В декабре 2021 года злоумышленник похитил около 121 миллиона долларов у пользователей BadgerDAO — платформы децентрализованных финансов (DeFi). Атака стала возможной благодаря вредоносному коду, внедрённому непосредственно на официальный сайт проекта. Этот код обманом заставлял пользователей разрешать перевод своих токенов. При этом злоумышленнику не требовалось красть их приватные ключи.
Этот инцидент наглядно показывает риск, от которого не защищает даже простая проверка адреса сайта: настоящий сайт может быть взломан, а запросы, которые он отправляет в ваш кошелёк, могут быть подменены.
Атака на BadgerDAO: доверенный сайт, вредоносные запросы
Согласно анализу Microsoft, злоумышленник получил доступ к API-ключу Cloudflare — учётным данным, позволяющим управлять сервисами, обеспечивающими работу сайта BadgerDAO. Это дало ему возможность внедрить вредоносный код во фронтенд сайта — интерфейс, с которым взаимодействовали посетители платформы.
Изменённый интерфейс предлагал пользователям разрешить адресу, контролируемому злоумышленником, распоряжаться их токенами. Получив такое разрешение, злоумышленник мог использовать его для перевода соответствующих активов из кошельков пользователей.
Как злоумышленники использовали Cloudflare для изменения сайта BadgerDAO
Злоумышленник, атаковавший BadgerDAO, получил ключ доступа Cloudflare — своего рода цифровой пропуск, позволявший изменять способ доставки содержимого сайта. Используя этот доступ, он внедрил вредоносный код непосредственно на настоящий сайт BadgerDAO.
Пользователи могли находиться по правильному адресу сайта, но при этом получать запросы к кошельку, предоставляющие злоумышленнику право распоряжаться их токенами. Вредоносный код активировался лишь время от времени и воздействовал только на определённые кошельки, поэтому обнаружить его было сложнее. Главный вывод для пользователей прост: даже знакомый сайт, использующий известного поставщика услуг безопасности, может отправить опасный запрос на предоставление разрешений.
Cloudflare, BadgerDAO и ваш кошелёк: практические уроки безопасности
Храните долгосрочные сбережения отдельно от DeFi-кошелька.
Храните активы, предназначенные для долгосрочного хранения, в кошельке, защищённом аппаратным устройством, и не используйте этот кошелёк для подтверждения разрешений в DeFi. Для обменов, работы с DeFi и получения токенов используйте отдельный адрес, пополняя его только необходимой суммой.
Будьте осторожны, если знакомый сайт запрашивает неожиданное разрешение.
Если во время обычного действия появляется необъяснимый запрос на предоставление разрешений, отнеситесь к нему внимательно — даже если вы пользуетесь этим сайтом уже много лет. Прежде чем продолжать, проверьте запрос через официальный канал, открытый отдельно от подозрительного сайта. Правильный URL не гарантирует, что страница остаётся безопасной.
Понимайте, от чего защищает аппаратный кошелёк.
Аппаратный кошелёк защищает ваши приватные ключи. Однако подписание вредоносного разрешения на использование токенов всё равно может дать злоумышленнику право перевести эти токены позднее — без дополнительного подтверждения на вашем устройстве. Сохранение секретности seed-фразы не защищает от такого вида кражи.
Знайте, что делать после подозрительного подтверждения.
Прекратите пользоваться подозрительным сайтом и как можно скорее проверьте выданные разрешения и отзовите их с помощью надёжного инструмента. Для Ethereum можно использовать инструмент Etherscan для проверки разрешений на использование токенов. Открывайте его независимо от подозрительного сайта. Отключение кошелька не отменяет уже выданные разрешения, а их отзыв не возвращает средства, которые были переведены ранее.
Нужна помощь с настройкой самостоятельного хранения активов?
BitcoinVN предлагает индивидуальные консультации с персональным сопровождением по вопросам самостоятельного хранения криптоактивов. Мы изучаем вашу ситуацию и вместе с вами разбираем всю систему хранения: от повседневного доступа до резервных копий и восстановления. Рекомендации адаптируются к вашим потребностям, опыту и приоритетам.
Свяжитесь с нами, чтобы записаться на индивидуальную консультацию
