Пользователи кошельков MyEtherWallet лишились $150 000 в результате фишинга

Во вторник, 24 апреля, десятки пользователей кошелька Myetherwallet (MEW) начали сообщать о подозрительной активности. MEW — самый популярный веб-кошелёк со стороны клиента для проведения транзакций в ETH или ERC20-токенах. Платформа не удерживает средства пользователей, но, как и у всех сайтов, существует риск взлома DNS-серверов и получения данных тех, кто работает с сервисом. Вскоре после того, как слухи начали распространяться по сети, MEW опубликовал твит, в котором признал существование проблемы:

Couple of DNS servers were hijacked to resolve https://t.co/xwxRJ4H4i8 users to be redirected to a phishing site. This is not on @myetherwallet side, we are in the process of verifying which servers to get it resolved asap.

— MyEtherWallet | MEW (@myetherwallet) April 24, 2018

Несколько DNS-серверов были перехвачены для перенаплавления пользователей http://myetherwallet.com на фишинговый сайт. Это не на стороне @myetherwallet, мы занимаетмя проверкой серверов, чтобы решить проблему как можно скорее.

Позже представители MEW сообщили в серии твитов, что DNS-серверы были перехвачены методом, известным уже десять лет. По их словам, это может случиться с любой организацией и произошло не из-за отсутствия безопасности на платформе MEW, а из-за того, что хакеры обнаружили уязвимости в DNS-серверах с открытым доступом, а сама платформа не хранит никаких личных данных пользователей, в том числе и ключи.

Пользователям MEW посоветовали запускать локальную (оффлайновую) копию платформы MEW, использовать аппаратные кошельки для хранения криптовалют, а также игнорировать любые твиты и сообщения, в которых MEW возмещают эфир.

Представители MEW утверждают, что безопасность пользователей для них всегда была главным приоритетом. С другой стороны, по словам Максима, независимого исследователя безопасности и автора блога securityz.net, во взломе нет ничего удивительного, ведь MEW никак не реагировали на сообщения об уязвимостях. В своем Telegram-канале он утверждает, что присылал разработчикам подробности XSS-уязвимости на MEW, но 4 месяца никто не исправлял баг. Уязвимость исправили только тогда, когда он нашёл похожую проблему на Mycrypto и указал в отчете, что MEW тоже уязвим.

Первые сообщения о том, что с MEW что-то не так, появились на Reddit, где пользователь создал тред под названием «Думаю, что я стал жертвой мошенничества/фишинга/взлома». Он увидел следующее уведомление при посещении сайта:

В треде он написал:

Хотя каждая клетка моего мозга велела мне не входить в систему, я всё же сделал это. После входа в систему прошло около 10 секунд, и все доступные в моём кошельке средства были отправлены на другой кошелёк.

Адрес, на который были отправлены средства, сейчас отображается на Etherscan с предупреждением о его возможном участии в скаме MEW. Из кошелька уже выведено 215 ETH. Сообщается, что фишинговый сайт, на который перенаправляли пользователей MEW, обслуживает провайдер из России.