CrowdStrike та влада США ліквідували російський ботнет для крадіжки криптовалюти

Traders Union
Всі новини
Криптовалюти
Ліквідація російського ботнету

Всі новини

Головні новини

Вибір редакції

Акції

Криптовалюти

Економіка

Валюти

Сировинні товари

Бізнес та добробут

«Голоси» ринку

Гліб Чабанюк

02.09.2026

CrowdStrike та влада США ліквідували російський ботнет для крадіжки криптовалюти — Російський ботнет для викрадення криптовалюти ліквідовано після 8 років.

CrowdStrike у співпраці з правоохоронними органами США знешкодила пов’язаний із Росією ботнет Sality, який протягом останніх восьми років використовувався для викрадення криптовалюти. Шкідливе ПЗ відстежувало скопійовані адреси гаманців Bitcoin та Ethereum і непомітно підміняло їх адресами, що контролювалися зловмисниками.

Ця стаття була перекладена з оригіналу. Читайте оригінальну версію від нашого кореспондента тут.

Згідно з пресрелізом, Sality існує з 2003 року, але згодом його оператори додали компонент для перехоплення криптовалютних переказів. CrowdStrike назвала цю частину шкідливого ПЗ EggJagger.

Атака використовувала поширену серед користувачів криптовалюти практику копіювання довгих адрес гаманців замість ручного введення. Після зараження комп’ютера шкідливе ПЗ постійно відстежувало буфер обміну на наявність рядків, схожих на адреси криптогаманців.

Шкідливе ПЗ викрадало криптовалюту через буфер обміну

Коли користувач копіював адресу для надсилання Bitcoin або Ethereum, EggJagger підміняв її на адресу, що контролювалася зловмисником. Якщо жертва не перевіряла адресу після вставлення та підтверджувала транзакцію, криптовалюта надсилалася зловмиснику без можливості повернення.

За даними CrowdStrike, оператори схеми отримали щонайменше 12,1 мільйона рублів, або близько $150 000 на момент переказів, за вісім років. Значна частина викраденої криптовалюти залишалася невикористаною, і її вартість до початку 2025 року зросла приблизно до $1,35 мільйона на тлі зростання ринку криптовалют.

Ця сума є відносно невеликою для кібероперації, що тривала кілька років, але схема не вимагала складної атаки на блокчейн чи сам криптогаманець. Для викрадення коштів було достатньо зараженого комп’ютера та невміння користувача перевірити адресу отримувача.

Користувачам рекомендується перевіряти принаймні перші та останні символи адреси гаманця після вставлення перед підтвердженням кожної транзакції. Це дозволяє виявити підміну адреси до схвалення незворотного переказу криптовалюти.

Понад 15 000 заражених комп’ютерів ізольовано

Sality не можна було ліквідувати простим відключенням центрального серверу командування та контролю.

Ботнет використовував однорангову архітектуру: заражені комп’ютери спілкувалися напряму та приблизно кожні 40 хвилин перевіряли, чи доступні відомі вузли.

У Sality також не було додаткової автентифікації для вузлів, що підключалися до мережі. CrowdStrike скористалася цією вразливістю, підмінивши адреси справжніх вузлів ботнету на адреси, які контролювали її сервери, ізолювавши понад 15 000 заражених пристроїв від мережі.

Операцію було проведено під час демонстрації на конференції CrowdStrike Day Zero у Лас-Вегасі за участю федеральних правоохоронців. Міністерство юстиції США заявило, що оператори Sality пов’язані з Росією.

Інцидент стався на тлі серії масштабних атак на криптовалютну інфраструктуру. Раніше блокчейн Cronos, тісно пов’язаний із Crypto.com, був повністю зупинений після експлойту найбільшого кредитного протоколу екосистеми Tectonic, з попередніми збитками, оціненими приблизно у $75 мільйонів.

Cronos працює з 2021 року та використовується для забезпечення дешевших транзакцій у продуктах Crypto.com, а CRO залишається одним із ключових активів екосистеми. Атака на Tectonic підкреслила ще одне джерело ризику для власників цифрових активів — вразливості самої інфраструктури DeFi-протоколів.

Раніше ми повідомляли, що гаманці, пов’язані з північнокорейською Lazarus Group, перемістили близько $30 мільйонів у цифрових активах через Hyperliquid. Про ці перекази повідомили аналітики блокчейн-розвідки Arkham.

Цей матеріал може містити думки третіх сторін, жодні дані та інформація на цій веб-сторінці не є інвестиційною порадою згідно з нашим Застереженням. Хоча ми дотримуємося суворої Редакційної неупередженості, цей пост може містити посилання на продукти наших партнерів.