Malwarebytes mengatakan pada 1 September bahawa sebuah laman web yang menyamar sebagai penjual salinan Grand Theft Auto VI yang bocor mengandungi kod yang direka untuk mengosongkan dompet mata wang kripto yang disambungkan. Analisis teknikal syarikat itu mendapati satu komponen yang bertujuan kepada Solana dan skrip lain yang lebih besar yang dikonfigurasi untuk tujuh rangkaian tambahan. Kampanye ini merupakan ancaman kebenaran dompet, bukan scam pembayaran biasa.
Laman tersebut mengiklankan kebocoran yang dikatakan berharga $50 atau satu SOL dan meminjam butiran pelepasan yang masuk akal untuk kelihatan kredibel. Malwarebytes mengatakan kod Solana dalam talian mengabaikan harga yang diiklankan: ia memeriksa saldo dompet, meninggalkan sejumlah kecil untuk caj transaksi, dan mempersiapkan baki untuk dipindahkan. Perilaku itu menjadikan harga pembelian yang diminta sebagai umpan, bukan had atas potensi kerugian.
Drainer Menargetkan Aset Merentas Pelbagai Rangkaian
Menurut penyelidik, satu skrip berasingan sebanyak kira-kira 2.4 MB menggabungkan perisian sambungan dompet sah bersama fungsi jahat. Ia boleh menginventori simpanan, menganggar nilainya, menghantar butiran dompet dan pengunjung kepada pengendali, serta mengambil transaksi untuk kebenaran. Rangkaian yang dikonfigurasi ialah Ethereum, Polygon, BNB Smart Chain, Avalanche, Arbitrum, Base, dan Fantom; kod ini juga boleh mengenal pasti koin stabil dan meminta akses kepada token atau koleksi NFT.
Perbezaan antara pindah dan kebenaran adalah penting. Pindah boleh memindahkan aset secara serta-merta, manakala kebenaran token atau NFT mungkin membiarkan penyerang mampu memindahkannya kemudian. Kempen penguras dompet serupa telah memanfaatkan permintaan kebenaran yang menipu, menjadikan skrin penandatanganan—bukan halaman pemasaran—sebagai titik semakan keselamatan yang menentukan.
Penyelidik Melihat Tanda-Tanda Infrastruktur Disewa
Malwarebytes mengatakan skrip yang lebih besar memuatkan pengenal operator dan tetapan dari pelayan jauh, sementara alamat tujuannya berbeza daripada alamat Solana yang disematkan dalam laman tersebut. Para penyelidik mengatakan struktur ini menyerupai perkhidmatan yang dihoskan oleh pelbagai pelanggan, walaupun mereka tidak dapat mengenal pasti produk tertentu. Konfigurasi jauh membolehkan operator mengubah tempat dana yang dicuri dihantar tanpa mengedit laman GTA palsu itu sendiri.
Kod tersebut juga memprofil dompet sebelum meminta persetujuan dan termasuk langkah-langkah yang bertujuan untuk mengganggu pemindai automatik dan alat pembangun peramban. Satu penapis negara pilihan menghalang pengunjung dari sepuluh negara di kawasan Persekutuan Negara-Negara Merdeka. Malwarebytes memperingatkan bahawa senarai sahaja tidak menentukan siapa yang membina atau mengendalikan kempen tersebut.
Skrin Pengesahan Dompet Adalah Pertahanan Terakhir
Menghubungkan dompet sahaja tidak memindahkan aset, laporan itu menekankan; bahaya timbul apabila pengguna menandatangani transaksi atau permintaan kebenaran yang mengikutinya. Pengguna harus menolak permintaan yang memindahkan hampir keseluruhan baki atau memberikan kawalan kepada penjual permainan atas token atau NFT. Amalan keselamatan dompet crypto yang lebih luas juga termasuk menggunakan sumber muat turun yang dipercayai dan memisahkan simpanan bernilai tinggi daripada dompet yang digunakan untuk aplikasi yang tidak dikenali.
Sesiapa yang telah mengesahkan akses harus meninjau dan membatalkan kebenaran aktif, sementara pengguna yang memasukkan frasa pemulihan harus memperlakukan dompet tersebut sebagai telah dikompromikan secara berasingan dan memindahkan aset yang tinggal ke dompet yang baru dicipta. Insiden ini melanjutkan pola kampanye phishing yang menargetkan pemegang kripto, di mana jenama yang dikenali mencipta kegentingan sebelum permintaan yang menipu.