Поддельная утечка копии GTA 6 опустошает ваш криптовалютный кошелек

Мы видели мошеннические сайты, созданные на основе Grand. Theft В этом году Auto VI (GTA 6) ориентируется на посетителей тремя разными способами.

В июне мы изучали сайты, продающие «ранний доступ» к GTA 6 за сотни долларов в криптовалюте. Вы платили, ничего не получали и не могли отменить платеж. В августе мы обнаружили поддельные сайты, предлагающие расширенный просмотр и демоверсии, вместо игры распространяющие информационный фейк.

Сайт, который мы исследовали на этой неделе, выглядит как сайт с обратным отсчетом до выхода GTA 6, но предлагает продать слитую копию игры. При первом же посещении загружается вредоносная программа, предназначенная для кражи криптовалюты и других активов из подключенных кошельков. Если вы выбираете оплату криптовалютой, программа попросит вас подключить кошелек. Она может атаковать активы в нескольких блокчейн-сетях.

Как выглядит страница

Маскировка работает, потому что большая часть страницы использует информацию, которая выглядит правдоподобно. Там есть обратный отсчет до 19 ноября, карта Леониды и сетка с фактами о релизе и фрагментами игрового процесса. Информация о релизе совпадает с собственными анонсами Rockstar: GTA 6 запланирована на 19 ноября для PlayStation 5 и Xbox Series. X |S, и Rockstar пока не анонсировала версию для ПК.

Среди этих достоверных материалов есть два предложения. Одно продает просочившуюся в сеть копию за 50 долларов. Другое предлагает то же самое за криптовалюту: 1 SOL (стоимостью около 102 долларов на момент написания).

Затем на странице посетителям сообщается, что все остальные сайты, предлагающие утечки информации, являются мошенническими, и только этот — безопасное место для покупки. Предупреждение посетителей о других мошенниках — распространенный прием, призванный успокоить тех, кто уже подозревает неладное.

На сайте также есть противоречия, которые может проверить любой. В нижнем колонтитуле, прямо под двумя кнопками оплаты, указано, что страница не предлагает никаких покупок, загрузок или платежей. Форма регистрации озаглавлена «Получайте уведомления. Не обманывайтесь». В сетке с фактами говорится, что игра предназначена только для консолей, в то время как в разделе часто задаваемых вопросов обещается загрузка для ПК после покупки, и утверждается, что цена еще не подтверждена, хотя Rockstar открыла предварительные заказы в июне.

Текст также разделяется на две части. Разделы с обратным отсчетом и картой — без ошибок. В рекламном тексте содержится множество ошибок, включая неправильно написанное слово «download» и упоминание GTA IV вместо VI. Мы пришли к выводу, что был использован шаблон, выглядящий вполне правдоподобно, созданный фанатами, а рекламный текст был добавлен кем-то другим, кто не проверил его на наличие ошибок.

Что происходит при подключении кошелька?

Здесь два фрагмента кода, и они совершенно разные.

Первый способ, встроенный в страницу, нацелен на кошелек Solana. Он не взимает заявленную цену. Вместо этого он проверяет баланс кошелька, оставляет небольшую сумму для покрытия комиссии за транзакцию и готовится перевести все остальное злоумышленнику. Заявленная цена не учитывается в расчетах.

Второй вариант — это отдельный скрипт размером около 2,4 МБ, и он гораздо функциональнее. Он включает в себя легитимный, широко используемый инструмент для подключения веб-сайтов к криптовалютным кошелькам, позволяющий работать со многими кошельками, а не только с одним. К этому инструменту добавлен вредоносный код, который инвентаризирует подключенный кошелек, вычисляет стоимость его активов, сообщает подробности злоумышленнику и извлекает транзакции для подтверждения жертвой.

Скрипт настроен на работу с кошельками в семи блокчейн-сетях: Ethereum, Polygon, BNB Smart Chain, Avalanche, Arbitrum, Base и Fantom. Он распознает основные стейблкоины в этих сетях и может запрашивать несколько типов доступа. В зависимости от того, что одобрит жертва, он может немедленно перевести криптовалюту или получить разрешение на перемещение токенов и целых коллекций NFT позже.

Перевод средств осуществляется немедленно. Подтверждение перевода может предоставить злоумышленнику доступ к ним позже. Этот скрипт поддерживает оба варианта.

Сначала проверяется ваше местоположение.

Прежде чем предложить посетителю подключить кошелек, скрипт загружает свои настройки с сервера оператора. Если определенная настройка включена, он использует IP-адрес посетителя для определения его страны и сравнивает ее с фиксированным списком: Армения, Азербайджан, Беларусь, Казахстан, Кыргызстан, Молдова, Россия, Таджикистан, Туркменистан и Узбекистан.

Скрипт определяет страну посетителя и сверяет её со списком.

Посетители из этих стран видят сообщение «Этот веб-сайт недоступен в вашем регионе» и перенаправляются на пустую страницу. Все остальные продолжают пользоваться сайтом.

Параметр, управляющий этой функцией блокировки по странам, называется CIS_Protection в коде.

Исключение этой группы стран — давняя практика в некоторых инструментах для совершения преступлений, обычно интерпретируемая как попытка избежать внимания местных правоохранительных органов. Мы бы не стали делать выводы о том, кто за этим стоит, основываясь только на списке стран. Это показывает, что тот, кто создал этот инструмент, принял обдуманное решение о том, кого он готов ограбить, и записал это решение в файл настроек.

Это позволяет определить, сколько стоит ваш кошелек.

Перед тем как запросить подтверждение, скрипт составляет профиль посетителей. Он проверяет их активы в различных блокчейнах, рассчитывает их общую стоимость и отправляет данные оператору. К ним относятся приблизительная долларовая стоимость кошелька, его токены и NFT, IP-адрес и страна посетителя, а также количество подключений к кошельку.

Этот скрипт также предназначен для усложнения анализа. Он может обнаруживать автоматизированные браузеры, используемые сканерами безопасности, подавлять сообщения, которые обычно отображаются в консоли разработчика браузера, вмешиваться в работу инструментов разработчика и скрывать адреса своих серверов внутри кода.

Несколько деталей указывают на то, что программа для выкачивания денег арендована, а не изготовлена самостоятельно. Адрес Solana, указанный на веб-странице, отсутствует в более крупном скрипте. Вместо этого скрипт загружает идентификатор оператора и настройки с удаленного сервера, который также подготавливает транзакции, отображаемые жертвам. Это напоминает хостинг-сервис, используемый несколькими клиентами, хотя мы не можем идентифицировать продукт. Он также позволяет изменять место назначения украденных средств без изменения веб-сайта.

Поддельные сайты GTA 6, которые мы расследовали в июне, просили жертв отправить фиксированную сумму, ограничивая немедленные потери этой суммой. Этот сайт может попытаться забрать все средства с подключенного кошелька. В зависимости от того, что подтвердит жертва, злоумышленник может либо немедленно перевести текущий баланс кошелька, либо получить разрешение на завладение токенами и NFT позже.

На что следует обратить внимание, прежде чем что-либо одобрить

Простое подключение вашего кошелька не позволяет сайту ничего снять. Опасность возникает, когда вы подтверждаете транзакцию или запрашиваете разрешение, которое следует за этим.

Экран подтверждения — важная последняя линия защиты. Например, криптовалютный кошелек Phantom утверждает, что имитирует каждую транзакцию перед подписанием и показывает предварительный просмотр того, что произойдет, на простом языке, включая предупреждение, если что-то выглядит подозрительно. Другие авторитетные кошельки делают то же самое, но они не могут защитить вас, если вы одобрите запрос, не прочитав его.

Проверьте экран подтверждения в кошельке на наличие двух предупреждающих знаков. Во-первых, отклоняйте любые транзакции, которые переводят весь или почти весь ваш баланс вместо ожидаемой вами суммы. Во-вторых, отклоняйте любые запросы на одобрение, разрешение или предоставление доступа к вашим токенам или NFT. Это может позволить злоумышленнику переместить эти активы позже, а магазин, продающий игры, не имеет оснований запрашивать такое разрешение.

Как защитить себя

Пока никто не продает играбельную копию GTA 6. Rockstar принимает предзаказы на релиз 19 ноября. Любой сайт, предлагающий утечки, ранние или играбельные копии, не является авторизованным продавцом.
Запрос на подключение криптовалютного кошелька на игровом сайте следует рассматривать как знак «Стоп». Легальные покупки GTA 6 доступны в авторизованных магазинах и у розничных продавцов Rockstar. Rockstar не требует от покупателей подключения криптовалютного кошелька или отправки криптовалюты на адрес кошелька.
Каждый раз внимательно читайте экран подтверждения и отклоняйте любые запросы, которые приближаются к сумме вашего баланса или требуют постоянного доступа.
Не позволяйте точным данным подтвердить истинность остальных. Правильная дата релиза и подлинные изображения ничего не стоят злоумышленнику.
Не храните крупные суммы в кошельке, который вы используете для просмотра веб-страниц.
Блокируйте страницы до их загрузки. Malwarebytes Browser Guard — бесплатная программа, которая блокирует мошеннические и вредоносные сайты во время просмотра веб-страниц.

Что делать, если вы подключили кошелек?

Проверьте и отозвите все разрешения, предоставленные через сайт. Эти разрешения могут позволить злоумышленнику завладеть активами позже, даже если ничего еще не было украдено.
Чтобы разорвать текущее соединение, отключите сайт от своего кошелька. Это не отменяет предоставленные вами ранее разрешения.
Проверьте полное содержимое кошелька, включая токены и NFT во всех используемых вами блокчейнах.
Если средства были списаны или вы ввели фразу восстановления, переведите оставшиеся ценные вещи в новый созданный кошелек.
Сообщите адрес получателя своему провайдеру кошелька и в общедоступную службу по сообщению о мошенничестве. Это может помочь провайдерам идентифицировать адрес и предупредить других пользователей.

Остерегайтесь тех, кто предлагает вернуть украденную криптовалюту за плату. Зачастую это повторная афера, направленная на ту же жертву.

Завершенный перевод не подлежит отмене. Проанализированный нами код не запрашивает и не раскрывает фразу восстановления кошелька, поэтому подключение к сайту само по себе не ставит под угрозу эту фразу. Если вы ввели ее где-либо в процессе, рассматривайте это как отдельную угрозу и переведите оставшиеся активы в новый созданный кошелек. Все предоставленные вами разрешения остаются в силе до тех пор, пока вы их не отзовете.

Помните

С июня заманчивая идея не изменилась. Это по-прежнему обещание сыграть в GTA 6 до выхода игры от Rockstar, и это обещание по-прежнему невозможно выполнить.

Изменилось то, что стоит за этим. Один подход предусматривал плату. Другой воровал пароли. Этот же запрашивает разрешение на доступ к кошелькам с помощью инструмента, созданного для аренды, перенастройки и перенаправления на то, что больше всего интересует пользователей.

Выход GTA 6 запланирован на 19 ноября 2026 года в тех же магазинах, которыми уже пользуются геймеры. Несанкционированные игровые копии, полученные до релиза, не следует рассматривать как легальные.