Сбой ротации ключа лишил операторов Inferno Drainer доступа

Inferno Drainer, экосистема криптодрейнеров, работающая по модели «как услуга», появилась в 2022 году и использовала несколько названий: AngelFerno, SeedFerno, SolFerno, TRONFerno, SUIFerno и XRPFerno. По имеющимся данным, с 2022 по 2023 год первоначальная деятельность группы привела к краже примерно 80 миллионов долларов США. Позднее экосистема вновь проявила активность, используя слияния и ребрендинг.

Распространение и инфраструктура Inferno Drainer

Аффилированные лица Inferno распространяют фишинговые страницы, поддельные сайты для минтинга и аирдропов, PHP-релейные загрузчики и используют скомпрометированные легитимные домены. В одном из случаев исследователи зафиксировали перехват DNS на уровне регистратора: трафик доверенного сайта DeFi перенаправили на код для вывода средств.

Экосистема поддерживает активы на базе EVM примерно в 28 цепочках и нацелена на 165 токенов в 11 цепочках, уделяя особое внимание стейблкоинам и токенам ликвидного стейкинга. Для развёртывания используется CREATE2, с помощью которого генерируются более 17 000 новых одноразовых контрактов-дрейнеров. Полезная нагрузка работает на стороне клиента, а зашифрованная конфигурация в блокчейне используется для получения командных конечных точек. Исследователи также выявили в командной инфраструктуре шифрование RSA и многослойное шифрование AES, а между компонентами EVM и Solana обнаружили мост.

Инфраструктура опирается на он-чейн контракт команд SecureProxy и ротационные конечные точки Cloudflare Worker. Аффилиатами управляют через ботов в Telegram и операторские панели, где автоматизированы их идентификация, выплаты, обмен токенов и управление развёртыванием. Распределение доходов обеспечивают смарт-контракты. Более крупные объёмы средств могут направляться операторам полностью.

Механизмы вывода средств и полезная нагрузка

В трёх проанализированных поколениях полезной нагрузки основная функциональность в значительной степени не менялась. К шести основным механизмам вывода средств относились:

• заказы на маркетплейсах Seaport/Blur;
• подписи Permit и Permit2;
• одобрения или увеличение разрешённых лимитов для токенов ERC-20;
• вызов setApprovalForAll для NFT;
• немедленные переводы нативных активов;
• извлечение сид-фраз.

Извлечение сид-фраз нацелено прежде всего на пользователей аппаратных кошельков, в том числе владельцев Ledger и Trezor. Среди приёмов обфускации полезной нагрузки исследователи описали упакованный байткод функций, вводящие в заблуждение проверки длины, пользовательские идентификаторы и строки, зашифрованные алгоритмом AES.

Сбой ротации ключа и изменения сборок

В мае 2026 года попытка ротации ключа подписи провалилась. Базовый контракт конфигурации использовал неизменяемый ключ администратора и не имел функции смены администратора. Доступ операторов оказался заблокирован на 23 дня.

Полезная нагрузка 2026 года в основном повторяла предыдущую сборку в переупакованном виде и получила ротационный канал управления. Логика вывода средств существенно не изменилась. В отчёте проблемы последних сборок названы признаками снижения уровня поддержки и технических возможностей, несмотря на продолжающуюся активность экосистемы и наличие крупной базы аффилированных лиц.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.