xmrwallet.comの実態：10年間にわたる秘密鍵の盗難と取引の乗っ取り

ファサード

xmrwallet.com は、無料の オープンソースのクライアントサイドMoneroウォレットとして提供されています。ダウンロードも 登録も不要です。同サービスの利用規約には、次のような非常に具体的な記載があります：

これは嘘です。私たちのフォレンジック分析――ネットワークキャプチャ、 JavaScriptの難読化解除、および本番コードの比較―― は、まったく逆の事実を証明しています。xmrwallet.comで入力されたすべての鍵は 盗まれています。すべての取引は乗っ取られる可能性があります。

攻撃その1：ビューキーの流出

xmrwallet.com にログインすると、秘密鍵は Base64 エンコードされ、 session_key トークン。このトークンは、その後、 すべてのAPIリクエスト — 1回のセッションで40回以上。

session_key 構造体

Firefox WebExtensionのネットワークキャプチャにより、このトークンが送信されていることが確認された 6つの異なるAPIエンドポイント 1セッションあたり合計40件以上のPOSTリクエスト：

攻撃その2：トランザクションハイジャック

キーの盗み見により、攻撃者は 視聴 あなたのウォレット。しかし、xmrwallet.com はそれにとどまらず、リアルタイムで資金を盗み出します。難読化が解除された本番環境の JavaScript コードからは、5 段階の攻撃手順が明らかになっています：

ウォレットには「取引が送信されました」と表示されます。資金は攻撃者のアドレスに送金されます。被害者は 「不明なトランザクションID」 ブロックエクスプローラーで確認しようとすると。内部で次のようにタグ付けされたトランザクションは swept これらは盗まれたものです。

隠された制作コード

xmrwallet.com は、正当なサイトであるかのように見せかけるため、GitHub の公開リポジトリを運営しています。このリポジトリは囮です。それ以来、一度も更新されていません。 2018年11月。その生産環境では、まったく異なる、難読化されたコードが実行されています。

堅牢なインフラ

xmrwallet.com は、安価な共有ホスティングサービスを利用していません。当サイトは、テイクダウン要請や法執行機関の介入に耐えられるよう特別に選定された、堅牢なプレミアムインフラ上で稼働しています。

ホスティングおよびネットワークのIOC

トラッキングおよび分析に関するIOC

オペレーターの氏名：ナタリー・ロイ

オープンソース情報分析によると、xmrwallet.comのインフラは、ある特定の個人に直接結びついていることが判明した。

記録された犠牲者

少なくとも 公表された症例は15件 Trustpilot、Sitejabber、Reddit、GitHub Issuesなどで報告されている資金盗難の事例。実在する人々。実在のお金。すべて失われてしまった。

• 590 XMR（約177,000ドル） — 単一の窃盗事件としては、記録上最大規模の事例
• 17.44 XMR — オンチェーン上でトランザクションIDとともに記録される
• 一夜のうちに20 XMRが盗まれた — ユーザーが寝ている間に財布の中身が空になった
• 「不明なトランザクションID」に関する複数の報告 — その swept タグの署名
• GitHubのイシュー #13 以上が削除されました — オペレーターがリポジトリから被害者報告を削除する

出来事の年表

証拠資料および出典資料の全容

この記事に記載されているすべての主張は、一般に検証可能な証拠によって裏付けられています。レポートをダウンロードしてください。コードを検証してください。ネットワークのキャプチャを自分で確認してください。

安全な代替案

いかなるウェブウォレットでも、秘密鍵を入力してはいけません。 以上です。お使いのデバイス上でローカルに動作する、検証済みかつ監査済みのソフトウェアを使用してください。