Para produsen dompet perangkat keras, Trezor dan Foundation, mengeluarkan peringatan terkait meningkatnya serangan phishing yang memanfaatkan celah pada firmware Coldcard. Para penipu kini berusaha mencuri frase pemulihan pengguna dan mendorong mereka untuk mengunduh perangkat lunak berbahaya.
Trezor mengungkapkan bahwa mereka telah melihat lonjakan percobaan phishing setelah informasi mengenai celah tersebut diumumkan. Mereka mengingatkan pengguna untuk hanya memasukkan cadangan dompet di perangkat itu sendiri dan menegaskan bahwa perangkat keras mereka tidak terpengaruh. Sementara itu, Foundation juga melaporkan adanya email yang menyamar sebagai perusahaan mereka, yang mengarahkan penerima ke situs palsu dan unduhan berbahaya. Mereka menegaskan bahwa tidak akan pernah meminta frase pemulihan atau menyarankan pengguna untuk menginstal perangkat lunak demi mengamankan dompet.
Perusahaan keamanan Proofpoint mencatat adanya kampanye phishing yang menargetkan pengguna Coldcard pada hari Senin. Dalam email yang dikirim dari alamat Coldcard yang dipalsukan, penerima diundang untuk menyelesaikan “audit perangkat keras terkoordinasi,” yang merupakan tema yang diangkat dari insiden keamanan itu sendiri, dan terhubung ke situs Coldcard yang telah dikloning dengan tombol “Mulai Audit Perangkat Keras.”
Apabila tombol tersebut diklik, akan terunduh file batch yang dihosting di GitHub, yang menginstal ScreenConnect, sebuah alat akses jarak jauh yang sah. Proofpoint menyatakan bahwa hal ini memberikan jalan bagi para penyerang untuk mencuri data dan uang, atau untuk menginstal malware lanjutan seperti ransomware.
Situs palsu tersebut juga memiliki jendela obrolan layanan pelanggan, di mana Proofpoint mencatat bahwa seorang manusia, bukan bot, menjawabnya dan membimbing korban melalui proses instalasi. Mereka menilai taktik ini sebagai umpan rekayasa sosial yang efektif karena “memanfaatkan ketakutan dan kekhawatiran” pemegang tentang keamanan kripto mereka saat ini.
Celah yang dimanfaatkan dalam pengelabuan ini berasal dari pembangunan firmware Coldcard pada Maret 2021 yang mengambil benih dompet dari fallback perangkat lunak alih-alih dari generator nomor acak perangkat kerasnya, sehingga kunci pribadi dapat ditebak. Galaxy Research mengonfirmasi adanya tiga gelombang pencurian sejak 30 Juli dan memperkirakan kerugian yang dapat dipercaya mencapai 1.596 BTC, setara dengan lebih dari $100 juta. Jika ditambahkan gelombang keempat yang dicurigai tetapi belum dikonfirmasi dengan korban, total kerugian dapat mencapai $130 juta.
Alex Thorn, Kepala Penelitian di Galaxy, menyatakan pada hari Selasa bahwa setidaknya 15 penyerang terpisah kini memanfaatkan celah tersebut, mencatat bahwa setiap gelombang kecuali yang pertama diidentifikasi melalui laporan dari korban. Produsen Coldcard, Coinkite, telah merilis firmware yang telah diperbaiki dan memberitahu pengguna yang terkena dampak untuk memindahkan dana mereka ke benih baru yang dihasilkan.
Kampanye phishing telah menggunakan berbagai metode untuk menargetkan pemilik dompet perangkat keras. Pada Februari, pengguna Trezor dan Ledger terkena kampanye surat fisik yang menyamar sebagai perusahaan-perusahaan tersebut, lengkap dengan hologram dan tanda tangan eksekutif yang dipalsukan, dibangun di sekitar tenggat waktu yang sama yang diproduksi. Sebuah aplikasi Ledger palsu menguras jutaan dari pemegang pada bulan April, dan kampanye Maret menggunakan isu GitHub palsu untuk menggoda pengembang agar masuk ke situs yang dipalsukan.
Galaxy Research menyatakan bahwa eksploitasi Coldcard masih berlangsung dan mendesak pemegang untuk memindahkan dana mereka ke benih baru atau ke kustodian, sehingga umpan phishing ini memiliki potensi untuk bertahan lama.