Symbiotic X hacked, malware is infecting SVG files: Crypto-Sec

Cointelegraph · 2024-10-07T13:16:01.000Z

The latest crypto scams, hacks and exploits and how to avoid them: Crypto-Sec Phish of the week: Symbiotic X account is compromised According to a report from PeckShield, the X account for the staking protocol Symbiotic was hacked on Oct. 5. The team’s official website claims that the account is still compromised as of Oct. 7. The compromised account promotes a “points” checklist and asks users to click on a link to check how many points they have. However, the link leads to the wrong URL, network-symbiotic[.]fi, instead of the correct one, symbiotic.fi. Phishing post from Symbiotic X hacker. Source: Symbiotic. When users connect to the fake phishing site with a wallet, they are presented with a page that claims they have earned thousands of points, even if they have never interacted with the Symbiotic protocol before. The page urges users to redeem their points immediately and claims that the points will be lost if the user does not click a large, green, “redeem” button in the middle of the screen. Fake Symbiotic site allegedly used for phishing attacks. Source: network-symbiotic.fi Pushing the “Redeem Points” button with an empty wallet results in an error message stating that the user should try a different wallet, which is a common error message found on phishing sites that ask for message signatures. If a user’s wallet contains Symbiotic tokens, the site likely asks the user to sign a message, which is then used to drain the user’s tokens. Cointelegraph did not test the app with a wallet that had funds in it. From its official website, the Symbiotic team is currently warning users that its X has been compromised and that users should not interact with any sites linked to from the account. Symbiotic warning of compromised X account. Source: Symbiotic.fi X account hacks have become a routine problem in the crypto space. Users should consider bookmarking the URL for apps they frequently use, as this is generally a more reliable way of getting to the correct website than relying on X links, although it is not 100% foolproof either. Users should be especially cautious when asked to sign a message written in code, as this is often, but not always, a sign of a phishing attack. Malware corner: Attackers now using SVG files to lure victims Attackers are now using SVG image files to infect victims’ computers, according to a September report from HP’s Wolf Security team. The new method allows attackers to gain control of a victim’s computer through remote access trojan (RAT) software. Once the software is installed, the attackers use it to steal the victim’s website passwords, seed words, and other personal information. If the user owns cryptocurrency, these credentials are then used in further attempts to gain access to the user’s wallet and empty it. Researchers found that the malware was disguised as a ZIP archive that loaded when the image was opened in a browser. It also featured a .pdf file that loaded as a distraction for the victim while the malicious program was being downloaded and installed in the background. According to Adobe, Scalable Vector Graphics (SVG) files store images “via mathematical formulas based on points and lines on a grid” instead of through pixels. This means that they can be easily resized without losing their quality. In addition, they are written in XML code, which allows them to store text inside of themselves. According to Mozilla, SVG files also contain a “script” element that allows developers to embed executable programs within them. It is this scripting ability that the malware developers have reportedly learned to abuse. HP researchers found an image that produces a ZIP archive when opened in a browser. If the user clicks on the archive, it opens a File Explorer window and begins to download a shortcut file. Clicking the shortcut causes a decoy .pdf file to load on the victim’s screen. Meanwhile, the device begins to copy various scripts and store them in the victim’s Music, Photos, and Startup directories. This allows the program to persist over time. Malicious URL file in infected SVG and decoy .pdf meant to distract user. Source: HP Wolf Security. After copying these scripts onto the device, it runs them. The result is that a number of dangerous malware programs, including VenomRAT, AsyncRAT, Remcos and XWORM, are installed on the user’s device. Once the malware is installed, the attacker can take full control of the victim’s computer, swiping any files held within it. Given this new attack vector, crypto users should exercise caution when interacting with SVG image files from sources they do not completely trust. When opened, if an image loads other types of files, users should consider rejecting these files by closing the browser window. Fire token exploit illustrates risks of novel tokens Buying new tokens with novel features and unaudited contracts is often risky, as is illustrated by what happened to the FIRE token on Oct. 1. The Uniswap pool for the token was drained of nearly all of its liquidity after an attacker exploited the token’s contract to repeatedly sell it at a higher and higher price each time. After the exploit, the token’s team immediately deleted their social accounts and vanished, implying that the project may have been a rug pull or exit scam from the start. The token has not been trading since Oct. 2, which implies that there may be so little liquidity for it that selling may be impossible. The idea presented to FIRE investors was simple. According to its website, it was an “ultra-hyper-deflationary token.” Whenever holders sold their FIRE into the token’s Uniswap liquidity pool, it would automatically be sent to a burner address. This would cause the supply of the token to shrink, driving up the value of the FIRE held by those who didn’t sell. Fire token website. Source: Fire. The token was launched at 8:00 am UTC on Oct. 1. Approximately 90 seconds after the launch, an account ending in 1e2e drained approximately $22,000 worth of Ether (ETH) from the token’s liquidity pool. To accomplish this, it first took out a flash loan of 20 ETH from the lending platform, Spark Protocol. Then it created a malicious contract that swapped the ETH for FIRE, then swapped it back, destroying the newly acquired FIRE in the process and raising its price. This process was repeated over the course of 122 transfers through 16 different smart contracts, with each transfer being part of a single transaction. Each time FIRE was swapped for ETH, a slightly larger amount of ETH was received in return compared to what had been spent to acquire it. As a result, the attacker was able to drain the pool of approximately $22,000 worth of ETH. In addition, this transaction destroyed 230 FIRE tokens. The attack was repeated over and over again, with the final exploit transaction taking place on Oct. 2 at 1:14 am. Blockchain security platform TenArmor reported the attack on X. “Our system has detected that #FIRE token @Fire_TokenEth on #ETH was attacked, resulting in an approximately loss of $22.3K,” the post stated. Source: TenArmor. According to price data from trading platform Apespace, the initial price of FIRE was set at approximately 33 ETH ($81,543 at current prices) or around $8 per 0.0001 FIRE. At the moment of the exploit, the price of FIRE skyrocketed, increasing to 30 billion ETH per coin or $244.6 billion per 0.0001 FIRE. It then fell to 4.7 billion ETH per coin over the next two minutes. Note that by the time these high prices were reached, significantly less than one FIRE coin remained in circulation, as most of the token’s supply had been destroyed in the exploit. FIRE one-minute chart showing exploit at approximately 8:13 am. Source: Apespace. After the exploit, the FIRE team deleted its X and Telegram accounts, which suggests that the attacker may have been affiliated with the team. The token’s Apespace page also features a warning that the FIRE contract contains a “blacklisting” feature allowing developers to blacklist any user’s account and prevent them from selling the token. The developers may have used this blacklisting feature to only allow themselves to sell. Users should exercise caution when interacting with tokens that have novel features that may not be fully understood by most users. In this case, the developers explicitly stated that anyone who sells into the pool destroys tokens, reducing their supply. However, some users may not have realized that this allows a single trader to repeatedly swap into and out of the token to artificially raise its price and drain its liquidity. Magazine: Suspicious arrest of crypto scam reporter, Japan’s pro-crypto PM: Asia Express

Las últimas estafas, hackeos y exploits de criptomonedas y cómo evitarlos: Crypto-Sec
Phishing de la semana: la cuenta de Symbiotic X está comprometida
Según un informe de PeckShield, la cuenta X del protocolo de staking Symbiotic fue hackeada el 5 de octubre. El sitio web oficial del equipo afirma que la cuenta sigue comprometida a fecha del 7 de octubre.
La cuenta comprometida promociona una lista de verificación de “puntos” y pide a los usuarios que hagan clic en un enlace para comprobar cuántos puntos tienen. Sin embargo, el enlace lleva a la URL incorrecta, network-symbiotic[.]fi, en lugar de la correcta, symbiotic.fi.
Publicación de phishing de un hacker de Symbiotic X. Fuente: Symbiotic.
Cuando los usuarios se conectan al sitio de phishing falso con una billetera, se les presenta una página que afirma que han ganado miles de puntos, incluso si nunca han interactuado con el protocolo Symbiotic antes.
La página insta a los usuarios a canjear sus puntos inmediatamente y afirma que los puntos se perderán si el usuario no hace clic en un botón grande y verde que dice “canjear” en el medio de la pantalla.
Sitio falso de Symbiotic que supuestamente se utiliza para realizar ataques de phishing. Fuente: network-symbiotic.fi
Al presionar el botón “Canjear puntos” con una billetera vacía, aparece un mensaje de error que indica que el usuario debe probar con una billetera diferente, lo cual es un mensaje de error común que se encuentra en sitios de phishing que solicitan firmas de mensajes.
Si la billetera de un usuario contiene tokens Symbiotic, es probable que el sitio le pida al usuario que firme un mensaje, que luego se utiliza para vaciar los tokens del usuario. Cointelegraph no probó la aplicación con una billetera que tuviera fondos.
Desde su sitio web oficial, el equipo de Symbiotic advierte actualmente a los usuarios que su X ha sido comprometida y que los usuarios no deben interactuar con ningún sitio vinculado desde la cuenta.
Advertencia simbiótica de cuenta X comprometida. Fuente: Symbiotic.fi
Los ataques a cuentas X se han convertido en un problema habitual en el ámbito de las criptomonedas. Los usuarios deberían plantearse guardar en favoritos la URL de las aplicaciones que utilizan con frecuencia, ya que suele ser una forma más fiable de llegar al sitio web correcto que confiar en los enlaces X, aunque tampoco es 100 % infalible. Los usuarios deberían ser especialmente cautelosos cuando se les pida que firmen un mensaje escrito en código, ya que esto suele ser, aunque no siempre, una señal de un ataque de phishing.
El rincón del malware: los atacantes ahora usan archivos SVG para atraer a sus víctimas
Los atacantes ahora están usando archivos de imagen SVG para infectar las computadoras de las víctimas, según un informe de septiembre del equipo Wolf Security de HP.
El nuevo método permite a los atacantes obtener el control del ordenador de la víctima a través de un troyano de acceso remoto (RAT). Una vez instalado el software, los atacantes lo utilizan para robar las contraseñas de los sitios web de la víctima, las palabras clave y otra información personal. Si el usuario posee criptomonedas, estas credenciales se utilizan en otros intentos de obtener acceso a la billetera del usuario y vaciarla.
Los investigadores descubrieron que el malware se camuflaba en un archivo ZIP que se cargaba cuando se abría la imagen en un navegador. También incluía un archivo .pdf que se cargaba como distracción para la víctima mientras se descargaba e instalaba el programa malicioso en segundo plano.
Según Adobe, los archivos Scalable Vector Graphics (SVG) almacenan imágenes “a través de fórmulas matemáticas basadas en puntos y líneas en una cuadrícula” en lugar de a través de píxeles. Esto significa que se pueden redimensionar fácilmente sin perder su calidad. Además, están escritos en código XML, lo que les permite almacenar texto dentro de ellos mismos.
Según Mozilla, los archivos SVG también contienen un elemento de “script” que permite a los desarrolladores incrustar programas ejecutables en ellos. Se dice que los desarrolladores de malware han aprendido a abusar de esta capacidad de creación de scripts.
Los investigadores de HP encontraron una imagen que genera un archivo ZIP cuando se abre en un navegador. Si el usuario hace clic en el archivo, se abre una ventana del Explorador de archivos y comienza a descargar un archivo de acceso directo.
Al hacer clic en el acceso directo, se carga un archivo .pdf falso en la pantalla de la víctima. Mientras tanto, el dispositivo comienza a copiar varios scripts y a almacenarlos en los directorios de Música, Fotos e Inicio de la víctima. Esto permite que el programa persista en el tiempo.
Archivo URL malicioso en formato SVG infectado y PDF señuelo destinado a distraer al usuario. Fuente: HP Wolf Security.
Después de copiar estos scripts en el dispositivo, los ejecuta. El resultado es que se instalan en el dispositivo del usuario una serie de programas maliciosos peligrosos, entre ellos VenomRAT, AsyncRAT, Remcos y XWORM. Una vez instalado el malware, el atacante puede tomar el control total del ordenador de la víctima y robar todos los archivos que contiene.
Dado este nuevo vector de ataque, los usuarios de criptomonedas deben tener cuidado al interactuar con archivos de imágenes SVG de fuentes en las que no confían completamente. Al abrir una imagen, si esta carga otros tipos de archivos, los usuarios deben considerar rechazar estos archivos cerrando la ventana del navegador.
El exploit de Fire Token ilustra los riesgos de los nuevos tokens
Comprar nuevos tokens con características novedosas y contratos no auditados suele ser riesgoso, como lo ilustra lo que le sucedió al token FIRE el 1 de octubre.
El pool Uniswap para el token perdió casi toda su liquidez después de que un atacante explotara el contrato del token para venderlo repetidamente a un precio cada vez más alto.
Después del exploit, el equipo del token eliminó inmediatamente sus cuentas sociales y desapareció, lo que implica que el proyecto puede haber sido una estafa de salida desde el principio.
El token no se ha comercializado desde el 2 de octubre, lo que implica que puede haber tan poca liquidez que venderlo podría resultar imposible.
La idea que se presentó a los inversores de FIRE fue sencilla. Según su sitio web, se trataba de un “token ultrahiperdeflacionario”. Cada vez que los titulares vendieran su FIRE en el fondo de liquidez Uniswap del token, este se enviaría automáticamente a una dirección de reserva. Esto haría que la oferta del token se redujera, lo que aumentaría el valor del FIRE en poder de quienes no vendieran.
Sitio web de Fire Token. Fuente: Fire.
El token se lanzó a las 8:00 am UTC el 1 de octubre. Aproximadamente 90 segundos después del lanzamiento, una cuenta que terminaba en 1e2e drenó aproximadamente $22,000 en Ether (ETH) del grupo de liquidez del token.
Para lograrlo, primero solicitó un préstamo relámpago de 20 ETH a la plataforma de préstamos Spark Protocol. Luego creó un contrato malicioso que intercambiaba ETH por FIRE y luego lo intercambiaba de vuelta, destruyendo el FIRE recién adquirido en el proceso y aumentando su precio.
Este proceso se repitió a lo largo de 122 transferencias a través de 16 contratos inteligentes diferentes, y cada transferencia fue parte de una sola transacción. Cada vez que se intercambiaba FIRE por ETH, se recibía a cambio una cantidad de ETH ligeramente mayor en comparación con lo que se había gastado para adquirirlo. Como resultado, el atacante pudo vaciar el fondo de aproximadamente 22.000 dólares en ETH. Además, esta transacción destruyó 230 tokens FIRE.
El ataque se repitió una y otra vez, y la última transacción de explotación tuvo lugar el 2 de octubre a la 1:14 am.
La plataforma de seguridad blockchain TenArmor informó del ataque a X. “Nuestro sistema ha detectado que el token#FIRE@Fire_TokenEth en#ETHfue atacado, lo que resultó en una pérdida de aproximadamente $22.3K”, afirmó la publicación.
Fuente: TenArmor.
Según los datos de precios de la plataforma de negociación Apespace, el precio inicial de FIRE se fijó en aproximadamente 33 ETH (81.543 dólares a precios actuales) o alrededor de 8 dólares por 0,0001 FIRE. En el momento del exploit, el precio de FIRE se disparó, aumentando a 30 mil millones de ETH por moneda o 244,6 mil millones de dólares por 0,0001 FIRE. Luego cayó a 4,7 mil millones de ETH por moneda en los siguientes dos minutos.
Cabe señalar que en el momento en que se alcanzaron estos altos precios, quedaba significativamente menos de una moneda FIRE en circulación, ya que la mayor parte del suministro del token había sido destruido en el exploit.
Gráfico de un minuto de FIRE que muestra el exploit aproximadamente a las 8:13 am. Fuente: Apespace.
Después del exploit, el equipo FIRE eliminó sus cuentas de X y Telegram, lo que sugiere que el atacante puede haber estado afiliado al equipo. La página Apespace del token también presenta una advertencia de que el contrato FIRE contiene una función de "lista negra" que permite a los desarrolladores incluir en la lista negra la cuenta de cualquier usuario y evitar que vendan el token. Los desarrolladores pueden haber usado esta función de lista negra para permitirse vender solo a ellos mismos.
Los usuarios deben tener cuidado al interactuar con tokens que tienen características novedosas que pueden no ser completamente comprendidas por la mayoría de los usuarios.
En este caso, los desarrolladores declararon explícitamente que cualquiera que venda en el pool destruye tokens, lo que reduce su oferta. Sin embargo, es posible que algunos usuarios no se hayan dado cuenta de que esto permite que un solo comerciante cambie repetidamente de token a token para aumentar artificialmente su precio y drenar su liquidez.
Revista: Sospechoso arresto de reportero de estafas criptográficas y primer ministro pro-criptomonedas de Japón: Asia Express

Explora más de este creador

Lo más reciente

Explora más de este creador

Lo más reciente

Artículos populares