FTX compenseert platformgebruikers na golf van phishingaanvallen

Sam Bankman-Fried, oprichter van FTX, kondigde op Twitter aan dat er een compensatie van $6 miljoen zal zijn voor gebruikers wiens cryptocurrency is gestolen via recente phishingaanvallen. Sam maakte ook duidelijk dat de compensatie alleen geldt voor FTX-accounts en een “one-time” regeling is, die niet zal worden herhaald bij een toekomstige soortgelijke incident.

2022, het jaar van hacks

FTX-gebruikers werden recentelijk het doelwit van aanvallers. Hackers kregen toegang tot de cryptocurrency van gebruikers door toegang te krijgen tot de 3Commas API-sleutels van de gebruikers en voerden ongeautoriseerde transacties uit. Sam Bankman-Fried nam Twitter in gebruik om het compensatieplan aan te kondigen. Sam stelde in zijn tweet ook een “5-5 standaard” overeenkomst voor, waarin hij suggereerde dat de cryptocurrency-hackers ofwel $5 miljoen of 5 % van het totale gestolen vermogen konden behouden. De CEO van FTX drong er bij de hackers op aan om ongeveer $5,7 miljoen, wat ongeveer 95 % van het totale gestolen vermogen is, binnen vierentwintig uur terug te sturen naar een vermelde wallet‑adres; de CEO beloofde de hackers te vrijwaren als ze voldeden.

3Commas in een uitgegeven verklaring heeft ontkend dat de inbreuk voortkwam uit een lek van API‑sleutels op een van haar systemen. “Er zijn geen inbreuken geweest op de accountbeveiliging en API‑versleutelingssystemen van 3Commas, noch op de accountbeveiliging en API‑versleutelingssystemen van onze partnerbeurzen,” aldus het rapport. 3Commas heeft aangegeven dat de inbreuk hoogstwaarschijnlijk verband houdt met een phishingaanval waarbij de gebruikers slachtoffer werden.

Hacks zijn het afgelopen jaar veelvoorkomend geweest in de cryptoruimte, en hackers zijn steeds verfijnder geworden in de methoden en technieken die ze gebruiken bij het uitvoeren van kwaadaardige aanvallen. Er zijn incidenten geweest van hacks van cryptocurrency‑beurzen, DeFi‑protocollen, cross‑chain bridges en het leegtrekken van liquiditeitspools, onder andere. In sommige gevallen zijn bugs in smart‑contractcode uitgebuit, waardoor aanvallers toegang kregen tot miljoenen dollars aan cryptocurrency. Alleen al in 2022 omvatten enkele opvallende hackincidenten de Ronin‑bridge hack van Axie Infinity, waarbij de hacker meer dan $600 miljoen aan Ethereum en USDC stal, de Wormhole‑bridge aanval die in februari leidde tot een verlies van $320 miljoen, en de recente aanvallen op de Binance‑bridge evenals het Mango‑protocol, die respectievelijk tot verliezen van meer dan $600 miljoen en $100 miljoen leidden. Sommige van deze hacks richten zich direct op gebruikers die onbewust hun wachtwoorden, privésleutels, seed‑phrase en andere cruciale inloggegevens aan hackers overhandigen.

Wat is phishing en hoe phishingaanvallen te herkennen en te vermijden

Phishing is veelvoorkomend in Web2 en is overgegaan van Web2 naar Web3. Phishing is een vorm van social‑engineeringaanval waarbij een aanvaller, zich voordoen als een legitieme bron, een gebruiker misleidt om belangrijke persoonlijke informatie prijs te geven. Aanvallers sturen officieel uitziende e‑mails en creëren gekloonde inlogpagina’s en websites om nietsvermoedende gebruikers te misleiden tot een actie, zoals het downloaden van software via een link of het invoeren van inloggegevens op een gekloonde, nepwebsite. Deze nepwebsites hebben vaak een domeinnaam die sterk lijkt op de originele website. Phishers gebruiken deze methoden en technieken om het vertrouwen van hun slachtoffer te winnen en hen hun waakzaamheid te laten verlagen. 

Phishers gebruiken soms sociale netwerken om de basispersoonlijke informatie van hun slachtoffer te verzamelen. Met deze persoonlijke informatie kan een phisher vervolgens plannen hoe hij een phishingaanval op het slachtoffer kan uitvoeren.

Soorten phishingaanvallen

Phishingaanvallen zijn door de jaren heen gevarieerder en verfijnder geworden, waarbij elk type aanval een specifieke naam heeft. Hieronder staan enkele van de meest voorkomende soorten phishingaanvallen.

• E‑mail phishing: Dit is het meest voorkomende type phishing. De toon van phishing‑e‑mails bestaat meestal uit een bedreiging of een gevoel van urgentie om een gebruiker snel de instructies in de e‑mail te laten opvolgen zonder de bron van de e‑mail te verifiëren. Phishing‑e‑mails bevatten voornamelijk links naar een nep‑inlogpagina of links naar een malware‑site.

• Spear phishing: Dit is ook een phishingaanval die wordt uitgevoerd door phishing‑e‑mails te sturen, echter heeft de aanvaller in het geval van spear phishing al voorafgaande informatie zoals naam, functietitel of functie van het slachtoffer.

• Angler phishing: Een angler phishing‑aanval is wanneer een aanvaller nep‑socialmediaprofielen gebruikt om het account van een bekende persoon of organisatie na te bootsen. Dit komt veel voor op crypto‑Twitter; “verified” nep‑accounts plaatsen links naar nep‑airdrops, giveaways en “crypto‑verdubbelings”‑schema’s. Phishers zijn ook altijd actief op sociale media met nep‑klantenserviceprofielen: ze benaderen snel klanten die publiekelijk om hulp of klantenservice vragen en misleiden het slachtoffer om gevoelige informatie prijs te geven.

• Whaling: Dit is een phishingaanval gericht op het senior management van een organisatie. Bij dit type aanval sturen aanvallers elektronisch sterk gepersonaliseerde en goed gestructureerde aanbiedingen of voorstellen naar het senior management van een organisatie: de documenten bevatten kwaadaardige links. Als een lid van het senior management slachtoffer wordt, kan dit leiden tot een compromittering van de vertrouwelijke gegevens van de organisatie.

Web3‑specifieke phishingaanvallen

Als de nieuwste iteratie van het internet is Web3 niet gespaard gebleven van phishingaanvallen. Phishers hebben Web3‑gemeenschappen geïnfiltreerd, waaronder Telegram‑ en Discord‑groepen van cryptoprojecten en “crypto‑Twitter”. Scam‑airdrops zijn wijdverspreid. Een typische Web3‑phishingaanval begint met de aanvaller die een scam‑airdrop of een andere promotie “shilled”. Deze phishers werken als een georganiseerde misdaadsyndicaat; ze gebruiken verschillende accounts om de scam‑airdrop te liken, te delen en te reageren om geloofwaardigheid te geven en slachtoffers naar de phishing‑website te lokken. Wanneer een slachtoffer de website bezoekt, die meestal een kloon is van een legitiem project, vraagt de phishing‑website de gebruiker om hun privésleutel of seed‑phrase in te voeren. De phisher krijgt de inloggegevens en de wallet van het slachtoffer wordt geleegd.

Een andere veelvoorkomende phishingaanval in Web3 en de cryptoruimte voegt een malware‑link toe aan een e‑mail of Direct Message (DM). De nietsvermoedende gebruiker klikt op de link en de malware wordt “stilletjes” op het apparaat van de gebruiker geïnstalleerd. De malware controleert continu het klembord van het apparaat; wanneer een gebruiker probeert crypto te verzenden en een kopie‑plak van het wallet‑adres van de ontvanger doet, wijzigt de malware het wallet‑adres naar een adres dat door de aanvaller wordt beheerd, en de verzonden cryptocurrency wordt dan onbewust naar de wallet van de aanvaller gestuurd.

Hoe phishing te herkennen en te vermijden

Phishing‑e‑mails bevatten altijd een vorm van urgentie. Bijvoorbeeld, een e‑mail die een gebruiker instrueert hun crypto‑wallet bij te werken, anders wordt de toegang tot de wallet om middernacht geweigerd. Dit is een klassiek voorbeeld van het onder druk zetten van het slachtoffer om het proces te doorlopen voordat ze zich realiseren dat ze worden gephished. 

Grammaticale fouten komen zeer vaak voorkomen in de meeste phishing‑berichten. De toon van een e‑mail of DM – bijvoorbeeld overdreven vriendelijk in een zogenaamd formeel gesprek – kan ook een duidelijk teken van phishing zijn.

Inconsistenties in web‑URL’s zijn een van de belangrijkste kenmerken van phishing‑websites. In phishing‑websites die een legitieme website nabootsen, worden URL’s vaak met een koppelteken geschreven. Bijvoorbeeld, de domeinnaam “metamask.io” zou “meta‑mask.io” worden. In sommige gevallen worden de letters “i” en “l” vervangen door het cijfer “1”. Een voorbeeld zou “binance.com” worden “b1nance.com”. Deze subtiele wijzigingen in de naam van de URL’s kunnen onopgemerkt blijven voor een slachtoffer.

Er zijn eenvoudige maatregelen om te volgen zodat je geen slachtoffer van een phishingaanval wordt. Deze omvatten: het dubbel controleren van URL’s van bezochte websites voordat je enige activiteit op de site uitvoert, letten op subtiele signalen zoals de toon van communicatie wanneer je een e‑mail of DM van onbekende bronnen ontvangt, en nooit informatie zoals wachtwoorden, privésleutels of seed‑phrases aan iemand geven – zelfs niet aan het klantenserviceteam van het vermeende platform – en het installeren van noodzakelijke beveiligingstools zoals tweefactorauthenticatie (2FA) op alle ondersteunde apps en wallets.