CrowdStrike i amerykańskie władze likwidują rosyjski botnet wykorzystywany do kradzieży kryptowalut

Traders Union
Wszystkie wiadomości
Kryptowaluty
Likwidacja rosyjskiego botnetu

Wszystkie wiadomości

Najważniejsze wydarzenia

Wybór redakcji

Akcje

Kryptowaluty

Ekonomia

Waluty

Surowce

Biznes i bogactwo

Głosy rynku

Hlib Chabaniuk

02.09.2026

CrowdStrike i amerykańskie władze likwidują rosyjski botnet wykorzystywany do kradzieży kryptowalut — Rosyjski botnet kradnący kryptowaluty został zlikwidowany po 8 latach.

CrowdStrike, współpracując z amerykańskimi organami ścigania, zakłócił działanie powiązanego z Rosją botnetu Sality, który przez ostatnie osiem lat był wykorzystywany do kradzieży kryptowalut. Złośliwe oprogramowanie monitorowało kopiowane adresy portfeli Bitcoin i Ethereum, po cichu zastępując je adresami kontrolowanymi przez atakujących.

Ten artykuł został przetłumaczony z oryginału. Przeczytaj oryginalną wersję przygotowaną przez naszego korespondenta tutaj.

Według komunikatu prasowego Sality istnieje od 2003 roku, jednak jego operatorzy później dodali komponent przeznaczony do przechwytywania transferów kryptowalut. CrowdStrike nazwał tę część złośliwego oprogramowania EggJagger.

Atak wykorzystywał powszechną praktykę użytkowników kryptowalut polegającą na kopiowaniu długich adresów portfeli zamiast ich ręcznego wpisywania. Po zainfekowaniu komputera, złośliwe oprogramowanie nieustannie monitorowało schowek w poszukiwaniu ciągów znaków przypominających adresy portfeli kryptowalut.

Złośliwe oprogramowanie kradło kryptowaluty przez schowek

Gdy użytkownik kopiował adres, aby wysłać Bitcoina lub Ethereum, EggJagger podmieniał go na adres kontrolowany przez atakującego. Jeśli ofiara nie zweryfikowała adresu po wklejeniu i zatwierdziła transakcję, kryptowaluta trafiała do atakującego i nie było możliwości cofnięcia transferu.

Według CrowdStrike, operatorzy tego schematu otrzymali co najmniej 12,1 mln rubli, czyli około 150 000 dolarów w momencie transferów, w ciągu ośmiu lat. Większość skradzionych kryptowalut pozostała nietknięta, a jej wartość wzrosła do około 1,35 mln dolarów na początku 2025 roku wraz ze wzrostem rynku kryptowalut.

Kwota ta jest stosunkowo niewielka jak na operację cyberprzestępczą trwającą kilka lat, jednak schemat nie wymagał zaawansowanego ataku na blockchain czy sam portfel kryptowalutowy. Wystarczyło zainfekowanie komputera i brak weryfikacji adresu odbiorcy przez użytkownika, aby ukraść środki.

Zaleca się użytkownikom sprawdzanie przynajmniej pierwszych i ostatnich znaków adresu portfela po jego wklejeniu przed zatwierdzeniem każdej transakcji. Pozwoli to wykryć podmianę adresu przed nieodwracalnym transferem kryptowaluty.

Ponad 15 000 zainfekowanych komputerów zostało odizolowanych

Sality nie można było zlikwidować po prostu przez wyłączenie centralnego serwera dowodzenia i kontroli.

Botnet wykorzystywał architekturę peer-to-peer, w której zainfekowane komputery komunikowały się bezpośrednio i co około 40 minut sprawdzały, czy znani partnerzy są nadal dostępni.

Sality nie posiadał również dodatkowej autoryzacji dla węzłów łączących się z siecią. CrowdStrike wykorzystał tę słabość, zastępując adresy prawdziwych partnerów botnetu adresami kontrolowanymi przez swoje serwery, izolując ponad 15 000 zainfekowanych urządzeń od sieci.

Operacja została przeprowadzona podczas demonstracji na konferencji CrowdStrike Day Zero w Las Vegas z udziałem federalnych organów ścigania. Departament Sprawiedliwości USA poinformował, że operatorzy Sality byli powiązani z Rosją.

Incydent ten ma miejsce w serii poważnych ataków na infrastrukturę kryptowalutową. Wcześniej blockchain Cronos, ściśle powiązany z Crypto.com, został całkowicie zatrzymany po wykorzystaniu luki w Tectonic, największym protokole pożyczkowym w tym ekosystemie, a wstępne straty oszacowano na około 75 milionów dolarów.

Cronos działa od 2021 roku i służy do zapewniania tańszych transakcji w produktach Crypto.com, podczas gdy CRO pozostaje jednym z kluczowych aktywów ekosystemu. Atak na Tectonic uwidocznił kolejne źródło ryzyka dla posiadaczy aktywów cyfrowych — luki w samej infrastrukturze protokołów DeFi.

Wcześniej informowaliśmy, że portfele powiązane z północnokoreańską grupą Lazarus przesłały około 30 milionów dolarów w aktywach cyfrowych przez Hyperliquid. Transfery zostały zidentyfikowane przez analityków platformy wywiadu blockchain Arkham.

Ten materiał może zawierać opinie osób trzecich, żadne dane ani informacje na tej stronie nie stanowią porady inwestycyjnej zgodnie z naszym Zastrzeżeniem. Chociaż przestrzegamy surowych Zasad Redakcyjnych, ten post może zawierać odniesienia do produktów naszych partnerów.

Czy spodobał Ci się ten artykuł?