Измамници изпращат физически писма до притежатели на криптовалута, които копират външния вид на официалните известия на IRS (Данъчната служба на САЩ).
Писмата съобщават на получателите, че трябва да се регистрират в така наречения Портал за съответствие на дигиталните активи (Digital Asset Compliance Portal) преди крайния срок, в противен случай рискуват санкции.
„Ако получите писмо, за което се твърди, че е от IRS, и което ви инструктира да се регистрирате в Портал за съответствие на дигиталните активи, не отговаряйте. IRS не го е изпратила. IRS не управлява такъв портал. Това е измама“, пишат от IRS.
Coinbase, съвместно с компанията за разузнаване на заплахи DarkTower, публикува собствен анализ на схемата, след като клиент съобщи, че е получил едно от писмата.
DarkTower проследи инфраструктурата на сайта до домейн, регистриран чрез регистратор в Хонконг само няколко дни преди изпращането на писмата, хостван в Румъния на инфраструктура, която преди това е била свързвана с фишинг страници, имитиращи банки и служби за доставка.
Писмото пристига в обикновен плик на домашен адрес, оформено с логата на Министерството на финансите и IRS, номер на известието, диапазон от данъчни години и краен срок, целящ да принуди получателя да действа, преди да е обмислил ситуацията. То включва и QR код.
Сканирането му води до сайт, който копира външния вид на правителствен портал, включително банер за „официален уебсайт на правителството на Съединените щати“.
Оттам нататък измамата се развива на етапи. От посетителя се иска да избере коя борса или портфейл използва, след това да оцени стойността на своите активи и накрая да въведе телефонен номер, за да може „представител“ да се обади за завършване на „верификацията“.
„Това телефонно обаждане е същинската атака“, отбелязват от Coinbase.
Представяйки се за служители по поддръжката, те притискат жертвата да предаде еднократен код, парола или начална фраза (seed phrase), или да прехвърли средства в „безопасен“ портфейл, който атакуващите контролират.
DarkTower тества процеса с временен телефонен номер. След щракване върху бутона за продължаване, сайтът е спрял да реагира. Не е последвало обратно обаждане и не се е заредила следваща страница. Според Coinbase това оставя две възможности: или обаждането е планирано за по-късно, или телефонният номер и изборът на борса се събират за бъдещ опит за социално инженерство.
Всеки, който вече е въвел информация, трябва да промени паролата си за борсата, да провери настройките си за двуфакторна автентификация и да се свърже с борсата чрез нейното собствено приложение или сайт, а не чрез номер, предоставен в писмото или от обаждащия се. Снимки на екрана, писма и имейли си струва да бъдат запазени като доказателство.
„Престъпниците продължават да експлоатират общественото доверие в правителствените агенции, като създават убедителни фалшиви уебсайтове и официално изглеждаща кореспонденция“, заяви ръководителят на криминалното разследване на IRS (IRS-CI) Джарод Купман.
„Преди да отговорите на неочаквани искания за лична информация, спрете, проверете източника и докладвайте за потенциални измамни схеми на правоприлагащите органи“, добави Купман.