CrowdStrike и власти США ликвидировали российский ботнет для кражи криптовалюты

Traders Union
Все финансовые новости
Криптовалюты
Ликвидация российского ботнета

Все новости

Главные новости

Выбор редакции

Акции

Криптовалюты

Экономика

Валюты

Товары

Бизнес и благосостояние

Взгляды экспертов

Глеб Чабанюк

02.09.2026

CrowdStrike и власти США ликвидировали российский ботнет для кражи криптовалюты — Ботнет для кражи криптовалюты ликвидирован

CrowdStrike совместно с правоохранительными органами США нарушила работу связанного с Россией ботнета Sality, который на протяжении восьми лет использовался для кражи криптовалюты. Вредоносное ПО отслеживало скопированные адреса кошельков Bitcoin и Ethereum и незаметно заменяло их на адреса, контролируемые злоумышленниками.

Эта статья была переведена с оригинала. Читайте оригинальную версию от нашего корреспондента здесь.

Согласно пресс-релизу, Sality существует с 2003 года, но позже его операторы добавили компонент для перехвата криптовалютных переводов. CrowdStrike назвала эту часть вредоносного ПО EggJagger.

Атака использовала распространенную среди пользователей криптовалют практику копирования длинных адресов кошельков вместо их ручного ввода. После заражения компьютера вредоносная программа постоянно отслеживала буфер обмена на наличие строк, похожих на адреса криптовалютных кошельков.

Вредоносное ПО похищало криптовалюту через буфер обмена

Когда пользователь копировал адрес для отправки Bitcoin или Ethereum, EggJagger подменял его на адрес, контролируемый злоумышленником. Если жертва не проверяла адрес после вставки и подтверждала транзакцию, криптовалюта отправлялась злоумышленнику без возможности отмены перевода.

По данным CrowdStrike, операторы схемы получили не менее 12,1 миллиона рублей, или около $150 000 на момент переводов, за восемь лет. Большая часть украденной криптовалюты оставалась нетронутой, а ее стоимость к началу 2025 года выросла примерно до $1,35 млн на фоне роста рынка.

Сумма относительно невелика для кибероперации, продолжавшейся несколько лет, однако схема не требовала сложной атаки на сам блокчейн или криптокошелек. Для кражи средств было достаточно зараженного компьютера и невнимательности пользователя при проверке адреса получателя.

Пользователям рекомендуется проверять хотя бы первые и последние символы адреса кошелька после его вставки перед подтверждением каждой транзакции. Это поможет выявить подмену адреса до того, как будет одобрена необратимая отправка криптовалюты.

Более 15 000 зараженных компьютеров были изолированы

Sality нельзя было ликвидировать простым отключением центрального сервера управления и контроля.

Ботнет использовал одноранговую архитектуру: зараженные компьютеры связывались напрямую и примерно каждые 40 минут проверяли доступность известных узлов.

В Sality также отсутствовала дополнительная аутентификация для узлов, подключающихся к сети. CrowdStrike воспользовалась этой уязвимостью, заменив адреса реальных участников ботнета на адреса, контролируемые своими серверами, изолировав более 15 000 зараженных устройств от сети.

Операция была проведена во время демонстрации на конференции CrowdStrike Day Zero в Лас-Вегасе при участии федеральных правоохранительных органов. Министерство юстиции США заявило, что операторы Sality связаны с Россией.

Инцидент произошел на фоне серии крупных атак на инфраструктуру криптовалют. Ранее блокчейн Cronos, тесно связанный с Crypto.com, был полностью остановлен после взлома Tectonic — крупнейшего кредитного протокола в его экосистеме, с предварительными убытками, оцениваемыми примерно в $75 млн.

Cronos работает с 2021 года и используется для обеспечения более дешевых транзакций в продуктах Crypto.com, а CRO остается одним из ключевых активов экосистемы. Атака на Tectonic подчеркнула еще один источник риска для держателей цифровых активов — уязвимости в инфраструктуре самих DeFi-протоколов.

Ранее мы сообщали, что кошельки, связанные с северокорейской Lazarus Group, переместили около $30 млн в цифровых активах через Hyperliquid. Переводы были выявлены аналитиками платформы блокчейн-разведки Arkham.

Отказ от ответственности: Включает мнения третьих лиц. Не является финансовой рекомендацией. Может включать спонсируемый контент.