Malwarebytes cho biết vào ngày 1 tháng 9 rằng một trang web giả danh người bán bản sao bị rò rỉ của Grand Theft Auto VI chứa mã được thiết kế để trích cạn các ví tiền điện tử được kết nối. Phân tích kỹ thuật của công ty phát hiện một thành phần nhắm vào Solana và một kịch bản lớn hơn, riêng biệt được cấu hình cho bảy mạng lưới bổ sung. Chiến dịch này là mối đe dọa về quyền truy cập ví, chứ không phải đơn thuần là gian lận thanh toán.
Trang web quảng bá thông tin rò rỉ giả định với giá 50 đô la hoặc một SOL và vay mượn các chi tiết phát hành hợp lý để tạo sự đáng tin cậy. Malwarebytes cho biết mã Solana nhúng bỏ qua mức giá được quảng bá: nó kiểm tra số dư ví, để lại một số tiền nhỏ cho phí giao dịch và chuẩn bị phần còn lại để chuyển. Hành vi này khiến mức giá yêu cầu trở thành cái bẫy thay vì giới hạn tối đa cho tổn thất tiềm ẩn.
Drainer nhắm vào tài sản trên nhiều mạng lưới
Theo các nhà nghiên cứu, một script riêng biệt khoảng 2,4 MB kết hợp phần mềm kết nối ví hợp lệ với các chức năng độc hại. Nó có thể liệt kê số dư, ước tính giá trị, gửi thông tin ví và người dùng đến người vận hành, và truy xuất giao dịch để xác nhận. Các mạng được cấu hình là ethereum, Polygon, BNB Smart Chain, Avalanche, Arbitrum, Base và Fantom; mã có thể cũng nhận diện stablecoin và yêu cầu truy cập vào token hoặc bộ sưu tập NFT.
Sự khác biệt giữa việc chuyển và việc cấp phép là quan trọng. Một khoản chuyển có thể di chuyển tài sản ngay lập tức, trong khi việc cấp phép cho token hoặc NFT có thể để lại khả năng cho kẻ tấn công di chuyển chúng sau này. Các chiến dịch wallet-drainer đã khai thác các yêu cầu cấp phép gian lận, khiến màn hình ký—không phải trang tiếp thị—trở thành điểm kiểm tra bảo mật quyết định.
Các nhà nghiên cứu phát hiện dấu hiệu của cơ sở hạ tầng cho thuê
Malwarebytes cho biết script lớn hơn sẽ tải xuống một định danh người vận hành và các cài đặt từ một máy chủ từ xa, trong khi địa chỉ đích khác với địa chỉ Solana được nhúng trong trang. Các nhà nghiên cứu cho biết cấu trúc này giống với một dịch vụ được lưu trữ dùng chung cho nhiều khách hàng, mặc dù họ không thể xác định được sản phẩm cụ thể. Cấu hình từ xa sẽ cho phép người vận hành thay đổi nơi gửi số tiền bị đánh cắp mà không cần chỉnh sửa trang GTA giả mạo.
Mã cũng phân tích các ví trước khi tìm sự chấp thuận và bao gồm các biện pháp nhằm làm khó các công cụ quét tự động và công cụ phát triển trình duyệt. Bộ lọc quốc gia tùy chọn chặn người truy cập từ mười quốc gia trong khu vực Cộng đồng Các Quốc gia Độc lập. Malwarebytes cảnh báo rằng danh sách này một mình không xác định được ai đã xây dựng hoặc vận hành chiến dịch.
Màn hình phê duyệt ví là lá chắn cuối cùng
Việc chỉ kết nối ví không chuyển tài sản, báo cáo nhấn mạnh; nguy cơ phát sinh khi người dùng xác nhận giao dịch hoặc yêu cầu cấp quyền theo sau. Người dùng nên từ chối các yêu cầu di chuyển gần như toàn bộ số dư hoặc cấp quyền kiểm soát token hoặc NFT cho người bán trò chơi. Các biện pháp bảo mật ví crypto wallet security practices rộng hơn cũng bao gồm sử dụng các nguồn tải về đáng tin cậy và tách riêng các tài sản có giá trị khỏi các ví dùng cho các ứng dụng không quen thuộc.
Bất kỳ ai đã cấp quyền truy cập nên xem xét và hủy các quyền đang hoạt động, trong khi người dùng đã nhập cụm từ khôi phục nên coi ví đó đã bị xâm phạm riêng biệt và chuyển các tài sản còn lại sang một ví mới được tạo. Sự cố này tiếp nối xu hướng các chiến dịch lừa đảo nhắm vào người nắm giữ tiền điện tử, trong đó các thương hiệu quen thuộc tạo ra sự khẩn cấp trước khi đưa ra yêu cầu gian dối.