هشدار چانگ‌پنگ ژائو درباره سایت جعلی Trust Wallet و ادعای سوءاستفاده ۱.۱ میلیون دلاری

چانگ‌پنگ ژائو، هم‌بنیان‌گذار بایننس، درباره یک وب‌سایت جعلی Trust Wallet هشدار داد که بازدیدکنندگان را به اتصال کیف پول ترغیب می‌کند؛ هم‌زمان گزارش‌های جداگانه‌ای درباره سوءاستفاده حدود ۱.۱ میلیون دلاری از کاربران آیفون با iOS 18.5 منتشر شده است.

پژوهشگر امنیتی آنوراگ (Anurag) که با حساب Malwarehunter در X فعالیت می‌کند، این وب‌سایت مشکوک را در ۵ نوامبر شناسایی کرد و جزئیات جاوااسکریپت مخربی را منتشر کرد که برای تعامل با کیف پول‌های ارز دیجیتال طراحی شده است. به گفته او، کد این سایت از Trust Wallet، Phantom و OKX Wallet پشتیبانی می‌کند و می‌تواند موجودی کیف پول را از طریق یک API بک‌اند اسکن کرده و انتقال به آدرس‌های از پیش تعیین‌شده را آماده کند.

این وب‌سایت با دامنه trastwallet[.]cam خود را جای Trust Wallet جا می‌زند و خدماتی نمایش می‌دهد که ظاهراً به کاربران اجازه می‌دهد انتقال‌های ارز دیجیتال را پیش از تأیید بررسی کنند. ژائو یافته‌های این پژوهشگر را با دنبال‌کنندگانش به اشتراک گذاشت و از کاربران خواست به آدرس وب‌سایت‌ها دقت کنند.

وب‌سایت‌های فیشینگ بیشتری وجود دارد… .cam همان .com نیست. مراقب باشید!

چانگ‌پنگ ژائو

وب‌سایت جعلی چگونه کاربران را هدف می‌گیرد

بر اساس یافته‌های فنی آنوراگ، این سایت جعلی صفحه‌ای با عنوان «انتقال‌های کیف پول خود را بررسی کنید» نمایش می‌دهد که با طراحی یک کارت پرداخت دیجیتال و دکمه‌ای برجسته از بازدیدکننده می‌خواهد کیف پولش را متصل کند. این صفحه ادعا می‌کند انتقال‌ها به آدرس‌های دریافت‌کننده فهرست‌شده ارسال می‌شوند و سقف ۱ تا ۵٬۰۰۰ دلار برای هر دارایی را تبلیغ می‌کند. صفحه دیگری این سرویس را فرایندی خودکار برای بررسی دارایی‌ها معرفی می‌کند و به کارمزد شبکه، سقف‌های مستقل انتقال و مجوز کیف پول اشاره دارد.

اگرچه کد سایت اجزای لازم برای آماده‌سازی تراکنش‌ها را دارد، آنوراگ گزارش داد که امضای تراکنش در زمان بررسی او غیرفعال بوده است. این یافته‌ها یک عملیات فیشینگ را توصیف می‌کند که می‌تواند موجودی کیف پول را شناسایی و تراکنش‌ها را آماده کند، اما غیرفعال بودن عملکرد امضا دامنه اجرای نسخه بررسی‌شده اسکریپت را محدود می‌کند.

ادعای سوءاستفاده ۱.۱ میلیون دلاری از کاربران iOS

هم‌زمان، هشدار دیگری که در ۵ نوامبر منتشر شد ادعا کرد مهاجمی ناشناس حدود ۱.۱ میلیون دلار از کاربران Trust Wallet را از طریق اکسپلویتی هدف قرار داده که سیستم‌عامل iOS 18.5 اپل را تحت تأثیر قرار می‌دهد. این ادعا توسط حساب Emperor.SOL در X منتشر شد؛ به گفته این حساب، حمله می‌تواند عبارت‌های بازیابی (seed phrase) کیف پول قربانیان را از دستگاه‌های آسیب‌پذیر استخراج کند. بر اساس این پست، پشتیبانی Trust Wallet از کاربران خواسته بود سیستم‌عامل خود را فوراً به‌روزرسانی کنند.

هرچه سریع‌تر iOS را به‌روزرسانی کنید.

پشتیبانی Trust Wallet (به نقل از Emperor.SOL)

این پست تصویری از انتقال‌های ارز دیجیتال شامل آدرس‌های واریز بایننس و کیف پول‌های داغ را منتشر کرد که چند تراکنش آن به USDT بود. انتقال‌های نمایش‌داده‌شده شامل ۵۰۰٬۰۰۰ USDT، ۱۰۰٬۰۰۰ USDT و ۱۹۰٬۰۰۰ USDT می‌شد، اما این تصویر نشان نمی‌داد که این تراکنش‌ها چگونه به اکسپلویت ادعایی آیفون مرتبط هستند.

پیش‌تر نیز پژوهشگران امنیتی حملاتی را علیه نسخه‌های قدیمی‌تر iOS شناسایی کرده بودند که می‌تواند اطلاعات حساس را از اپلیکیشن‌های ارز دیجیتال استخراج کند. در مارس، پژوهشگران گوگل، Lookout و iVerify اکسپلویت DarkSword را شناسایی کردند که آیفون‌های آسیب‌پذیر را از طریق وب‌سایت‌های آلوده هدف می‌گرفت و می‌توانست اطلاعات کیف پول ارز دیجیتال را افشا کند. اپل بعداً این آسیب‌پذیری‌ها را با به‌روزرسانی‌های نرم‌افزاری برطرف کرد و به کاربران توصیه کرد دستگاه‌های خود را به‌روز نگه دارند.

سابقه امنیتی Trust Wallet

این هشدارها پس از چند شکایت امنیتی مربوط به کاربران Trust Wallet در هفته‌های اخیر منتشر می‌شود. در ۴ نوامبر، crypto.news شکایت کاربری را گزارش کرد که ۳٬۸۳۰ USDT بدون هیچ تأیید یا هشداری از کیف پولش ناپدید شده بود. این کاربر، Iaroslav Dubovoi، گفت پس از باز کردن اپلیکیشن متوجه نبودن این دارایی‌ها شد و سپس سوابق بلاک‌چین نشان داد که این ارز دیجیتال منتقل شده است.

کاربر دیگری ادعا کرد فردی که در سرور دیسکورد پروتکل NEAR خود را نماینده پشتیبانی جا زده بود، کیف پول او را خالی کرده است؛ تراکنش‌های گزارش‌شده شامل چند ارز دیجیتال بودند.

Trust Wallet پیش‌تر در ۲۸ اکتبر درباره یک وب‌سایت جعلی کارت ارز دیجیتال هشدار داده بود، پس از آنکه پژوهشگران خدماتی غیرمجاز را شناسایی کردند که با برند این شرکت مزایای پرداخت ویژه تبلیغ می‌کرد. این سرویس جعلی سقف خرج ۱۰۰٬۰۰۰ دلاری، بازگشت نقدی تا ۸ درصد و صدور کارت را تنها با پرداخت ۱ دلار وعده می‌داد، اما از بازدیدکنندگان می‌خواست کیف پول ارز دیجیتال خود را متصل کنند. جیمز برو، که خود را عضو تیم امنیتی Trust Wallet معرفی کرد، تأیید کرد این وب‌سایت وابسته به شرکت نیست و کاربران را به کانال‌های رسمی آن هدایت کرد.

پیش‌تر در دسامبر ۲۰۲۵، Trust Wallet حادثه امنیتی مربوط به نسخه ۲.۶۸ افزونه مرورگر کروم خود را تجربه کرد که حاوی کد مخربی برای افشای اطلاعات حساس کیف پول بود. مهاجمان از این افزونه آلوده برای سرقت ارز دیجیتال از کاربران آسیب‌دیده استفاده کردند و گزارش‌ها از رسیدن خسارت‌ها به میلیون‌ها دلار خبر دادند. ژائو، مدیرعامل پیشین بایننس، بعداً گفت کاربران آسیب‌دیده در حالی که شرکت در حال بررسی حادثه بود غرامت دریافت می‌کنند.

نگرانی‌های امنیتی مربوط به گوشی‌های قدیمی‌تر فراتر از نرم‌افزار خود این کیف پول ادامه داشته است. در ۱ نوامبر، ییشی وانگ، بنیان‌گذار OneKey، درباره ضعف‌های امنیتی مدل‌های قدیمی آیفون هشدار داد. او آسیب‌پذیری‌های سخت‌افزاری را در دستگاه‌هایی از iPhone 4S تا iPhone 11 و iPhone SE نسل دوم شناسایی کرد و توضیح داد بعضی از این ضعف‌ها با به‌روزرسانی معمولی سیستم‌عامل برطرف نمی‌شوند. وانگ به دارندگان ارز دیجیتال توصیه کرد اگر عبارت بازیابی خود را روی دستگاه‌های آسیب‌پذیر افشا کرده‌اند، عبارت جدید بسازند و دارایی‌ها را به کیف پول‌های تازه امن‌شده منتقل کنند.