras dompet mata uang kripto yang terhubung. Analisis teknis perusahaan menemukan satu komponen yang ditujukan untuk Solana dan skrip terpisah yang lebih besar yang dikonfigurasi untuk tujuh jaringan tambahan. Kampanye ini merupakan ancaman izin dompet, bukan scam pembayaran sederhana.
Laman tersebut mengiklankan kebocoran yang diduga senilai $50 atau satu SOL dan meminjam detail rilis yang masuk akal agar tampak kredibel. Malwarebytes mengatakan kode Solana inline mengabaikan harga yang diiklankan: ia memeriksa saldo dompet, meninggalkan sejumlah kecil untuk biaya transaksi, dan menyiapkan sisa saldo untuk ditransfer. Perilaku ini menjadikan harga pembelian yang diminta sebagai umpan, bukan batas potensi kerugian.
Drainer Menargetkan Aset di Berbagai Jaringan
Menurut para peneliti, sebuah skrip terpisah sebesar sekitar 2,4 MB menggabungkan perangkat lunak koneksi dompet yang sah bersama fungsi jahat. Skrip ini dapat mencatat aset yang dimiliki, memperkirakan nilainya, mengirimkan detail dompet dan pengunjung kepada operator, serta mengambil transaksi untuk persetujuan. Jaringan yang dikonfigurasi adalah Ethereum, Polygon, BNB Smart Chain, Avalanche, Arbitrum, Base, dan Fantom; kode ini juga dapat mengidentifikasi stablecoin dan meminta akses ke token atau koleksi NFT.
Perbedaan antara transfer dan persetujuan penting. Transfer dapat memindahkan aset segera, sementara persetujuan token atau NFT dapat membiarkan penyerang mampu memindahkannya nanti. wallet-drainer campaigns have exploited deceptive permission requests serupa telah memanfaatkan permintaan izin yang menyesatkan, menjadikan layar penandatanganan—bukan halaman pemasaran—sebagai titik pemeriksaan keamanan yang menentukan.
Peneliti Melihat Tanda-Tanda Infrastruktur yang Disewa
Malwarebytes mengatakan skrip yang lebih besar mengunduh identitas operator dan pengaturan dari server jarak jauh, sementara alamat tujuannya berbeda dari alamat Solana yang tertanam di halaman tersebut. Para peneliti mengatakan struktur tersebut menyerupai layanan yang dihosting yang digunakan oleh beberapa pelanggan, meskipun mereka tidak dapat mengidentifikasi produk tertentu. Konfigurasi jarak jauh memungkinkan operator mengubah tujuan pengiriman dana yang dicuri tanpa mengedit halaman GTA palsu itu sendiri.
Kode tersebut juga memprofil dompet sebelum mencari persetujuan dan mencakup langkah-langkah yang dimaksudkan untuk mengganggu pemindai otomatis dan alat pengembang browser. Filter negara opsional memblokir pengunjung dari sepuluh negara di wilayah Persemakmuran Negara-Negara Merdeka. Malwarebytes memperingatkan bahwa daftar tersebut sendiri tidak menentukan siapa yang membangun atau mengoperasikan kampanye tersebut.
Layar Persetujuan Dompet adalah Pertahanan Terakhir
Hanya menghubungkan dompet tidak mentransfer aset, laporan tersebut menekankan; bahaya muncul ketika pengguna menandatangani transaksi atau permintaan izin yang mengikuti. Pengguna harus menolak permintaan yang memindahkan hampir seluruh saldo atau memberikan kendali atas token atau NFT kepada penjual game. Praktik keamanan dompet crypto yang lebih luas juga mencakup penggunaan sumber unduhan yang terpercaya dan memisahkan aset berharga dari dompet yang digunakan untuk aplikasi yang tidak dikenal.
Siapa pun yang menyetujui akses harus meninjau dan mencabut izin aktif, sementara pengguna yang memasukkan frasa pemulihan harus memperlakukan dompet tersebut sebagai telah dikompromikan secara terpisah dan memindahkan aset yang tersisa ke dompet yang baru dibuat. Insiden ini memperpanjang pola serangan phishing yang menargetkan pemegang kripto, di mana merek-merek yang dikenal menciptakan urgensi sebelum permintaan yang menyesatkan.