Porywacze schowka: złośliwe oprogramowanie, które podmienia wklejony adres

Nikt nie wpisuje adresu krypto ręcznie. Kopiujesz go z giełdy, faktury lub wiadomości, wklejasz do portfela i naciskasz „wyślij”. Właśnie wokół tego nawyku zbudowano całą rodzinę złośliwego oprogramowania.

Porywacz schowka – często nazywany „clipperem” – siedzi po cichu na zainfekowanym komputerze lub telefonie, obserwuje, co kopiujesz, i w chwili, gdy zobaczy coś, co wygląda na adres krypto, zastępuje to adresem należącym do atakującego. Wklejasz, wysyłasz, a środki trafiają tam, gdzie nigdy nie zamierzałeś ich wysłać.

Jak działa clipper

Dostęp do schowka to zwykła funkcja. Wiele legalnych aplikacji odczytuje schowek, więc program, który to robi, niczym się nie wyróżnia.

Clipper dodaje jeden krok. Porównuje każdy skopiowany fragment tekstu ze wzorcami: ciąg zaczynający się od bc1, 1 lub 3 może być adresem Bitcoin, 0x z 40 znakami szesnastkowymi to adres EVM i tak dalej. Gdy znajdzie dopasowanie, podstawia adres atakującego tego samego typu. Staranniejsze wersje wybierają zamiennik, który ma takie same kilka pierwszych i ostatnich znaków jak twój, więc szybki rzut oka na oba końce sugeruje, że wszystko się zgadza.

Podmiana następuje w przerwie między kopiowaniem a wklejaniem. Twój portfel otrzymuje całkowicie poprawny adres – tylko że niewłaściwy – i nie ma jak się dowiedzieć, że kiedykolwiek był inny.

Jak dochodzi do infekcji

Clippery rzadko są głównym daniem. Zwykle przychodzą w pakiecie z czymś, co sam postanowiłeś zainstalować:

• Scrackowane oprogramowanie i cheaty do gier. Pirackie narzędzia to jedna z najczęstszych dróg dystrybucji.
• Fałszywe aplikacje portfeli i „boty tradingowe”. Oprogramowanie obiecujące przewagę to idealna przynęta właśnie dla osób, które przesyłają krypto.
• Złośliwe rozszerzenia przeglądarki. Rozszerzenie z uprawnieniem do odczytu stron i schowka może wykonać tę samą robotę z wnętrza przeglądarki.
• Pobrania z pułapką. Fałszywe instalatory popularnych aplikacji, rozpowszechniane przez reklamy w wyszukiwarkach lub strony podszywające się pod oryginały.

Aktualizowanie systemu, instalowanie wyłącznie z oficjalnych źródeł i używanie mniejszej liczby rozszerzeń zmniejszają ryzyko. Uczciwie trzeba jednak założyć, że każdy komputer ogólnego przeznaczenia może pewnego dnia zostać przejęty – dlatego najważniejsze zabezpieczenia nie zależą od tego, czy komputer jest czysty.

Jak prawidłowo sprawdzić adres

Nawyk, który pokonuje clippera, to porównanie wklejonego adresu ze źródłem – i sprawdzenie czegoś więcej niż samych końców.

• Porównaj też fragment ze środka. Podobne adresy generuje się tak, by pasowały na początku i na końcu. Ciąg znaków ze środka jest znacznie trudniej podrobić.
• Sprawdzaj po wklejeniu, nie przed. Podmiana następuje przy wklejaniu. Patrzenie na to, co skopiowałeś, niczego nie dowodzi.
• Korzystaj z oryginalnego źródła. Porównuj z adresem wyświetlonym na stronie giełdy lub faktury, a nie z kopią kopii.
• Najpierw wyślij małą kwotę testową przy dużych lub pierwszych płatnościach i upewnij się, że dotarła, zanim wyślesz resztę.
• Zapisuj zaufane adresy. Wpisu w książce adresowej, który raz zweryfikowałeś, nie da się podmienić w drodze przez schowek.

To ta sama dyscyplina, która chroni przed zatruwaniem adresów, w którym atakujący zaśmiecają twoją historię podobnymi adresami, zamiast przepisywać schowek. W obu przypadkach atakujący liczy na to, że sprawdzisz tylko kilka pierwszych i ostatnich znaków.

Dlaczego drugie urządzenie ma znaczenie

Clipper na twoim komputerze kontroluje to, co komputer ci pokazuje. Jeśli ta sama maszyna zarówno tworzy transakcję, jak i prosi cię o jej potwierdzenie, złośliwe oprogramowanie może sprawić, że jedno będzie zgadzać się z drugim.

Tu pomaga konstrukcja SSP. Gdy wysyłasz z SSP Wallet, transakcja nie zostaje ukończona, dopóki SSP Key nie zatwierdzi jej na twoim telefonie. SSP Key dekoduje transakcję na samym telefonie i pokazuje odbiorcę oraz kwotę na podstawie tego dekodowania – a nie czegokolwiek, co twierdzi komputer. Clipper na komputerze może zmienić to, co wklejasz, ale nie może zmienić tego, co telefon odczytuje z transakcji.

Liczy się więc sprawdzenie w SSP Key: porównaj tam adres odbiorcy z oryginalnym źródłem, zanim zatwierdzisz. To właśnie moment, dla którego zbudowano model dwóch urządzeń, a zatwierdzenie na drugim urządzeniu jest tym, co naprawdę zatrzymuje transakcję, gdy wcześniej coś poszło nie tak.

Warto jasno powiedzieć, gdzie leży granica. SSP Key pokazuje adres, na który transakcja faktycznie płaci – nie może wiedzieć, na który adres chciałeś zapłacić. Jeśli zatwierdzisz bez porównania, podmieniony adres przejdzie równie poprawnie jak właściwy.

Jeśli to się stanie

Potwierdzonej transakcji nie da się cofnąć. Jeśli odkryjesz, że środki trafiły na podmieniony adres:

1. Przestań używać zainfekowanego urządzenia do czegokolwiek wrażliwego i załóż, że wszystko, co na nim wpisano lub skopiowano, zostało ujawnione.
2. Sprawdź, czy urządzenie przechowywało klucze. Jeśli tak, przenieś pozostałe środki na nowe klucze utworzone na czystym urządzeniu.
3. Zgłoś to giełdzie lub usłudze, której płaciłeś, i zachowaj identyfikator transakcji – czasem skradzione środki trafiają na platformę, która może je zamrozić.
4. Wyczyść lub zainstaluj od nowa urządzenie, zanim znów mu zaufasz.

Uczciwe podsumowanie

Clippery nie łamią kryptografii; wykorzystują kopiowanie i wklejanie. Wygrywają, gdy sprawdzany przez ciebie adres widnieje na tym samym ekranie, który kontroluje złośliwe oprogramowanie, i gdy rzucasz okiem tylko na końce.

Porównuj pełny adres z oryginalnym źródłem, sprawdzaj fragment ze środka, testuj duże płatności i dokonuj ostatecznego porównania na osobnym urządzeniu. W SSP tym urządzeniem jest SSP Key – traktuj go jako drugie spojrzenie, do którego został zaprojektowany. A gdy sam format adresu jest ci obcy, warto wiedzieć, czym różnią się formaty adresów, zanim cokolwiek wyślesz.