100.000 $ zurückgegeben — Malvertising-Betrug vereitelt

Übersicht

Ein Kryptowährungsprojekt fiel einem Social-Engineering-Angriff zum Opfer, der als legitime Werbepartnerschaft getarnt war. PhishDestroy stellte den Zugriff auf die Wallet wieder her und sicherte über 100.000 Dollar in kompromittierten Geldern und leitete die angebotene Belohnung anschließend an eine externe Organisation weiter, um die Unabhängigkeit zu wahren.

Was Sie wissen müssen

• Die Wallet war bereits kompromittiert; Gelder waren bereits transferiert worden.
• Der Zugang wurde wiederhergestellt und $100K+ wurde daran gehindert, beim Angreifer zu bleiben.
• Im Rahmen des Projekts wurde eine Belohnung angeboten, die jedoch abgelehnt und an @_SEAL_Org stattdessen.
• Diese Arbeit wird eigenständig im Rahmen einer privatwirtschaftlichen Initiative durchgeführt und stellt keine bezahlte Beschäftigung dar.

So funktionierte der Betrug

• Das Opfer erhielt ein Kooperations- bzw. Werbeangebot für ein Krypto-Spiel.
• Der Angriff wirkte glaubwürdig: eine professionelle Website, eine etablierte Präsenz auf X (Twitter)EN sowie Videoanrufe, die seriös wirkten.
• Während der Telefonate forderten die Angreifer die Installation eines „Workplace Viewers“ an, um auf die Unterlagen zugreifen zu können.
• Der „Viewer“ war Malware zum Datendiebstahl.
• Die Angreifer hoben Geld ab, tauschten Token zwischen verschiedenen Blockchains aus und transferierten Vermögenswerte in ihre eigene Wallet.

Ergriffene Maßnahmen

1. Der Kompromiss wurde bestätigt und die weitere Bewegung gestoppt.
2. Der Zugriff auf die Wallet wurde für den rechtmäßigen Eigentümer wiederhergestellt.
3. Die Kontrolle über die Empfänger-Wallet des Angreifers wurde gesichert und an das Opferteam übertragen.
4. Abgestimmte Folgemaßnahmen zur Verringerung des Restrisikos.

Sicherheitsmaßnahmen nach einem Vorfall

Das Konzept des „Adverting“ verstehen

Werbung Dabei handelt es sich um Social Engineering im geschäftlichen Umfeld, bei dem Kriminelle normale Arbeitsabläufe (Anzeigenkäufe, Partnerschaften, PR) nachahmen, um die Installation bösartiger „Clients“ zu erwirken.

Häufige Warnzeichen:

• „Installieren Sie unseren Anzeigenmanager/Helper, um die Werbemittel zu synchronisieren“
• „Nutzen Sie für den Anruf unseren maßgeschneiderten Zoom-/Telegram-Client“
• „Öffnen Sie unser Medienkit/unsere Vertraulichkeitsvereinbarung über einen sicheren Viewer“

Die Belohnung und die Unabhängigkeit

• Das Projekt bot eine Belohnung, da der Gewinn den anfänglichen Verlust überstieg.
• PhishDestroy lehnte es ab, die Belohnung zu behalten.
• Der gesamte Überschuss floss in @_SEAL_Org.
• Dadurch bleibt die Unabhängigkeit gewahrt – es gibt keine Finanzierungsquellen und keine Verpflichtungen.

Grundprinzipien

• Nur Unabhängigkeit – ohne Budgets und ohne Auflagen.
• Ein ergebnisorientierter Ansatz statt endloser Diskussionen.
• Ablehnung jeglicher „Sonderkunden“ oder nicht geprüfter Software.
• Selektive Offenlegung, die den Opfern hilft, nicht aber den Angreifern.
• Direkter Druck auf die Infrastruktur der Angreifer.

Praktische Empfehlungen

Fazit

Obwohl bereits Gelder transferiert wurden, PhishDestroy Zugang wiederhergestellt und stellte sicher, dass der Angreifer die gestohlenen Vermögenswerte nicht behalten konnte. Indem die Organisation die Belohnung ablehnte und überschüssige Mittel anderweitig einsetzte, bewahrt sie ihr ehrenamtliches, unabhängiges Betriebsmodell, dessen Schwerpunkt auf einer schnellen und effektiven Reaktion auf Vorfälle liegt.