Zespół ds. bezpieczeństwa Trust Wallet potwierdził, że strona internetowa reklamująca kartę płatniczą do kryptowalut o wyjątkowo hojnych korzyściach jest oszustwem, i ostrzegł użytkowników przed podłączaniem swoich portfeli do tej platformy.
Podsumowanie
- Zespół ds. bezpieczeństwa Trust Wallet potwierdził, że strona internetowa reklamująca kartę płatniczą do kryptowalut o premium korzyściach jest oszustwem, i ostrzegł użytkowników przed podłączaniem swoich portfeli.
- Fałszywa strona internetowa obiecuje limit wydatków w wysokości 100 000 dolarów, do 8% zwrotu gotówki, brak wymogów KYC oraz dostęp do saloników lotniskowych, a wydanie karty reklamowane jest za jedyne 1 dolara.
- Badacz bezpieczeństwa Daniel oznaczył tę stronę po odkryciu, że wykorzystywała ona markę Trust Wallet do promowania trzech poziomów kart i twierdziła, że posiada licencje w czterech krajach.
- Trust Wallet wyjaśnił, że jego legalne oferty są dostępne za pośrednictwem oficjalnej aplikacji i strony internetowej, ostrzegając użytkowników przed zatwierdzaniem podejrzanych żądań połączenia z portfelem lub podpisów.
Badacz bezpieczeństwa kryptowalut Daniel, znany jako @0xDani na X, oznaczył fałszywą kartę Trust Wallet w poście z 28 października, wskazując na stronę internetową, która wykorzystywała markę dostawcy portfela do promowania karty płatniczej z limitem wydatków 100 000 dolarów, nagrodami w postaci zwrotu gotówki do 8% oraz kilkoma korzyściami premium.
Strona internetowa reklamowała kartę jako sposób na wydawanie kryptowalut w dowolnym miejscu, z obsługą Apple Pay i Google Pay, zerowymi opłatami za wymianę walut i brakiem wymogów weryfikacji tożsamości.
James Bro, który przedstawił się jako osoba mówiąca w imieniu zespołu ds. bezpieczeństwa Trust Wallet, odpowiedział na ostrzeżenie i potwierdził, że strona internetowa nie była powiązana z firmą.
Fałszywa karta Trust Wallet obiecuje korzyści premium za 1 dolara
Według zrzutów ekranu Daniela oszukańcza strona internetowa przedstawiała coś, co wyglądało na w pełni rozwiniętą ofertę karty kryptowalutowej, wraz z kilkoma poziomami członkostwa i kartą metalową premium.
Jej materiały promocyjne reklamowały limit wydatków do 100 000 dolarów, wraz z nagrodami w postaci zwrotu gotówki sięgającymi 8% dla użytkowników wybierających najwyższy poziom karty.
Oferta obejmowała dostęp do saloników lotniskowych, zerowe opłaty za wymianę walut, obsługę usług płatności mobilnych oraz fizyczną kartę metalową, a jednocześnie twierdzono, że użytkownicy będą musieli zapłacić tylko 1 dolara za wydanie karty.
Jedną z bardziej nietypowych cech była obietnica braku weryfikacji Know Your Customer, powszechnie nazywanej KYC, mimo że strona internetowa reklamowała usługi płatnicze i twierdziła, że posiada licencje w czterech krajach.
Zrzuty ekranu udostępnione przez Daniela pokazywały trzy poziomy kart, w tym Lite, Signature i Metal, każdy z nazwą i logo Trust Wallet.
Podstawowa karta Lite obiecywała do 3% zwrotu gotówki, podczas gdy wersja Signature reklamowała nagrody sięgające 5%, wraz z zerowymi opłatami za wymianę walut i priorytetowym wsparciem.
Tymczasem poziom Metal był promowany z 8% zwrotem gotówki, nieograniczonym dostępem do saloników lotniskowych i całodobowymi usługami concierge.
Jednak oferta wymagała od użytkowników podłączenia swoich portfeli kryptowalutowych, co Daniel zidentyfikował jako niebezpieczną część tego schematu.
Zespół ds. bezpieczeństwa Trust Wallet zaprzecza powiązaniom ze stroną internetową
Odpowiadając na ostrzeżenie Daniela na X, James Bro potwierdził, że strona internetowa nie należała do Trust Wallet, i skierował użytkowników do oficjalnej aplikacji i strony internetowej firmy.
Wyjaśnił, że legalne oferty Trust Wallet są dostępne za pośrednictwem jego oficjalnych kanałów, i ostrzegł użytkowników przed podłączaniem swoich portfeli lub zatwierdzaniem podejrzanych żądań w celu uzyskania karty płatniczej.
Ostrzeżenie dotyczyło konkretnie wymogu podłączenia portfela na stronie internetowej, który został przedstawiony jako część procesu uzyskiwania dostępu do reklamowanych korzyści.
Chociaż witryna używała nazwy Trust Wallet, projektów kart płatniczych i materiałów promocyjnych, reakcja zespołu ds. bezpieczeństwa ustaliła, że oferta nie była autoryzowanym produktem firmy.
W postach nie podano potwierdzonych strat finansowych, dotkniętych adresów portfeli ani szczegółów dotyczących operatorów stojących za oszukańczą witryną.
Ostrzeżenie następuje po wcześniejszych przypadkach, w których przestępcy podszywali się pod Trust Wallet za pośrednictwem nieoficjalnych aplikacji i witryn internetowych.
W czerwcu 2024 r. crypto.news poinformowało, że Trust Wallet ostrzegł użytkowników przed fałszywymi wersjami swojej aplikacji pojawiającymi się w sklepach z aplikacjami Xiaomi i Amazon.
Wówczas firma podała, że zażądała usunięcia oszukańczych aplikacji i zachęciła użytkowników do pobierania oprogramowania portfela za pośrednictwem zweryfikowanych kanałów pobierania.
Fałszywe witryny kryptowalutowe mogą wykorzystywać zatwierdzenia portfela do kradzieży środków
Oszukańcze witryny kryptowalutowe często próbują uzyskać dostęp do aktywów użytkowników, nakłaniając ich do zatwierdzenia złośliwych transakcji lub podpisania uprawnień, które wydają się częścią legalnej usługi.
Samo połączenie portfela nie daje automatycznie witrynie pozwolenia na transfer kryptowalut. Jednak atakujący mogą wykorzystać kolejne żądania transakcji lub podpisy, aby uzyskać uprawnienia do wydawania określonych tokenów.
Takie uprawnienia mogą pozwolić kontrolowanemu przez atakującego inteligentnemu kontraktowi na transfer aktywów bez konieczności ujawnienia przez ofiarę frazy odzyskiwania.
W lipcu użytkownik Ethereum miał rzekomo stracić prawie 1 milion dolarów po zatwierdzeniu złośliwej transakcji, która pozwoliła atakującym przenieść kryptowalutę z dotkniętego portfela.
Incydent nastąpił po innym zgłoszonym oszustwie obejmującym około 1,65 miliona dolarów, w którym ofiara połączyła się z oszukańczą witryną giełdową i podpisała złośliwy inteligentny kontrakt.
Podobne metody zidentyfikowano wcześniej w tym miesiącu, gdy firma zajmująca się bezpieczeństwem blockchain Salus powiązała nieautoryzowane wypłaty USDG z podpisami pozwoleń, które przyznawały atakującym nieograniczone uprawnienia do wydawania tokenów.
Zgodnie z ustaleniami firmy atakujący wykorzystali te uprawnienia do transferu środków po uzyskaniu autoryzacji, bez potrzeby dostępu do kluczy prywatnych ofiar.
