Pudgy World被仿冒！Malwarebytes警告釣魚網站竊取錢包密碼 被克隆！Malwarebytes警告釣魚網站竊取錢包密鑰

Компанія з кібербезпеки Malwarebytes Labs у вівторок опублікувала термінове попередження про фальшивий сайт із доменом «pudgypengu-gamegifts[.]live», який імітує браузерну гру Pudgy World, запущену 10 березня, з метою викрадення паролів криптовалютних гаманців.

Складність фішингових атак: копіювання 11 інтерфейсів гаманців

Вищий інженер з досліджень зловмисного програмного забезпечення Malwarebytes Stefan Dasic детально описав логіку цієї атаки у звіті. Частини функціоналу Pudgy World (наприклад, перевірка прав власності на NFT або розблокування ігрового контенту) вимагають від гравців підключення криптогаманця, і саме на цій логічній процедурі зловмисники зосередилися:

«Фішинговий сайт використовує цю операцію. Коли користувач обирає свій гаманець на підробленому сайті, з’являється екран, що імітує інтерфейс розблокування саме цього гаманця. Для користувача це виглядає так, ніби він взаємодіє з справжнім, знайомим і довіреним криптогаманцем.»

Dasic також зазначив, що ця атака є надзвичайно технічно складною — зловмисники створили імітаційні інтерфейси для 11 різних гаманців, майже жоден з яких не є безпечним від атак. Чи то Ethereum, чи Solana, чи мульти-ланцюгові активи — усі отримують високореалістичні підроблені інтерфейси розблокування. Він вважає, що створення 11 таких UI «не є легким завданням», що свідчить про можливу присутність «ресурсно забезпечених зловмисників» або використання комерційних інструментів для фішингу, спеціально розроблених для таких атак.

Перехрестя бренду Pudgy World і ризиків безпеки

Pudgy World — безкоштовна браузерна гра, створена на основі бренду NFT Pudgy Penguins, де гравці досліджують віртуальний світ, налаштовують пінгвінів і виконують завдання. З моменту придбання її генеральним директором Luca Netz у 2022 році, бренд розвинувся від простого колекційного NFT у напрямку споживчих продуктів, мобільних і веб-ігор.

Однак, раніше бренд уже став жертвою подібних атак. У грудні 2024 року компанія з кібербезпеки Scam Sniffer попередила, що зловмисники використовували шкідливу рекламу Google, щоб видавати себе за платформу Pudgy Penguins і обманювати користувачів, змушуючи їх підключати гаманці. Дослідники зазначили, що такі атаки зазвичай виникають під час великих подій навколо популярних NFT-проектів, коли наплив нових користувачів створює ідеальні умови для злому.

Рекомендації щодо захисту: як уникнути бути жертвою

Malwarebytes пропонує користувачам Pudgy World такі конкретні заходи безпеки:

• Лише через закладки відвідувати офіційний сайт: уникайте входу через пошукові системи або посилання у соцмережах.
• Уважно слідкувати за появою підказок щодо пароля гаманця: легальні підказки ніколи не з’являються у веб-інтерфейсі; якщо сайт просить ввести пароль у браузері, потрібно негайно припинити операцію.
• Не натискати на посилання у приватних повідомленнях або соцмережах: офіційні посилання на проекти мають бути отримані з офіційних Twitter/X або Discord-каналів.
• У разі введення даних у підозрілому сайті — змінити пароль гаманця: якщо є підозра, що гаманець був скомпрометований, слід перенести активи на новий адресу.

Поширені запитання

Як переконатися, що я заходжу на справжній Pudgy World, а не на підробку?

Перевірка включає порівняння домену з офіційним сайтом Pudgy Penguins (увага до зайвих символів або дефісів), отримання посилань безпосередньо з офіційних каналів у Twitter/X або Discord, а також збереження у закладках перевірених офіційних адрес, щоб не шукати їх знову через пошук.

Чому зловмисники одразу атакують після запуску нової гри?

За словами Stefan Dasic з Malwarebytes, це цілеспрямований стратегічний хід — під час запуску нової гри привертається багато нових користувачів, які ще не знайомі з процедурою підключення гаманця і можуть бути менш обережними. Крім того, збільшення пошукового трафіку робить підроблені сайти більш помітними у пошукових системах.

За даними FBI, у 2024 році збитки від фішингових атак перевищили 70 мільйонів доларів. Наскільки це небезпечно для криптовалютних користувачів?

За даними Центру скарг у сфері кіберзлочинності FBI (IC3), у 2024 році було зареєстровано 193 407 скарг на фішинг і шахрайство, що спричинили збитки понад 70 мільйонів доларів, і це без урахування нерозголошених випадків. Через анонімність і необоротність криптовалютних активів користувачі піддаються високому ризику — якщо активи переказані на контроль зловмисників, їх практично неможливо повернути.