MetaMask, fornitore di wallet crypto, ha messo in guardia i suoi utenti: c'è un nuovo phishing bot che tenta di rubare le seed phrase.
In un tweet pubblicato nelle scorse ore, MetaMask ha avvisato i propri utenti che il bot cerca di indirizzarli verso un sito web fittizio, dove viene chiesto loro di inserire informazioni all'interno di un form su Google Docs.
"ALLERTA PHISHING!: c'è in circolazione un nuovo tipo di phishing bot. Arriva da un account che sembra ufficiale, ma con pochi follower. Suggerisce di compilare un modulo di supporto su siti come Google Sheets, è difficile da bloccare.
Richiede l'inserimento della vostra recovery phrase segreta."
PHISHING ALERT!: a new type of phishing bot is becoming active.
— MetaMask (@MetaMask) May 3, 2021
Comes from an account that looks “normal” (but few followers)
Helpfully suggests filling out a support form on a major site like Google sheets (hard to block).
Asks for your secret recovery phrase. pic.twitter.com/EeHumnmzbE
Il modulo chiede la frase di recupero, che può essere usata per ripristinare i wallet degli utenti. MetaMask ha sottolineato che non possiede un servizio di supporto basato su Google Docs, evidenziando che in caso di necessità gli utenti dovrebbero rivolgersi direttamente all’app nella sezione "Get Help", così da evitare potenziali truffe. MetaMask incoraggia inoltre gli utenti a segnalare eventuali truffe tramite la medesima applicazione.
Nonostante l'avviso, sembra che alcuni utenti di MetaMask siano già stati truffati. Un utente di Twitter ha scritto: "Quindi non c’è nessun modo per poter avere indietro i nostri token?"
Per via della sua popolarità, MetaMask è uno dei target preferiti dagli hacker. ConsenSys, lo sviluppatore del software, ha svelato in data 27 aprile che il wallet aveva raggiunto i 5 milioni di utenti attivi mensilmente.
Gli attacchi di phishing sfruttano tecniche di social engineering per indurre gli utenti a rivelare informazioni personali e dettagli dei propri account. A dicembre 2020, MetaMask ha segnalato la presenza di un finto sito web identico quello ufficiale: permetteva ai visitatori di creare dei wallet, ma generava una seed phrase tramite la quale i truffatori potevano controllare i fondi delle vittime.
Non sono soltanto utenti alle prime armi a cadere in queste truffe. A fine 2020, un hacker è riuscito ad ingannare Hugh Karp, fondatore di Nexus Mutual, il quale ha erroneamente trasferito 370.000 NXM, dal valore al tempo di circa 8 milioni di dollari, verso un indirizzo controllato dal criminale.
Anche gli utenti di Ledger sono stati inondati di tentativi di phishing: due grosse violazioni dei server dell'azienda hanno causato un'enorme fuga di dati, come e-mail, numeri di telefono e indirizzi fisici dei clienti.