В ходе расследования инцидента 16 ноября 2025 года специалисты по кибербезопасности обнаружили подозрительную активность в логах трафика платформы CypherGoat. Источником перехода выступил домен cyhpergoat.com. Данный случай классифицируется как атака типа typosquatting (подмена опечаток), при которой злоумышленник поменял местами буквы «ph» на «hp», пытаясь ввести в заблуждение невнимательных пользователей.

Более детальный анализ показал, что злоумышленник создал точную визуальную копию легитимного сервиса CypherGoat, воспроизведенную вплоть до пикселя. Домен был зарегистрирован всего за сутки до обнаружения, что указывает на заранее спланированную попытку фишинга и кражи средств.

Однако дальнейшее изучение инфраструктуры угрозы выявило критический изъян в настройках атакующих. У клонированного сайта полностью отсутствовал бэкенд, и он не имел технической возможности выполнять криптообмены. Фактически, ресурс просто перенаправлял весь входящий трафик на настоящие серверы CypherGoat. Следовательно, несмотря на злонамеренные намерения, средства и данные пользователей не подвергались риску.

Для устранения угрозы команда реагирования оперативно связалась с Cloudflare (провайдером DNS для вредоносного домена) и Nicenic (регистратором), предоставив им задокументированные доказательства фишинга.

Параллельно инженеры CypherGoat применили изящное техническое решение для немедленной нейтрализации атаки на своей стороне. Они модифицировали свой бэкенд так, чтобы перехватывать запросы от подделки. В результате весь трафик, шедший через cyhpergoat.com, блокировался, а злоумышленникам отправлялось одно сообщение: Доступ запрещен. Хорошая попытка, поддельный козел.