Pirackie kopie filmu Odyseja są według doniesień wykorzystywane do atakowania portfeli kryptowalutowych złośliwym oprogramowaniem Lumma Stealer — informują o tym badacze bezpieczeństwa i media — co sprawia, że poszukiwanie darmowej kopii filmu zamienia się w bezpośrednie zagrożenie dla posiadaczy aktywów cyfrowych.

Jak pirackie pliki rozpowszechniają złośliwe oprogramowanie

Kampania koncentruje się na nieoficjalnych, pirackich kopiach filmu Odyseja, a nie na legalnych serwisach streamingowych czy kanałach zakupu. Zamiast dostarczać film, pliki te pełnią rolę przynęty zaprojektowanej tak, aby instalować złośliwe oprogramowanie na urządzeniach osób, które je pobierają — jak informuje Bitdefender.

Złośliwym oprogramowaniem zidentyfikowanym w tej kampanii jest Lumma Stealer — rodzina infostealerów wykorzystywana do wykradania poufnych danych z zainfekowanych komputerów. Relacje na temat kampanii bezpośrednio wiążą pirackie pliki z Lumma Stealer — jak szczegółowo opisuje Decrypt. Wykorzystywanie pirackich materiałów rozrywkowych jako przynęty wpisuje się w wzorzec dystrybucji udokumentowany od lat przez producentów oprogramowania zabezpieczającego: infostealery są rutynowo rozpowszechniane za pośrednictwem fałszywych lub „crackowanych” plików do pobrania, a nie poprzez klasyczne ataki sieciowe.

Potwierdzona w doniesieniach zależność jest wąska, lecz jasna: pobranie pliku to metoda dostarczenia, a Lumma Stealer to ładunek. Użytkownicy, którzy unikają pirackich źródeł i korzystają z legalnych kanałów, nie są narażeni na tę konkretną przynętę.

Dlaczego Lumma Stealer stanowi poważne zagrożenie dla posiadaczy portfeli

Dla użytkowników kryptowalut głównym powodem niepokoju jest to, że Lumma Stealer został zaprojektowany do przejmowania dostępu do portfela i powiązanych danych uwierzytelniających, a nie jedynie do zakłócania działania urządzenia. Lumma, po raz pierwszy zaobserwowany w 2022 roku i sprzedawany w modelu subskrypcyjnym malware-as-a-service poprzez podziemne fora i kanały na Telegramie, według dokumentacji wykrada przechowywane w przeglądarkach hasła, pliki cookie, dane autouzupełniania i dane kart, pliki i rozszerzenia portfeli kryptowalutowych, a także wykonuje zrzuty ekranu na zainfekowanych komputerach. To skupienie na kradzieży danych uwierzytelniających czyni infostealer niebezpiecznym dla każdego, kto posiada aktywa cyfrowe.

Sformułowania użyte w doniesieniach wymagają precyzji. Opisują one portfele kryptowalutowe jako obiekt ataku, co nie jest tożsame z potwierdzoną kradzieżą w każdym przypadku. Ryzyko polega na ujawnieniu danych portfela i informacji logowania po zainfekowaniu komputera.

Lumma Stealer przyciągnął uwagę znacznie wykraczającą poza tę pojedynczą kampanię. Microsoft opisał szeroko zakrojoną, skoordynowaną akcję przeciwko temu narzędziu, uznawanemu za jedno z ulubionych narzędzi cyberprzestępców — we własnym opisie operacji. W ramach tej akcji z maja 2025 roku Microsoft poinformował, że przejął około 2 300 domen na mocy nakazu sądu amerykańskiego, natomiast Departament Sprawiedliwości USA przejął dodatkową infrastrukturę Lummy w koordynacji z Europolem i japońskim JPCERT/CC. Microsoft podał również, że w tygodniach poprzedzających akcję ponad 394 000 urządzeń z systemem Windows kontaktowało się z domenami dowodzenia i kontroli Lummy, oraz zaznaczył, że operatorzy ponownie rejestrowali domeny po wcześniejszych próbach ich wyłączenia — oznacza to, że użytkownicy nie mogą w kwestii ochrony polegać wyłącznie na takich akcjach.

Kwestia bezpieczeństwa portfeli współbrzmi z innymi niedawnymi incydentami, w których ujawnienie danych uwierzytelniających i danych klientów narażało użytkowników kryptowalut na ryzyko, w tym ze śledztwem w sprawie naruszenia danych firmy trzeciej, dotyczącym Bits of Gold, oraz przecina się z debatami o samodzielnym przechowywaniu kluczy (self-custody), takimi jak doniesienia o Bitstamp i wpłatach z portfeli self-custody.

Na co czytelnicy powinni zwracać uwagę

Najjaśniejszy przekaz prewencyjny wynikający z doniesień jest prosty: należy unikać pirackich kopii filmu Odyseja i podobnych nieoficjalnych ofert oprogramowania. Źródła nieoficjalne należy traktować jako bezpośrednie zagrożenie dla bezpieczeństwa portfela, a nie wyłącznie jako problem piractwa.

Szerszy wniosek z tej kampanii jest taki, że przynęty rozrywkowe są wykorzystywane przeciwko użytkownikom kryptowalut, wplatając próby kradzieży portfeli w coś tak zwyczajnego jak pobranie filmu. Dla posiadaczy aktywów cyfrowych czujność co do tego, skąd pochodzą pliki, pozostaje praktyczną obroną przed tą klasą zagrożeń, ponieważ infostealery mogą po cichu wykradać poufne dane, dając przy tym niewiele oczywistych oznak, że urządzenie zostało zainfekowane.