Attacchi Crypto: Phishing via Lettera Reale per Rubare le Chiavi di Recupero

Campagna di Phishing Postale Mirata a Utenti di Hardware Wallet

Una sofisticata campagna di phishing sta prendendo di mira utenti di hardware wallet Trezor e Ledger attraverso l'invio di lettere fisiche. Queste comunicazioni, apparentemente provenienti dai team di sicurezza e compliance dei rispettivi produttori, inducono i destinatari a divulgare le proprie recovery phrase (frasi di recupero) al fine di compromettere i loro wallet e sottrarre fondi.

Meccanismo di Attacco

Le lettere, stampate su carta intestata che imita le comunicazioni ufficiali di Trezor e Ledger, richiedono ai destinatari di completare una "Authentication Check" (per Trezor) o una "Transaction Check" (per Ledger) per evitare la perdita di funzionalità del wallet. Per procedere, le vittime sono istruite di scansionare un codice QR che le indirizza a siti web di phishing.

Infrastruttura di Phishing

I codici QR conducono a siti web che imitano le pagine di configurazione ufficiali di Trezor e Ledger. Esempi di domini di phishing identificati includono:

• https://trezor.authentication-check[.]io/
• https://ledger.setuptransactioncheck[.]com/

Al momento della stesura, il dominio di phishing Ledger risulta offline, mentre il sito di phishing Trezor rimane attivo, sebbene sia stato segnalato da Cloudflare come sito di phishing. Le pagine di phishing presentano avvisi progettati per creare un senso di urgenza, come la minaccia di limitazioni o blocco dell'accesso al wallet, errori di firma delle transazioni e interruzioni degli aggiornamenti futuri.

Estrazione delle Recovery Phrase

Il punto cruciale dell'attacco si verifica quando le vittime, indotte a procedere, vengono reindirizzate a una pagina che richiede l'inserimento della loro recovery phrase (frase di recupero). Il sito accetta recovery phrase di 24, 20 o 12 parole, sostenendo che siano necessarie per la verifica della proprietà del dispositivo e l'abilitazione della funzionalità di autenticazione. Queste informazioni vengono poi trasmesse all'attaccante tramite un endpoint API backend situato a https://trezor.authentication-check[.]io/black/api/send.php, consentendo loro di importare il wallet della vittima e sottrarre i fondi.

Contesto e Precedenti

Sebbene le campagne di phishing via email siano comuni, le campagne di phishing via posta rimangono relativamente rare. In passato, sono stati segnalati attacchi simili, tra cui l'invio di dispositivi Ledger modificati progettati per rubare le recovery phrase durante la configurazione e campagne di phishing postale mirate agli utenti Ledger.

Mitigazione e Raccomandazioni

i produttori di hardware wallet come Trezor e Ledger non richiederanno mai agli utenti di inserire, scansionare, caricare o condividere le proprie recovery phrase. Le recovery phrase, che rappresentano le chiavi private che controllano l'accesso al wallet, devono essere inserite direttamente sul dispositivo hardware wallet durante il ripristino del wallet, e mai su computer, dispositivi mobili o siti web.

La consapevolezza e l'attenzione ai dettagli sono le migliori difese contro questo tipo di attacchi. Verificare sempre l'autenticità delle comunicazioni ricevute e non cedere alla pressione di azioni immediate.

Dati, Trend Correlati, Impatto sul Settore

Si registra un'evoluzione significativa nelle tecniche di attacco informatico, con una recente campagna di phishing che si distingue per l'utilizzo di comunicazioni fisiche. Threat actor stanno inviando lettere cartacee, apparentemente provenienti da Trezor e Ledger, produttori di hardware wallet per criptovalute, con l'obiettivo di indurre gli utenti a rivelare le proprie recovery phrase (frasi di recupero) e, conseguentemente, compromettere il controllo dei propri wallet.

Queste lettere, presentate su carta intestata che imita le comunicazioni ufficiali di Trezor e Ledger, richiedono agli utenti di completare una presunta "Authentication Check" o "Transaction Check" per evitare la perdita di funzionalità del wallet, creando un senso di urgenza volto a spingere le vittime a scansionare codici QR che rimandano a siti web malevoli.

Dati e Trend Correlati

• Violazioni di dati pregresse: Sia Trezor che Ledger hanno subito violazioni di dati in passato che hanno esposto informazioni di contatto dei clienti. Questo potrebbe aver fornito ai criminali informatici le informazioni necessarie per personalizzare le lettere di phishing e renderle più convincenti.
• Evoluzione del phishing: Sebbene le email di phishing mirate a Trezor e Ledger siano comuni, l'utilizzo di comunicazioni fisiche rappresenta un'escalation e un tentativo di aggirare le difese tradizionali degli utenti.
• Tecniche di ingegneria sociale: La campagna sfrutta l'ingegneria sociale, manipolando gli utenti attraverso la creazione di un senso di urgenza e la simulazione di comunicazioni ufficiali.
• Precedenti attacchi fisici: In passato, sono stati segnalati attacchi fisici che coinvolgevano l'invio di dispositivi Ledger sostituiti e campagne di postal phishing mirate agli utenti Ledger.

Impatto sul Settore

Questa campagna di phishing evidenzia la crescente sofisticazione delle minacce informatiche e la necessità per gli utenti di hardware wallet di mantenere un elevato livello di consapevolezza e prudenza. L'impatto potenziale è significativo, poiché la compromissione delle recovery phrase consente ai criminali informatici di accedere e sottrarre fondi dai wallet delle vittime.

È fondamentale che i produttori di hardware wallet, come Trezor e Ledger, continuino a rafforzare le proprie misure di sicurezza e a educare gli utenti sulle migliori pratiche per proteggere le proprie recovery phrase. In particolare, è cruciale sottolineare che i produttori di hardware wallet non richiederanno mai agli utenti di inserire, scansionare, caricare o condividere le proprie recovery phrase.

La divulgazione di tali informazioni dovrebbe avvenire esclusivamente direttamente sul dispositivo hardware wallet durante il processo di ripristino del wallet, e mai su computer, dispositivi mobili o siti web.

Consigli pratici per l'utente/investitore

Negli ultimi tempi, si è verificata una nuova ondata di attacchi di phishing particolarmente insidiosa, mirata agli utenti di hardware wallet per criptovalute, in particolare Trezor e Ledger. Questi attacchi si distinguono per l'utilizzo di corrispondenza cartacea, una tecnica relativamente rara nel panorama delle minacce digitali, che rende l'inganno più credibile.

Gli aggressori inviano lettere fisiche, stampate su carta intestata che imita le comunicazioni ufficiali di Trezor e Ledger, richiedendo agli utenti di completare una presunta "verifica dell'autenticazione" o "verifica della transazione" per evitare la perdita di funzionalità del wallet. Queste lettere inducono un senso di urgenza, spingendo le vittime a scansionare codici QR che rimandano a siti web malevoli.

L'efficacia di questi attacchi è amplificata da precedenti violazioni di dati che hanno esposto informazioni di contatto degli utenti di Trezor e Ledger, rendendo più facile per gli aggressori mirare a individui specifici. È fondamentale sottolineare che, a differenza delle comuni email di phishing, la corrispondenza fisica aggiunge un elemento di tangibilità che può indurre in errore anche utenti esperti.

Come proteggersi

• Non condividere mai la frase di recupero (seed phrase). I produttori di hardware wallet, come Trezor e Ledger, non richiederanno mai agli utenti di inserire, scansionare, caricare o condividere la frase di recupero. Questa frase rappresenta le chiavi private che controllano l'accesso al wallet e, una volta compromessa, permette a chiunque di accedere ai fondi.
• Verifica l'autenticità delle comunicazioni. Sii estremamente cauto nei confronti di qualsiasi richiesta di informazioni sensibili ricevuta tramite posta cartacea. Contatta direttamente Trezor o Ledger tramite i canali ufficiali (sito web, supporto) per verificare l'autenticità della comunicazione.
• Inserisci la frase di recupero solo sul dispositivo hardware wallet. Quando devi ripristinare un wallet, inserisci la frase di recupero direttamente sul dispositivo hardware wallet, e mai su un computer, un dispositivo mobile o un sito web.
• Presta attenzione ai codici QR. Non scansionare codici QR provenienti da fonti non attendibili, in particolare quelli contenuti in corrispondenza cartacea.
• Mantieniti aggiornato. Segui le comunicazioni ufficiali di Trezor e Ledger per essere informato su potenziali minacce e misure di sicurezza.

La sicurezza delle criptovalute dipende dalla vigilanza e dalla consapevolezza dell'utente. Rimanere informati sulle ultime tecniche di phishing e adottare misure di sicurezza proattive è essenziale per proteggere i propri asset digitali.

Previsione Futura Netta Basata sui Fatti

L'attuale campagna di phishing via posta indirizzata a utenti di hardware wallet Trezor e Ledger rappresenta un'evoluzione preoccupante delle tattiche utilizzate da attori malevoli nel panorama della sicurezza crittografica. Sebbene le email di phishing siano un fenomeno consolidato, l'utilizzo di comunicazioni fisiche, con la relativa apparenza di legittimità, eleva significativamente il rischio di successo di queste operazioni.

La vulnerabilità risiede nella capacità di questi attacchi di sfruttare la fiducia degli utenti e la loro comprensibile riluttanza a perdere l'accesso ai propri fondi. La creazione di urgenza, con scadenze artificiali e minacce di perdita di funzionalità, è un elemento chiave per indurre le vittime a compiere azioni avventate, come la scansione di codici QR che rimandano a siti di phishing.

Considerando i precedenti incidenti di sicurezza che hanno coinvolto sia Trezor che Ledger, con la compromissione di dati di contatto dei clienti, è ragionevole prevedere che questa tendenza si intensifichi. Gli attori malevoli continueranno a perfezionare le proprie tecniche, potenzialmente impiegando mailing list più mirate e personalizzando le comunicazioni per massimizzare l'efficacia.

È probabile che si assista a un aumento di campagne simili, non solo rivolte a utenti di hardware wallet, ma anche estese ad altri servizi e piattaforme legate al mondo delle criptovalute. La crescente sofisticazione delle tecniche di phishing, unita alla difficoltà intrinseca di distinguere comunicazioni legittime da quelle fraudolente, rende imperativo un costante aggiornamento delle misure di sicurezza e una maggiore sensibilizzazione degli utenti.

la minaccia di phishing fisico è destinata a persistere e a evolversi, richiedendo un approccio proattivo e una vigilanza costante da parte di tutti gli operatori del settore e degli utenti finali. La regola fondamentale – non condividere mai la propria frase di recupero – rimane la difesa più efficace contro questo tipo di attacco.

• Aggiornamento continuo: Le aziende di sicurezza e gli utenti devono rimanere costantemente aggiornati sulle nuove tattiche di phishing.
• Educazione degli utenti: Campagne di sensibilizzazione mirate sono essenziali per educare gli utenti a riconoscere e evitare questi attacchi.
• Autenticazione a più fattori: L'implementazione di autenticazione a più fattori, ove possibile, può aggiungere un ulteriore livello di protezione.