Мошенничество Betterment с ‘Free Crypto’: Урок о том, как не доверять собственному приложению 🤡

Так вот я сидел, потягивая утренний кофе, когда мой телефон завибрировал сообщением от Betterment, финансового приложения, которому я доверяю больше, чем собственной рассудительности. Оказалось, что это был не дружеский приветственный визит. Нет, это был полномасштабный скам с раздачей криптовалюты, доставленный с теплотой нигерийского принца и легитимностью электронного письма, которое каким-то образом прошло все проверки безопасности, кроме здравого смысла.

Пока крипто-инвесторы ловят иксы и ликвидации, мы тут скучно изучаем отчетность и ждем дивиденды. Если тебе близка эта скука, добро пожаловать.

Купить акции "голубых фишек"

Основные выводы (потому что они вам понадобятся, чтобы выжить в этой неразберихе):

Пользователям Betterment приходили фейковые сообщения о раздаче криптовалюты через уведомления в приложении и электронные письма. Потому что ничто так не говорит о «доверии», как трехчасовой срок для отправки всех своих сбережений.
Мошенничество обещало утроить ваш Bitcoin или Ethereum. Потому что математика сложна, и не быть обманутым тоже.
Сообщения выглядели легитимными благодаря SPF, DKIM и DMARC. Интернет-версия поддельного диплома Гарварда.
Betterment утверждает, что взломов аккаунтов не было. Вероятно. Возможно. Держите пальцы скрещенными.

Тысячи пользователей получили предупреждения, которые выглядели так, будто они пришли от Betterment, включая электронные письма и push-уведомления, кричащие: «ДОВЕРЯЙТЕ НАМ, МЫ ПРОФЕССИОНАЛЫ!» Предложение? Отправьте Bitcoin или ETH для гарантированного трёхкратного возврата. Потому что нет ничего, что говорило бы об «инвестиционной возможности», как обещание умножить в три раза и срок, который заставляет вас панически продавать своего первенца.

«Стороннее приложение» с достаточным доступом, чтобы засорить спамом ваше приложение? Звучит как команда поддержки, которая слишком сблизилась с хакером. Или, может быть, они просто хотели проверить, отправят ли им люди 750 тысяч долларов. В любом случае, социальная инженерия во всей своей красе. 😂

— Jared (@jareds3737)

Инструкции были настолько конкретными, словно они хотели убедиться, что даже самые математически отсталые из нас могли утроить свои деньги… или утроить наше замешательство. Они даже предоставили адреса кошельков и примеры, например: «Отправьте 10 тысяч долларов, получите 30 тысяч долларов!» Как будто криптовалюта – это не уже игра с цифрами, где нельзя отличить прибыль от бреда. OKX, OP, QUANT, Polkadot, Uniswap, Pi Network, CZ, Bybit, SEC, Tron, ETH, Tether.

Как злоумышленники использовали ваше доверие, словно кредитную карту.

Два часа после того, как мошенничество было запущено, Betterment наконец-то нарушили молчание твитом, который звучал как письмо о расставании: «Нам жаль, это были не мы, но мы работаем над этим.» Они обвинили стороннюю систему, что является просто изящным способом сказать: «Поставщик, которому мы, вероятно, платили 20 долларов в час, теперь имеет доступ к центру уведомлений вашего приложения.»

Betterment утверждает, что переход по мошенническим ссылкам не взломал ваш аккаунт. Хорошо знать! Но давайте будем честны – единственное, что было скомпрометировано, это ваша вера в технологии. И, возможно, ваш кошелёк, если вы один из тех несчастных, кто отправил средства до того, как мошенничество было остановлено. (Если это вы, поздравляем! Вы официально присоединились к клубу «Я поверил всплывающему окну». Мы встречаемся каждый вторник в местном ломбарде.)

В продолжении Betterment раскрыл, что мошенничество использовало сторонний маркетинговый инструмент. И угадайте что? Электронные письма имели действительные записи SPF/DKIM/DMARC. Потому что ничто так не говорит о «мошенничестве», как схема, которая проходит те же проверки безопасности, что и ваш банк. Они даже пришли с поддомена, который, казалось, принадлежал Betterment. Хитро? Да. Эффективно? Тоже да. Это как фишинг, но с докторской степенью.

Мы до сих пор не знаем, были ли украдены данные клиентов или какой сторонний поставщик был взломан. Но вот что мы знаем: мошенники теперь используют реальные финансовые приложения в качестве своей службы доставки. Это как купить подделку Rolex у человека, работающего в Tiffany’s. Когда сообщение приходит из вашего собственного приложения, даже самые скептически настроенные из нас могут подумать: «Эй, может быть, на этот раз всё по-другому». Спойлер: это не так.

В крипте, как только ты отправляешь деньги, они исчезают быстрее, чем твое терпение во время Zoom-конференции. Ни возвратов платежей, ни попыток повторить — только холодное, жесткое «Я же тебе говорил» от вселенной.

Эта статья предназначена только для образовательных целей. Если вам нужна финансовая консультация, возможно, не стоит доверять случайным электронным письмам. Но эй, я всего лишь забавный голос в интернете. Проконсультируйтесь со специалистом, или, что еще лучше, с терапевтом.

Смотрите также

2026-01-12 13:30