ماجرای سرقت با یک کلیک شروع شد

بر اساس گزارشی که شرکت تحلیل بلاک‌چین Bitquery منتشر کرده، یکی از قربانیان این حمله اعلام کرده است که در حال استفاده از Safari در آیفون خود، یک ویدئو را باز کرده و پس از کلیک روی یک تبلیغ، به صفحه دیگری منتقل شده است. پس از این اتفاق، دارایی‌های موجود در کیف پول او به سرقت رفت. بررسی تراکنش‌های مربوط به این کیف پول نشان می‌دهد ابتدا حدود ۱۶ هزار و ۴۲۸ واحد تتر از آن خارج شده و تنها ۱۲ ثانیه بعد، مقدار باقی‌مانده TRX نیز انتقال یافته است.

این فاصله زمانی کوتاه میان ورود به صفحه آلوده و تخلیه کیف پول، توجه پژوهشگران را به احتمال سوءاستفاده از آسیب‌پذیری‌های مرورگر یا سیستم‌عامل و همچنین روش‌هایی برای دسترسی مهاجم به اطلاعات موردنیاز کیف پول جلب کرده است.

با این حال، یک نکته مهم وجود دارد: داده‌های بلاک‌چین به‌تنهایی نمی‌توانند مشخص کنند که قربانی هنگام انجام تراکنش از آیفون، اندروید یا رایانه استفاده کرده یا اینکه دقیقاً چه تبلیغی عامل حمله بوده است. بنابراین نمی‌توان تمام سرقت‌های شناسایی‌شده را به تبلیغات آلوده آیفون نسبت داد.

وقتی تبلیغ فقط یک تبلیغ نیست

تبلیغات اینترنتی معمولاً یکی از مسیرهای عادی ورود کاربران به وب‌سایت‌ها هستند، اما مهاجمان می‌توانند از همین مسیر برای هدایت کاربر به صفحات مخرب استفاده کنند.

در چنین حملاتی، کاربر ممکن است بدون نصب یک برنامه ناشناس یا وارد کردن مستقیم رمز عبور، صرفاً با باز کردن یک صفحه یا کلیک روی یک تبلیغ در معرض کد مخرب قرار بگیرد.

در پرونده بررسی‌شده، کاربر ابتدا با یک تبلیغ مواجه شده و سپس به صفحه‌ای دیگر هدایت شده است. همین زنجیره ساده می‌تواند برای حمله کافی باشد؛ به‌خصوص اگر دستگاه یا مرورگر قربانی دارای آسیب‌پذیری امنیتی باشد.

پژوهشگران احتمال داده‌اند این حمله با ابزارها یا کیت‌هایی مشابه DarkSword  مرتبط باشد. DarkSword  پیش‌تر در گزارش‌های امنیتی به‌عنوان ابزاری برای هدف قرار دادن دستگاه‌های   iOS از طریق صفحات وب مخرب مطرح شده بود و می‌تواند اطلاعات حساس، از جمله داده‌های مرتبط با کیف پول‌های رمزارزی را هدف قرار دهد.

با این حال، در بررسی Bitquery شواهد کافی برای اینکه با قطعیت بگوییم DarkSword عامل تمام این سرقت‌ها بوده، ارائه نشده است.

هکرها چگونه به دارایی کیف پول دسترسی پیدا کردند؟

یکی از نکات مهم این پرونده آن است که شواهد موجود نشان نمی‌دهد خود کیف پول رمزارزی هک شده باشد. در واقع، هدف اصلی مهاجم می‌تواند دستگاه یا اطلاعاتی باشد که روی آن نگهداری می‌شود.

اگر مهاجم بتواند عبارت بازیابی، کلید خصوصی یا اطلاعات لازم برای دسترسی به کیف پول را به دست آورد، ممکن است بدون نفوذ مستقیم به زیرساخت یک صرافی یا شرکت رمزارزی، دارایی‌های قربانی را منتقل کند.

به همین دلیل، نگهداری عبارت بازیابی روی تلفن همراه، ذخیره آن در فضای ابری یا ثبت آن در قالب اسکرین‌شات می‌تواند ریسک سرقت دارایی را افزایش دهد.

سرقت فقط به یک کیف پول محدود نبود

بررسی‌های زنجیره‌ای Bitquery نشان دادند که در فاصله ۵ اکتبر تا ۴ نوامبر ۲۰۲۶، دست‌کم ۴.۰۶ میلیون دلار USDT از ۳۶۵ کیف پول روی شبکه ترون خارج شده است.

در این بررسی، ۴۳ کیف پول جمع‌آوری‌کننده نیز شناسایی شد که تراکنش‌های آنها به یک کیف پول کارمزد مشترک مرتبط بود. وجود این ارتباط می‌تواند نشان‌دهنده استفاده از زیرساخت مشترک در حملات باشد. هرچند به‌تنهایی ثابت نمی‌کند که همه این سرقت‌ها توسط یک گروه انجام شده‌اند.

اما بررسی‌ها به شبکه ترون محدود نماند. پژوهشگران نمونه‌های دیگری از تخلیه کیف پول را روی شبکه‌هایی مانند اتریوم، BNB Chain، سولانا، آربیتروم، آپتیمیزم، پالیگان، بیس و آوالانچ نیز شناسایی کردند.

در مجموع، این یافته‌ها نشان می‌دهد کلیک روی یک تبلیغ آلوده می‌تواند تنها نقطه شروع یک زنجیره حمله باشد؛ زنجیره‌ای که در نهایت به سرقت دارایی‌های رمزارزی از کیف پول کاربر منجر می‌شود.

برای کاهش خطر، کاربران باید سیستم‌عامل و مرورگر خود را به‌روز نگه دارند، عبارت بازیابی کیف پول را روی تلفن یا فضای ابری ذخیره نکنند و هنگام مشاهده تبلیغات یا لینک‌های ناشناس، از کلیک روی آنها خودداری کنند.