Microsoft откри нова крипто измама: Как да защитите портфейла си

Microsoft Threat Intelligence разкри Windows-базирана крипто clipper кампания, която е активна от февруари 2026 г.

Clipper е вид софтуер, който следи съдържанието на clipboard-а (временната памет на устройството, в която се съхранява текстът или информацията, която копирате с Ctrl+C и поставяте с Ctrl+V) и подменя копираните адреси на крипто портфейли с адреси, контролирани от нападателите. Така потребителят може неволно да изпрати средства към грешен адрес, без да забележи подмяната.

Зловредният софтуер се разпространява чрез злонамерени shortcut файлове (преки пътища) с разширение .lnk, които се поставят върху USB устройства. Когато жертвата отвори файл, който изглежда като обикновен пряк път, зловредният код тихо инсталира два компонента: модул, който се копира към други преносими устройства, и clipper модул.

След като се активира, той изпълнява няколко опасни действия едновременно. Сканира за сийд фрази и частни ключове, прави скрийншоти, следи clipboard-а, заменя копирани адреси на портфейли с адреси, контролирани от нападателя, и поддържа отдалечена връзка чрез Tor. Microsoft Defender го засича като Trojan:Win32/CryptoBandits.A.

Защо атакува устройството, а не блокчейна

Най-притеснителната част е самата цел. Вместо да пробива борса или да използва уязвимост в смарт договори, софтуерът компрометира целия процес по достъп и контрол върху крипто активите в най-слабата му точка: самия компютър. Повечето потребители мислят за сигурността си основно през акаунти в борси, хардуерни портфейли и рискове при договори. Тази кампания заобикаля всичко това.

Схемата е проста, но изключително ефективна. Ако нападателят получи сийд фраза от 12 или 24 думи, частен ключ или подмени адреса, към който потребителят се готви да изпрати средства, сигурността на блокчейна вече няма значение, защото пробивът е станал преди самата транзакция да бъде подписана.

В този момент защитата на блокчейна вече няма решаващо значение, защото компрометирането е станало директно на устройството.

Как работи атаката през clipboard-а

Зловредният софтуер постоянно сканира съдържанието на clipboard-а приблизително на всеки 500 милисекунди, като търси сийд фрази, частни ключове и адреси на портфейли в няколко мрежи. Той поддържа Биткойн адреси, включително legacy, P2SH, Taproot и Bech32 формати, както и Tron и Monero адреси. Когато засече копиран адрес, може да го замени с адрес на нападателя, преди потребителят да го постави в портфейл или форма за теглене. За да не будят подозрение, подменените адреси често наподобяват оригиналния адрес, което прави бързата визуална проверка ненадеждна. След това откраднатите данни се изпращат през Tor, където проследяването им е много по-трудно.

Tor компонентът, който го прави труден за спиране

Вместо да разчита на традиционни сървъри за управление, зловредният софтуер използва собствен Tor клиент и комуникира през скрити услуги в Tor мрежата, което затруднява проследяването на неговата активност. Освен това позволява на нападателите дистанционно да изпращат команди и да изпълняват код на заразеното устройство

Тъй като използва вградени инструменти на Windows, вместо голям и лесно разпознаваем зловреден файл, софтуерът се слива по-лесно с нормалната активност на системата. Това му помага да избегне част от традиционните проверки за зловреден софтуер и да остане незабелязан за по-дълго време.

Признаци, че устройството ви може да е компрометирано

• Файловете върху USB устройство са се превърнали в преки пътища: Зловредният код скрива истинските ви файлове и ги заменя с подобни на вид .lnk shortcut файлове със същите имена.
• Неочаквано изпълнение на скриптове: Допълнителен предупредителен знак е необичайна активност на системни инструменти на Windows, особено ако те се стартират без видима причина или правят скрийншоти без знанието на потребителя.
• Непознат процес или прокси: Зловредният софтуер използва Tor мрежата, за да прикрива комуникацията си с нападателите и да затруднява проследяването на своята активност. Освен това може да поддържа връзка със заразеното устройство във фонов режим – поведение, което е необичайно за повечето домашни компютри.
• Поставеният адрес не съвпада: Ако адресът на портфейл, който поставяте, се различава дори леко от този, който сте копирали, приемете това като сериозен предупредителен знак и спрете.

ПРОЧЕТИ ОЩЕ:

Продажбите при Биткойн намаляват, но ETF отливите продължават

Как да защитите крипто активите си от такъв зловреден софтуер

Добрата новина е, че защитните мерки са практични и лесни за прилагане. Много от тях съвпадат с препоръките на Microsoft. Тъй като атаката започва от устройството, именно там трябва да започне и защитата.

• Отнасяйте се към USB устройствата като към ненадеждни. Кампанията се разпространява чрез преносими носители, затова Microsoft препоръчва да се изключат функциите autorun и autoplay и да се блокира изпълнението на .lnk shortcut файлове от USB устройства. Най-добре е изобщо да не изпозлвате чужди флашки.
• Винаги проверявайте целия адрес. Тъй като clipper-ът подменя копирани адреси, проверявайте всеки символ от поставения адрес спрямо оригиналния, а не само първите и последните няколко знака. При по-големи трансфери малка тестова транзакция остава разумна практика.
• Използвайте хардуерен портфейл и потвърждавайте на самото устройство. Хардуерният портфейл съхранява частните ключове и позволява да проверите адреса на получателя върху собствения му екран. Това обезсилва подмяната през clipboard-а, защото потвърждавате реалния адрес независимо от заразения компютър.
• Никога не съхранявайте сийд фразата си дигитално. Зловредният софтуер специално търси сийд фрази в clipboard-а и във файлове. Дръжте фразите за възстановяване извън мрежата и на физически носител, без да ги въвеждате, копирате или съхранявате на устройство, свързано с интернет.
• Поддържайте защитата на устройството актуална. Microsoft Defender вече засича софтуера, така че редовните актуализации на Windows, антивирусната защита и активната защита в реално време могат да блокират познатите му варианти.

Най-големият проблем е, че блокчейн транзакциите са необратими. Ако средствата попаднат в портфейл, контролиран от нападател, след потвърждаване на транзакцията възстановяването им обикновено е невъзможно.

Именно затова защитата на устройството и предотвратяването на подобни атаки са далеч по-ефективни от опитите за реакция след вече извършена кражба.