Le 23 janvier, Wallet Connect et d’autres sociétés web3 informé leurs utilisateurs au sujet d’une escroquerie par phishing utilisant les adresses e-mail officielles de sociétés Web3 pour voler des fonds dans des milliers de portefeuilles cryptographiques.
Une campagne de phishing massive
Wallet Connect a pris X pour informer sa communauté d’un e-mail autorisé envoyé à partir d’une adresse e-mail liée à Wallet Connect. Cet e-mail a incité les destinataires à ouvrir un lien pour réclamer un airdrop. Cependant, le lien a conduit à un site malveillant et, comme l’a confirmé Wallet Connect, il n’a pas été émis directement par l’équipe ou par toute personne affiliée. Wallet Connect a contacté la société de sécurité et de confidentialité Web3 Blockaid pour enquêter plus en détail sur l’arnaque par phishing.
Nous avons détecté une attaque de phishing sophistiquée usurpant l’identité @WalletConnect via un faux email renvoyant vers une dapp malveillante.
Les portefeuilles compatibles Blockaid sont sûrs.https://t.co/quz9olGrpZ pic.twitter.com/TYS0BjIk2J
– Blockaid (@blockaid_) 23 janvier 2024
Dans les heures qui suivent, détective crypto posté une alerte communautaire pour informer les utilisateurs inconscients que les e-mails des équipes CoinTelegraph, Token Terminal et De.Fi ont également été compromis, signalant qu’une campagne de phishing massive et plus sophistiquée était en cours. Au moment de la publication, environ 580 000 $ avaient été volés.
Après enquête, Blockaid a révélé plus tard que l’attaquant « était capable d’exploiter une vulnérabilité du fournisseur de services de messagerie MailerLite pour usurper l’identité de sociétés Web3 ».
E-mail les escroqueries par phishing sont courants parmi les cyber-escrocs, ce qui incite les utilisateurs à se méfier de la plupart des liens ou e-mails suspects. Dans le même temps, les entreprises et entités déconseillent d’ouvrir des liens qui ne proviennent pas de leurs canaux officiels. Dans ce cas, l’attaquant a réussi à tromper un grand nombre d’utilisateurs de ces sociétés, car les liens malveillants provenaient de leurs adresses e-mail officielles.
La compromission a permis à l’attaquant d’envoyer des e-mails convaincants contenant des liens malveillants menant à des sites Web drainant le portefeuille. Plus précisément, les liens ont conduit à plusieurs dApps malveillantes qui utilisent l’infrastructure d’Angel Drainer Group.
Les attaquants, comme l’explique Bloackaid, ont profité des données précédemment fournies à Mailer Lite, car ces sociétés lui avaient déjà donné accès pour envoyer des e-mails au nom des domaines de ces sites, en particulier en utilisant des enregistrements DNS préexistants, comme détaillé dans le fil:
Plus précisément, ils ont utilisé des enregistrements « dns suspendus » qui ont été créés et associés à Mailer Lite (précédemment utilisé par ces sociétés). Après la fermeture de leurs comptes, ces enregistrements DNS restent actifs, donnant aux attaquants la possibilité de revendiquer et d’usurper l’identité de ces comptes. pic.twitter.com/cbTpc5MXu1
– Blockaid (@blockaid_) 23 janvier 2024
MailerLite explique la faille de sécurité
L’explication est venue plus tard via un e-mail, dans lequel MailerLite expliquait que l’enquête avait montré qu’un membre de son équipe de support client était devenu par inadvertance le point initial du compromis. Comme l’explique l’e-mail :
Le membre de l’équipe, répondant à une demande d’un client via notre portail d’assistance, a cliqué sur une image qui était liée de manière trompeuse à une page de connexion Google frauduleuse. En y saisissant par erreur leurs identifiants, le ou les auteurs ont eu accès à leur compte. L’intrusion a été authentifiée par inadvertance par le membre de l’équipe grâce à une confirmation par téléphone portable, pensant qu’il s’agissait d’une tentative d’accès légitime. Cette violation a permis aux auteurs de pénétrer dans notre panneau d’administration interne.
MailerLite ajoute en outre que l’attaquant a réinitialisé le mot de passe d’un utilisateur spécifique sur le panneau d’administration pour consolider davantage le contrôle non autorisé. Ce contrôle leur a donné accès à 117 comptes, parmi lesquels ils se sont concentrés uniquement sur les comptes liés aux cryptomonnaies pour la campagne de phishing.
Un utilisateur anonyme de Reddit posté une analyse de la situation et a examiné de plus près les transactions de l’attaquant. L’utilisateur a révélé :
Le portefeuille d’une victime semble avoir perdu 2,64 millions de jetons XB. Je montre environ 2,7 millions de dollars dans le portefeuille de phishing de 0xe7D13137923142A0424771E1778865b88752B3c7, tandis que 518,75 millions sont allés à 0xef3d9A1a4Bf6E042F5aaebe620B5cF327ea05d4D.
L’utilisateur a déclaré que la plupart des fonds volés se trouvaient dans la première adresse de phishing. Dans le même temps, environ 520 000 $ d’ETH ont été envoyés au protocole de confidentialité Railgun, et il pense qu’ils seront bientôt transférés via un autre mélangeur ou échange.
ETH is trading at $2,232.92 in the hourly chart. Source: ETHUSDT on TradingView.com
Image en vedette de Unsplash.com, graphique de TradingView.com
Avertissement : l’article est fourni à des fins éducatives uniquement. Il ne représente pas les opinions de NewsBTC sur l’opportunité d’acheter, de vendre ou de détenir des investissements et, naturellement, investir comporte des risques. Il vous est conseillé d’effectuer vos propres recherches avant de prendre toute décision d’investissement. Utilisez les informations fournies sur ce site Web entièrement à vos propres risques.
