Что произошло
Злоумышленники провели атаку на инфраструктуру домена kra42.cc: через манипуляции на стороне хостинга/регистратора им удалось перехватить управление доменом. В результате на короткий период оригинальный адрес Kraken вёл на подконтрольную мошенникам страницу. Пользователи, переходившие по старой закладке или не проверявшие источник ссылки, могли попасть на фишинговый ресурс и передать логин, пароль или 2FA.
Масштаб ущерба
Убытки понесли все пользователи и магазины, пользовавшиеся клирнет-ссылкой в момент захвата домена: похищенные средства с кошельков, утрата товаров и выручки продавцов, компенсации. Общий ущерб оценивается в свыше 1 млн долларов США. Инцидент показал, что при компрометации домена у регистратора/хоста под удар попадает каждый, кто заходит по клир-ссылке — поэтому так важно по возможности пользоваться Tor-ссылкой.
Почему Tor-ссылка не подвергалась атакам и взломам
За всю историю маркетплейса на Tor (.onion) ссылку не было нанесено ни атак, ни взломов. Причины:
- Нет публичного DNS и регистратора. Onion-адрес не привязан к домену в интернете: его нельзя «перехватить» через регистратора или хост, как это произошло с kra42.cc. Адрес генерируется криптографически и привязан к сервису, а не к сторонней инфраструктуре.
- Трафик только внутри сети Tor. Соединение идёт от браузера до маркетплейса внутри зашифрованной сети Tor — нет «выхода» в обычный интернет на участке до сервера, поэтому перехват через подмену DNS или BGP невозможен.
- Нет единой точки отказа у хоста. Клирнет-домен зависит от регистратора и хостинга; при компрометации у них злоумышленник может перенаправить домен. Onion-сервис не зависит от того, кто «держит» домен в публичном интернете.
Поэтому для максимальной защиты средств и аккаунта рекомендуется входить через официальную Tor-ссылку Kraken, а клирнет (krslon5.cc, krakenclearssylka.cc) использовать с обязательной проверкой домена перед вводом данных.
Уроки инцидента
- Не полагайтесь только на закладку. Домен мог сменить владельца — всегда сверяйте адрес с актуальным списком на официальном информационном ресурсе.
- Проверяйте домен перед вводом данных. Используйте проверку ссылки и убедитесь, что адрес входит в список разрешённых (сейчас основной — krslon5.cc, резерв — krakenclearssylka.cc).
- Не переходите по ссылкам из чатов и рекламы. Набирайте адрес вручную или берите его только со страницы официальная ссылка Kraken.
Как себя обезопасить сейчас
Актуальный основной домен — https://krslon5.cc/ (без www), резервный — krakenclearssylka.cc. Все адреса проверяются ежедневно. Перед каждым вводом логина и пароля убедитесь, что находитесь на правильном домене. При любых сомнениях не вводите данные и откройте ссылку заново со страницы с рабочим доменом или через Tor.