Crypto: Kluczowe wskazówki dla programistów w celu ochrony komputera i portfeli

Rozmowa kwalifikacyjna, plik do otwarcia, opróżniona kasa. Security Alliance (SEAL), organizacja non-profit zajmująca się bezpieczeństwem kryptowalut, założona w ślad za badaczem samczsun, publikuje repozytorium poświęcone intruzjom skierowanym specjalnie do programistów. Dokument nie pochodzi z laboratorium: kompiluje schematy ataków zarejestrowane podczas interwencji awaryjnych prowadzonych przez zespoły reagowania na incydenty. Punkt wyjścia jest niewygodny dla całej branży. Najsłabszym ogniwem protokołu nie jest już jego kod, ale osoba pisząca go przed ekranem.

Kluczowe punkty {#h-punkty-kluczowe}

• SEAL, sojusz bezpieczeństwa kryptowalut założony w ślad za samczsun, publikuje repozytorium intruzji skierowanych do programistów, oparte na rzeczywistych przypadkach reagowania na incydenty.
• Ataki nie są już skierowane na smart kontrakty, ale na stanowiska robocze: Bybit (1,5 miliarda dolarów) i Radiant Capital (50 milionów) padły ofiarą skompromitowanych komputerów programistów.
• Fałszywi rekruterzy, pułapki techniczne, fałszywe aktualizacje Zoom, technika ClickFix oraz przejęte pakiety npm stanowią zasadniczą część udokumentowanych łańcuchów ataków.
• Izolacja maszyn podpisujących, zamrożone zależności, jasne podpisy oraz weryfikacja poza kanałem rozmówców to niektóre z zalecanych środków zaradczych.

Kiedy komputer programisty staje się bramą wejściową {#h-kiedy-komputer-programisty-staje-sie-brama-wejsciowa}

Audyty, programy nagród i weryfikacje kodu sprawiają, że niektóre ataki na smart kontrakty są trudniejsze. Hakerzy szukają więc innych dróg. Celują w osoby, które mogą zmienić stronę, opublikować aktualizację lub podpisać ważną transakcję.

Kradzież 1,5 miliarda dolarów, której doznał Bybit w lutym 2025 roku, pozostaje najbardziej spektakularnym przykładem. Kontrakty portfela multisig nie zostały bezpośrednio zhakowane. Napastnik skompromitował komputer programisty Safe{Wallet}, usługi używanej do przygotowywania transakcji.

Złośliwy kod następnie zmienił interfejs prezentowany sygnatariuszom Bybit. Myśleli, że zatwierdzają zwykły transfer, podczas gdy rzeczywiście podpisana transakcja dawała napastnikowi kontrolę nad portfelem zimnym. FBI przypisało operację północnokoreańskiej grupie TraderTraitor.

Radiant Capital padł ofiarą podobnego ataku kilka miesięcy wcześniej, na około 50 milionów dolarów. Kilku programistów otrzymało na Telegramie archiwum przedstawiane jako dokument PDF, wysłane z konta byłego dostawcy uważanego za wiarygodnego. Plik zainstalował złośliwe oprogramowanie na ich komputerach.

Interfejs następnie wyświetlał pozornie normalne transakcje, podczas gdy portfele sprzętowe otrzymywały coś innego do podpisania. Innymi słowy, zabezpieczenia kryptograficzne wciąż działały, ale informacje pokazywane użytkownikom zostały sfałszowane.

Od fałszywego rekrutowania do pułapki programowej {#h-od-falszywego-rekrutowania-do-pulapki-programowej}

Pierwszy kontakt zazwyczaj przyjmuje banalną formę: oferta pracy, płatne zlecenie, prośba o pomoc lub raport wskazujący na rzekomą lukę. Rozmowa kończy się zaproszeniem do pobrania pliku, otwarcia projektu lub wykonania polecenia.

SEAL wyróżnia kilka częstych etapów w swoim dokumencie referencyjnym:

• Nawiązanie kontaktu: fałszywy rekruter lub przedsiębiorca zbliża się do swojej ofiary na LinkedIn, Telegramie lub Discordzie.
• Dostarczenie pułapki: ofiara otrzymuje repozytorium GitHub, archiwum, rozszerzenie lub zadanie techniczne.
• Instalacja: kod uruchamia się podczas uruchamiania testu, instalacji zależności lub fałszywej aktualizacji Zoom lub Teams.
• Kradzież: oprogramowanie zbiera hasła, otwarte sesje, dostęp do usług w chmurze lub informacje umożliwiające przygotowanie oszukańczej transakcji.

Technika zwana ClickFix wręcz zmusza ofiarę do samodzielnej instalacji. Fałszywy komunikat o błędzie prosi ją o skopiowanie polecenia do terminala, aby rozwiązać wyimaginowany problem.

Biblioteki używane przez programistów stanowią kolejny cel. We wrześniu 2025 roku konto jednego z konserwatorów wielu popularnych pakietów npm, w tym chalk i debug, zostało skompromitowane przez fałszywy e-mail resetujący uwierzytelnianie dwuskładnikowe. Do 18 pakietów, które łącznie miały ponad dwa miliardy pobrań tygodniowo, dodano kod mający na celu przejęcie transakcji kryptowalutowych.

Izolacja kodu przed zaufaniem mu {#h-izolacja-kodu-przed-zaufaniem-mu}

Główna rekomendacja SEAL polega na traktowaniu każdego zewnętrznego kodu jako niebezpiecznego przed jego przeglądaniem. Nawet projekt przekazany przez znajomego mógł zostać zmodyfikowany, podczas gdy konto tej osoby mogło zostać zhakowane.

Nieznany plik lub repozytorium powinno być otwierane w maszynie wirtualnej lub tymczasowym środowisku, które nie zawiera żadnych haseł, portfeli ani dostępu do systemów produkcyjnych. Po zakończeniu analizy to środowisko można usunąć.

SEAL zaleca również przeznaczenie komputera do podpisów wrażliwych, zamrożenie wersji zależności oraz odczekanie przed zainstalowaniem niedawno opublikowanej aktualizacji. Tożsamość nieoczekiwanego rozmówcy powinna być weryfikowana przez inny kanał, na przykład dzwoniąc na znany numer.

Te środki ostrożności dotyczą również asystentów programowania opartych na sztucznej inteligencji. Agent zdolny do odczytania projektu i automatycznego wykonania jego instrukcji powinien być umieszczony w tym samym izolowanym środowisku, co kod, który analizuje.

Na koniec zespoły powinny przygotować swoją procedurę kryzysową przed incydentem: wiedzieć, kto może zawiesić usługę, powiadomić platformy wymiany lub komunikować się publicznie. SEAL 911 zapewnia bezpłatną pomoc, dostępną przez całą dobę, dzięki sieci wolontariuszy badaczy.

Przesłanie przewodnika można podsumować jedną zasadą: otwieranie nieznanego projektu nie zawsze jest operacją pasywną. Gdy narzędzie instaluje, interpretuje lub wykonuje jego zawartość, ten prosty plik może stać się otwartą bramą do całej infrastruktury. W każdej firmie lub projekcie bezpieczeństwo wszystkich zależy od zachowania każdego.

Niniejsza treść ma charakter wyłącznie informacyjny i nie stanowi porady finansowej, inwestycyjnej, prawnej ani podatkowej. Wszelkie wydarzenia, nagrody, promocje online lub powiązane informacje, o których tu mowa, nie powinny być traktowane jako rekomendacja, zachęta ani zaproszenie do kupna, sprzedaży, wymiany lub innego rodzaju obrotu aktywami kryptograficznymi. Aktywa kryptograficzne charakteryzują się dużą zmiennością i mogą prowadzić do strat. Dostępność usług, produktów i powiązanych wydarzeń WEEX może się różnić w zależności od regionu. Użytkownik jest odpowiedzialny za upewnienie się, że jego udział jest zgodny z obowiązującymi lokalnymi przepisami i regulacjami.