Poskytovatel kryptopeněženky MetaMask varoval všechny uživatele Applu, aby si dávali pozor na možné phishingové útoky, jež mohou být uskutečněny přes jejich iCloud.
Jedna z nejpoužívanějších softwarových peněženek pro kryptoměnu Ethereum, fungující jako rozšíření do internetového prohlížeče, zaznamenala hackerský útok na zařízení Apple. V ohrožení tak může být kterýkoliv iPhone, MacBook či iPad.
Jak se hackeři dostali až k lupu?
Jádro problému tkví ve způsobu fungování peněženky MetaMask a zálohovacího algoritmu na servery iCloud. Peněženka ukládá privátní klíč uživatele přímo do zařízení v zašifrovaném formátu do souboru JSON, jenž se běžně používá k nízkonákladovému a rychlému přenosu dat.
Tento soubor je však operačním systémem Applu zahrnutý do automatického zálohování na iCloud a tudíž opouští prostor zařízení přímo na úložné servery, pro hackery je tak mnohem jednodušší se k privátním klíčům dostat, pokud získají údaje pro Apple ID uživatele. Riziko tedy existuje pouze pokud má uživatel automatické zálohování povoleno.
Útočníkům tedy stačí phishingovou podvodnou technikou získat přihlašovací údaje k Apple účtu uživatele a pak už jednoduše přes iCloud zjistit heslo do peněženky.
Tvůrci MetaMasku několik dní po útocích zveřejnili příspěvek na Twitteru, ve kterém poznamenali, že uživatelé riskují ztrátu svých finančních prostředků, pokud jejich heslo k Apple účtu „není dostatečně silné“, a dále podrobně popsali, jak zakázat automatické zálohování na iCloud pro peněženku MetaMask.
Odcizeno bylo nejméně 650 000 dolarů
Uživateli Twitteru s iniciály „revive_dom“ byly prostřednictvím tohoto útoku odcizeny kryptoměny a nezaměnitelné tokeny (NFT) v hodnotě 650 000 dolarů.
„Měl jsem zmeškaný hovor od Applu (na mé ID volajícího). Zavolal jsem zpět, protože jsem měl podezření, že se může jednat o podvod. Jelikož se jednalo opravdu o číslo Applu, věřil jsem jim a sdělil kód pro ověření účtu, který byl odeslán na můj telefon. Během dvou vteřin byla má kryptopeněženka prázdná,” sdělil @revive_dom.
„revive_dom“ poté nabídl odměnu 100 000 dolarů za pomoc, aby získal zpět své odcizené prostředky. Uživatel rovněž vyjádřil svou frustraci vůči tvůrcům kryptopeněženky.
“Říkáte nám, abychom nikdy neukládali svou seed phrase digitálně a pak to sami děláte za našimi zády. Měli jste nám to alespoň říct. Kdyby to vědělo 90 % lidí, vsadil bych se, že nikdo z nich nebude mít zapnutou aplikaci nebo iCloud,“ dodal uživatel.
V samotném twitterovém vláknu na možné útoky upozornil také zakladatel projektu DAPE NFT „Serpent“. Využil svých 277 tisíc sledujících, aby poskytl přehled toho, co se oběti stalo, a získal tak pozornost vývojářů kryptopeněženky MetaMask.
https://twitter.com/Serpent/status/1515545810502811648?ref_src=twsrc%5Etfw%7Ctwcamp%5Etweetembed%7Ctwterm%5E1515545812423839745%7Ctwgr%5E%7Ctwcon%5Es2_&ref_url=https%3A%2F%2Fdecrypt.co%2F98078%2Fmetamask-warns-users-apple-icloud-phishing-scam
Reakce komunity
Zatímco většina reakcí komunity byla vstřícná, někteří uživatelé zdůrazňovali důležitost v používání hardwarových peněženek či provádění velkého množství náležité péče a ochrany při ukládání aktiv v online peněženkách.
95 %
90 %
Tohle je drsny. Jestli se něčeho v kryptu bojim tak to jest, ze to někdo čmajzne.