GoPlus Security, iOS Cüzdan Hırsızlıklarında 561.000 Dolarlık Kaybı Açıkladı

Trust Wallet Kullanıcıları En Ağır Darbeyi Yedi

Varlıklarını kendi başına yönetilen kripto cüzdanlarında tutan iOS kullanıcıları, iki haftaya yayılan sızmalarda yaklaşık 561.000 dolar kaybetti. Güvenlik ekibi GoPlus Security, vakaların yamalanmamış iPhone'lardan kaynaklandığını tespit etti. Rakam 5 Kasım'da, zincir üstü araştırmacılar gönüllülerinden oluşan bir koalisyon olan Security Alliance (SEAL) tarafından derlenen olay kayıtlarına dayanarak duyuruldu. SEAL'in son haftalık istatistikleri 28 Ekim'den 3 Kasım'a kadar olan dönemi kapsıyordu ve yalnızca bu pencere, toplam değeri yaklaşık 127.000 dolar olan altı yeni iOS cüzdan ihbarı ekledi. Etkilenen kullanıcıların büyük bölümü varlıklarını Trust Wallet'ta tutuyordu; aynı haftalık sayım bir Uniswap Wallet vakasını da kayıtlara geçti. SEAL'in raporuna göre mağdurların çoğu Rusya, Ukrayna ve Kazakistan'da yaşıyor. GoPlus'ın uyarısı dalgayı, daha eski iOS sürümlerini hedefleyen suç kampanyalarına bağlıyordu: saldırganlar, bu sürümlerin artık yama almadığı açıkları kullanıyor, cihaz verisini ve izinleri topluyor, sonra parayı zincir üstünde taşıyor. Kalıbın içinde kurbanın bir işlemi imzalamasını ya da kurtarma ifadesini okumasını gerektiren hiçbir adım yok. Bir hot wallet, özel anahtarlarını telefonun kendisinde tutuyor; yüksek yetkili erişim kazanan bir saldırgan bu yüzden cüzdanı arka planda sessizce boşaltabiliyor. Kayıpların, hiç şüpheli site ziyaret etmemiş kullanıcılar arasında bile birikmesinin nedeni tam olarak bu. GoPlus, iPhone'da varlık tutan herkesten sistemi hemen güncellemesini ve kurulu uygulamaları denetlemesini istedi. Bilinmeyen bir yazılım kurmuş kullanıcılara ise cihazı ele geçirilmiş saymaları ve kalan varlıkları taşımadan söylendi; bu tavsiye iki haftalık sayımda da yinelendi. İhbalar art arda iki SEAL haftalık raporunda yer aldı ve GoPlus iki haftalık tabloyu tek bir olaydan değil, bu olay dosyalarından derledi.

GoPlus Security'nin X'teki iki haftalık cüzdan hırsızlığı uyarısı

DarkSword ve Coruna Kitleri

Rakamların arkasında somut bir saldırı seti duruyor. SEAL'in haftalık raporu, Censys'in Ekim ayında kaydettiği tarama gözlemlerine atıfta bulunuyordu; bu gözlemler, DarkSword ve Coruna olarak bilinen sömürü kitlerinin (exploit kit) çoktan cüzdan uygulamalarını hedeflediğini gösteriyordu. Her iki zincir de eski iOS sürümlerini Safari üzerinden ya da kötü amaçlı uygulamalar aracılığıyla ele geçirebiliyor ve her ikisi de ana cüzdanların cihazda tuttuğu anahtarları ve kurtarma ifadelerini kovalıyor. GoPlus, kampanyaların yamalanmamış sistemlere dayandığını vurguladı; bu yüzden savunmasız sürüm aralığında kalmış bir telefon, sahibi kurtarma ifadesini hiç dışa aktarmamış ya da hiçbir transferi onaylamamış olsa bile boşaltılabiliyor. Yön bir hafta öncesinden belliydi: SEAL'in önceki raporu Trust Wallet iOS vakalarında keskin bir artış işaretlemiş ve DarkSword'un kötü amaçlı reklamlarla dağıtıldığından şüphelenmişti; bu tablo, en yeni sayımın gösterdiğiyle örtüşüyor. Örtüşme önemli, çünkü kampanyanın tarihini sabinliyor: Trust Wallet ihbarlarındaki yükseliş, 28 Ekim ile 3 Kasım arasında kaydedilen altı vakadan önce başladı ve son sayım, kalıbı taşıyan üst üste ikinci haftalık rapor. Rakamlarla birlikte verilen yönlendirme de somuttu. GoPlus, kullanıcıları bir cihazın bilinen sömürü aralığında geçirdiği süreyi kısaltmak için en güncel iOS sürümüne geçmeye, ayrıca kurulu uygulamalarda bilinmeyen ya da yakın zamanda eklenmiş her şeyi gözden geçirmeye çağırdı; özellikle de ödül ödenmeden önce telefonun uzun süre aktif kalmasını şart koşan, sosyal medyada tanıtılan araçlara karşı. Temiz bir cihazda cüzdanın yeniden kurulması ve kalan varlıkların taşınması yönündeki talimat, ele geçirilmiş bir telefona dokunmuş her anahtarı yakılmış sayıyor. Bu tür açıklamaları kendisi değerlendirmek isteyen okuyucular, blokzincir güvenlik denetimleri kılavuzumuzla başlayabilir. Vaka grubu ayrıca, cüzdanın bu yıl içindeki diğer güvenlik olaylarının üzerine geldi: ekip, kullanıcı eylemi gerektirmediğini söylediği kritik PHP zafiyetlerini ve daha önce dolaşıma giren sahte Trust Wallet sitesi uyarılarını hatırlatıyor.

SEAL'in ve GoPlus'ın tarif ettiği kalıp, her iki cüzdanın kodundaki bir kusur değil, bir cihaz ele geçirmedir. Trust Wallet ve Uniswap Wallet raporlarda yer alıyor, çünkü iPhone'larda yaygın biçimde kurulmuş durumda; sızma mekanizması ise işletim sistemi üzerinden işliyor. Sahipler için pratik yanıt üç başlıkta toplanıyor: bir cihazın güncel olmayan bir iOS sürümünde geçirdiği süreyi kısaltmak, tanımadığın uygulamaları düşman varsaymak ve anahtarları internete bağlı bir telefonda hiç saklamayan bir donanım cüzdanında uzun vadeli varlıkları tutmak. SEAL'in en son sayımı 3 Kasım'da, GoPlus'ın uyarısı ise iki gün sonra yayımlandı; kaydedilen son hırsızlık penceresi ile kamuya açık uyarı arasındaki bu kısa boşluk, kampanyanın hâlâ güncel olduğunu gösteriyor.