Компания по безопасности блокчейна SlowMist обнаружила новую угрозу для Linux, нацеленную на восстановительные фразы криптокошельков, которая эксплуатирует доверенные приложения, распространяемые через Snap Store. Компания предупредила, что злоумышленники захватывают давно существующие аккаунты издателей в Snap Store и продвигают вредоносные обновления кошельков через официальные каналы распространения, подвергая риску давних пользователей Linux.
В публикации на X главный директор по информационной безопасности SlowMist 23pds сообщил, что злоумышленники злоупотребляют просроченными доменами, связанными с легитимными издателями Snap Store. После восстановления контроля над этими доменами злоумышленники сбрасывают учетные данные аккаунтов, захватывают доверенные учетные записи разработчиков и публикуют вредоносное ПО, замаскированное под обновления программного обеспечения кошельков. Эта тактика дает атаке опасное преимущество: пользователи часто доверяют обновлениям от established-издателей и устанавливают их без подозрений.
Как только вредоносные приложения попадают на систему жертвы, они предлагают пользователям ввести восстановительные фразы криптокошельков. Вредоносное ПО затем похищает эти фразы, позволяя злоумышленникам быстро опустошать кошельки, часто до того, как жертва понимает, что что-то пошло не так.
Злоумышленники захватывают издателей Snap Store с использованием просроченных доменов
Snap Store — это официальный магазин приложений для Linux, используемый для распространения программного обеспечения, упакованного в «снэпы». Многие пользователи считают его доверенным источником, как App Store или Microsoft Store, поскольку он предоставляет проверенных издателей, простые обновления и централизованное распространение.
SlowMist сообщила, что злоумышленники нацеливаются на аккаунты издателей, привязанные к доменам, срок действия которых истек. Как только домен истекает, преступники могут перерегистрировать его и получить доступ к привленным к домену адресам электронной почты. Оттуда они могут инициировать сброс пароля и захватить контроль над аккаунтами разработчиков Snap Store.
Этот метод позволяет злоумышленникам скомпрометировать издателей с активными пользователями и существующей историей загрузок. Вместо того чтобы полагаться на то, что жертвы скачают новые вредоносные приложения, они внедряют вредоносное ПО в обычные обновления. Эта тактика атаки на цепочку поставок увеличивает процент успеха, поскольку пользователи с большей вероятностью принимают обновления и не проверяют все изменения.
SlowMist идентифицировала как минимум два домена, связанных со скомпрометированными аккаунтами издателей: «storewise[.]tech» и «vagueentertainment[.]com». После захвата аккаунтов злоумышленники, по утверждениям, использовали приложения для имитации популярных брендов криптокошельков.
Поддельные приложения кошельков имитируют доверенные бренды
По данным SlowMist, пораженные приложения в Snap Store являются клонами популярных приложений кошельков, таких как Exodus, Ledger Live и Trust Wallet. Злоумышленники используют пользовательские интерфейсы, которые тесно напоминают легитимные приложения, что повышает доверие и снижает подозрения.
Эти приложения после установки или обновления будут просить пользователя ввести его восстановительную фразу кошелька с целью настройки кошелька, синхронизации или проверки аккаунта. После того как пользователь предоставит восстановительную фразу кошелька, злоумышленник может использовать эту фразу для восстановления кошелька и опустошения его средств без необходимости дальнейшего доступа к устройству жертвы.
Этот подход остается очень эффективным, потому что сид-фразы предоставляют полный контроль над активами. Даже самые сильные пароли и безопасность устройства не могут защитить средства, как только хакеры завладевают восстановительной фразой.
Атаки на цепочку поставок становятся все более разрушительными
Инцидент в Snap Store является частью более крупного тренда в криптобезопасности, где злоумышленники переходят от эксплуатации протоколов к компрометации инфраструктуры. Вместо прямой атаки на смарт-контракты преступники все чаще нацеливаются на доверенные системы распространения ПО, каналы обновлений и сторонних поставщиков услуг.
Данные CertiK, предоставленные СМИ в декабре, показали, что потери от взломов в криптосфере достигли 3,3 миллиарда долларов в 2025 году, хотя количество инцидентов сократилось. По данным CertiK, потери были более сконцентрированы в меньшем количестве, но более серьезных инцидентов цепочки поставок, причем 1,45 миллиарда долларов потерь были attributed всего двум крупным инцидентам.
Этот тренд указывает на то, что злоумышленники оптимизируют масштаб и воздействие. С улучшением безопасности DeFi на уровне смарт-контрактов, злоумышленники нацеливаются на самые слабые звенья: приложения, издателей и инфраструктуру обновлений, где доверие является самой большой уязвимостью.
На что пользователям следует обратить внимание далее?
Для пользователей Linux, которые хранят криптовалюту, процессы загрузки и обновления программного обеспечения кошельков должны выполняться с особой осторожностью. Пользователям необходимо проверять личность издателей, проверять официальные источники загрузки и избегать ввода восстановительных фраз на незнакомых платформах. Командам безопасности, возможно, также потребуется более внимательно отслеживать списки в Snap Store, особенно при внезапных изменениях в праве собственности издателей.
Вывод из предупреждения SlowMist ясен: наибольшая опасность теперь часто исходит из доверенных источников, а не от очевидных фишинговых афер.
Примечательные криптоновости:
Том Ли предупреждает, что крипторынки могут столкнуться с болезненной коррекцией в 2026 году
