Gefälschte "Pudgy World"-Website lockt Gamer dazu, Krypto-Wallet-Passwörter preiszugeben

Eine Phishing-Kampagne, die Spieler des Pudgy World-Spiels von Pudgy Penguins ins Visier nimmt, wurde Tage nach dem Start des Titels am 10.03. identifiziert, wobei eine gefälschte Website verwendet wird, um Kryptowährungs-Wallet-Anmeldedaten zu stehlen.

Das Cybersicherheitsunternehmen Malwarebytes erklärte, dass die Seite legitime Wallet-Verbindungsabläufe imitiert, die für Gegenstände im Spiel und digitale Sammlerstücke verwendet werden. 

Die unter pudgypengu-gamegifts[.]live gehostete Seite enthält 11 maßgeschneiderte Wallet-Schnittstellen, die verschiedene Anbieter nachahmen sollen, was auf ein koordiniertes und ressourcenintensives Setup hinweist.

Die praktische Konsequenz daraus ist, dass automatisierte Scan-Tools die anfängliche Seite wahrscheinlich als harmlos bewerten, weil sie sich auf ihrer Infrastruktur so verhält. Die bösartige Funktionalität wird nie geladen, es sei denn, der Server des Angreifers entscheidet, dass der Besucher es wert ist, angegriffen zu werden.

Stefan Dasic, Malwarebytes Labs.

Verwandt: US-Senat plant Abstimmung über wegweisendes Krypto-Marktstrukturgesetz im April

Weder Pudgy Penguins noch Igloo Inc. haben eine öffentliche Stellungnahme abgegeben.

Hardware-Wallet-Falle

Der Angriff konzentriert sich auf die Extraktion von Seed-Phrasen, insbesondere von Hardware-Wallet-Nutzern. Wenn der gefälschte Verbindungsprozess fehlschlägt, werden Nutzer zu einer manuellen Eingabeoption weitergeleitet, die Wiederherstellungsanmeldedaten anfordert, die dann von den Angreifern erfasst werden.

Die Seite enthält auch Ausweichmechanismen, um einer Entdeckung zu entgehen. Sie prüft auf virtuelle Maschinen, automatisierte Analysetools und andere Forschungsumgebungen. 

Wenn solche Bedingungen erkannt werden, werden die bösartigen Komponenten nicht geladen, was die Exposition gegenüber Sicherheitsforschern einschränkt.

Dies ist nicht die erste Phishing-Kampagne im Zusammenhang mit Pudgy Penguins. Im Dezember 2024 nutzte eine separate Operation bösartige Google Ads und eingebettete Skripte, um Krypto-Wallets zu identifizieren, bevor Nutzer auf betrügerische Seiten weitergeleitet wurden.

Die von Igloo Inc. verwaltete Pudgy Penguins NFT-Sammlung hat erheblich an Wert verloren. Ihr Mindestpreis ist um 88,3 % von 36,33 ETH im Dezember 2024 auf 4,10 ETH oder etwa 8.500 US-Dollar (12.000 AU-Dollar) gefallen.

Phishing bleibt ein anhaltendes Risiko auf Krypto-Plattformen (und im Grunde überall im Internet). FBI-Daten für 2024 verzeichneten 193.407 Phishing- und Spoofing-Vorfälle mit gemeldeten Verlusten von über 70 Millionen US-Dollar (107 Millionen AU-Dollar).

Verwandt: Kalshi bezeichnet Arizona-Anklagen als „Übergriff" im Prediction Market Showdown

Der Beitrag Gefälschte „Pudgy World"-Seite lockt Gamer dazu, Krypto-Wallet-Passwörter preiszugeben erschien zuerst auf Crypto News Australia.