Desmascarando o Angel Drainer

A análise da equipe da CPR descobriu um endereço recorrente ligado ao notório grupo “Angel Drainer”. Apesar do encerramento de grupos como o “Inferno Drainer”, grupos como o Angel Drainer continuam suas atividades, fornecendo ferramentas e serviços para roubo de criptomoedas realizando golpes como serviço para drenagem de carteiras.

A mecânica dos drenadores de criptomoedas

Esses drenadores operam por meio de táticas enganosas, como campanhas falsas de airdrops (distribuição gratuita de tokens), direcionando as vítimas para sites falsificados que imitam plataformas genuínas. Depois que os usuários conectam suas carteiras, eles concedem acesso aos seus fundos sem saber, levando ao roubo sem interação adicional.

A mecânica dos drenadores de criptomoedas, conforme investigaram os pesquisadores da Check Point Research, envolve uma abordagem sofisticada e multifacetada para transferir ilicitamente criptomoedas das carteiras das vítimas.

Seguem os principais pontos levantados pelos pesquisadores da CPR:

1. Campanhas enganosas e sites falsos: o processo geralmente começa com atacantes criando campanhas falsas de airdrops ou esquemas de phishing. Geralmente são promovidos nas redes sociais ou por e-mail, oferecendo tokens gratuitos ou outros incentivos para atrair usuários. Os atacantes projetam essas campanhas para parecerem legítimas e convincentes.

2. Imitando sites legítimos: os usuários que respondem a essas campanhas são direcionados para sites fraudulentos. Esses sites são cuidadosamente elaborados para imitar plataformas genuínas de distribuição de tokens ou interfaces de carteira, tornando difícil para os usuários distingui-los dos reais.

3. Solicitações de conexão à carteira: Uma vez nesses sites falsos, é solicitado aos usuários que se conectem nas suas carteiras digitais. Esta etapa é crucial para os atacantes, pois estabelece as bases para o roubo subsequente. A solicitação de conexão parece inofensiva, muitas vezes sob o pretexto de verificar a identidade ou conta do usuário para prosseguir com a reivindicação do token.

4. Interação com contratos inteligentes maliciosos: A fase mais crítica envolve o usuário ser induzido a interagir com um contrato inteligente malicioso. Essa interação costuma ser disfarçada como parte do processo de reivindicação do airdrop ou benefício prometido. O contrato inteligente contém funções ocultas que, quando executadas, alteram as configurações de segurança da carteira do usuário ou iniciam diretamente transações não autorizadas.

5. Explorando a função “Permitir” em tokens ERC-20: Um método específico usado por esses drenadores é a manipulação da função “Permitir” em tokens ERC-20. Esta função permite que os detentores de tokens aprovem um gastador (como um contrato inteligente) para transferir tokens em seu nome. Os atacantes enganam os usuários para que assinem uma mensagem fora da cadeia com sua chave privada, configurando a permissão para o endereço do atacante. Esta técnica é insidiosa porque não requer uma transação em cadeia para cada aprovação, tornando a atividade maliciosa menos perceptível e difíceis de serem rastreadas.

6. Transferência oculta e ofuscação de ativos: Depois de obter acesso, os atacantes transferem os ativos da carteira do usuário. Eles empregam técnicas como o uso de misturadores de criptomoedas ou o início de múltiplas transferências para ocultar o rastro dos ativos roubados, tornando difícil rastreá-los e recuperá-los.

7. Nenhum rastro de Blockchain em alguns casos: No caso de assinatura fora da cadeia, como acontece com a função “Permitir”, não há rastro direto deixado no blockchain, pois a aprovação e o início da transação acontecem fora da cadeia. Isso torna ainda mais desafiador detectar e rastrear atividades fraudulentas.

Compreender essa mecânica é crucial para que usuários e plataformas no mundo das criptomoedas desenvolvam e implementem medidas de segurança eficazes. Os especialistas da Check Point Software destacam a importância de as pessoas serem cautelosas com conexões de carteira, verificarem detalhes de contratos inteligentes e serem céticas em relação a ofertas boas demais para serem verdadeiras, especialmente aquelas que exigem interações ou aprovações de carteira.

Para proteger seus ativos, os especialistas enfatizam a importância da vigilância do usuário e das soluções de segurança. Eles aconselham o ceticismo em relação a reivindicações de airdrops não solicitados, compreendendo as implicações da aprovação de transações, da verificação de contratos inteligentes e do emprego de carteiras de hardware para maior segurança.

Os pesquisadores da Check Point Software concluem esta investigação apontando que a ameaça de ataques de phishing no domínio das criptomoedas tem sido cada vez mais significativa e está em constante evolução. Eles reforçam as recomendações à comunidade para que se mantenha informada e cautelosa, enfatizando a necessidade de esforços coletivos para a construção de um ambiente seguro para ativos digitais.

O sistema Threat Intel Blockchain, desenvolvido pela Check Point Software, continua a coletar informações valiosas sobre ameaças emergentes. Neste esforço colaborativo, os especialistas da empresa pretendem capacitar os investidores com o conhecimento necessário para navegar com segurança no mundo cripto e protegerem-se de potenciais armadilhas.