Phishing

Le criptovalute pagano i phisher meglio di quanto faccia la frode con carta, perché non c'è alcun chargeback né un emittente da chiamare. Il rapporto dell'FBI sulle frodi con criptovalute del 2023 ha contato più di 69.000 denunce e perdite superiori a 5,6 miliardi di dollari, e il file clienti trapelato da un produttore di wallet hardware ha messo in circolazione 272.853 indirizzi di consegna a domicilio come lista di obiettivi. Qualunque cosa chieda le tue dodici o ventiquattro parole di recupero è un furto, senza eccezioni.

Come funziona

Il phishing contro chi detiene bitcoin assume quattro forme, che richiedono difese diverse.

Il phishing delle credenziali copia la pagina di accesso di un exchange su un dominio simile, di solito raggiunto tramite un annuncio di ricerca, un'email falsa di "accesso insolito rilevato" o un URL digitato male. La versione moderna è un inoltro in tempo reale: qualunque cosa tu digiti, compreso il codice della tua app di autenticazione, viene inoltrata al sito reale in pochi secondi, quindi il fatto che il codice a sei cifre sia corretto non dimostra nulla. Solo una chiave di sicurezza hardware sopravvive a questo, perché la chiave firma il dominio con cui sta realmente parlando e semplicemente rifiuta di produrre qualcosa di utilizzabile per un sito simile.

Il phishing della frase di recupero salta l'account e punta al wallet. Arriva come un modulo di "convalida del wallet", un falso aggiornamento del firmware, un operatore di supporto che deve "sincronizzare il tuo dispositivo" o un popup del browser che sostiene che i tuoi fondi sono a rischio. Le parole di recupero sono il wallet: il BIP39 trasforma quelle dodici o ventiquattro parole in ogni chiave privata che tu possa mai detenere, quindi chiunque le legga può ricostruire l'intero tuo wallet sulla propria macchina e svuotarlo con calma. Nessun produttore, exchange o team di supporto ha mai un motivo legittimo per vederle.

Il phishing della firma ti chiede di approvare qualcosa che non sai leggere. È soprattutto un problema di Ethereum, dove una sola firma può concedere un'autorizzazione di spesa illimitata su un token, ma gli utenti di bitcoin ne incontrano una versione quando viene chiesto di firmare una transazione parzialmente firmata sconosciuta o un messaggio arbitrario.

Il supporto impersonato si mescola all'ingegneria sociale: una risposta su X o Telegram da un account con il logo giusto, che compare pochi minuti dopo che hai pubblicato un problema. Il supporto autentico non ti contatta mai per primo.

Perché questo conta quando compri bitcoin

Le difese che fermano davvero il phishing sono scelte di configurazione che fai una volta, non una vigilanza che devi mantenere per sempre.

Raggiungi il tuo exchange sempre allo stesso modo. Salva il dominio nei segnalibri e usa solo quel segnalibro, mai un risultato di ricerca e mai un link in un'email. Le nostre pagine di recensione elencano il sito web ufficiale per ciascuno dei 24 exchange che questo sito copre, il che ti dà un secondo posto con cui confrontare un URL.

Aggiungi una chiave di sicurezza hardware all'account. Kraken e Coinbase accettano entrambi le chiavi FIDO2, e sono l'unico fattore che un attacco di inoltro in tempo reale non può trasmettere. Se una chiave non è un'opzione, un'app di autenticazione batte comunque gli SMS.

Attiva una lista bianca degli indirizzi di prelievo, così che una sessione rubata non possa inventare una destinazione.

Tratta le parole di recupero come qualcosa che si scrive una volta sola. Vanno su carta o metallo durante la configurazione e non vengono mai digitate in uno smartphone, in un computer, in una foto, in un gestore di password o in un modulo. Un wallet hardware le chiede sul proprio schermo durante la configurazione o il recupero, e in nessun altro momento. Se un software qualsiasi le chiede, quel software è ostile, per quanto convincente sia il logo.

Infine, rallenta su qualunque cosa arrivi con una scadenza. L'urgenza è l'unico ingrediente che ogni messaggio di phishing condivide, perché una persona che ha il tempo di controllare la barra degli indirizzi smette di essere una vittima.

La lista clienti di Ledger, ancora sfruttata anni dopo

A luglio 2020 Ledger ha reso noto che il suo database di e-commerce e marketing era stato violato, esponendo circa un milione di indirizzi email insieme a un insieme più piccolo di registrazioni dettagliate dei clienti.

A dicembre 2020 il dump completo è stato pubblicato apertamente: 272.853 registrazioni di ordini contenenti nomi, numeri di telefono e indirizzi fisici di spedizione di persone che avevano acquistato un wallet hardware. È una lista di nuclei familiari noti per detenere criptovalute, completa di dove abitano.

Quello che è seguito è il motivo per cui questa pagina nomina l'incidente. Le vittime hanno ricevuto email e messaggi di phishing con l'aspetto di avvisi di sicurezza di Ledger per anni dopo. Nel 2021, alcuni hanno ricevuto pacchi contenenti dispositivi Ledger contraffatti con un biglietto che sosteneva che l'originale veniva sostituito per ragioni di sicurezza, e istruzioni per inserire la frase di recupero esistente nel nuovo hardware. Altri hanno ricevuto messaggi di estorsione che citavano il loro indirizzo di casa.

La lezione vale oltre una singola azienda. I dati presi dai sistemi di marketing di un produttore bastano a rendere il phishing personale e credibile, e non scadono. Dai per scontato che un'azienda a cui hai comprato hardware o servizi bitcoin farà trapelare i tuoi dati a un certo punto, e costruisci una configurazione in cui quella fuga di dati sia imbarazzante invece che costosa.

Phishing vs ingegneria sociale

Il phishing è una tecnica dentro la pratica più ampia dell'ingegneria sociale. L'ingegneria sociale indica qualunque attacco che persuade una persona ad agire contro il proprio interesse; il phishing è la versione prodotta in massa e basata su messaggi, inviata a migliaia di persone nella speranza che una frazione risponda. La distinzione conta quando scegli le difese. Il phishing è in gran parte risolvibile con la tecnologia, dato che le chiavi di sicurezza, i segnalibri e le liste bianche funzionano sia che tu stia prestando attenzione sia che no. L'ingegneria sociale più ampia, soprattutto una telefonata dal vivo su misura per te, richiede invece regole procedurali: non spostare mai fondi perché un contatto in entrata te lo ha chiesto.

Phishing vs truffa nota come "pig butchering"

Il phishing vuole una credenziale nei prossimi sessanta secondi; la truffa nota come "pig butchering" vuole una relazione nel corso dei prossimi sei mesi. Un messaggio di phishing impersona un servizio che già usi ed è progettato per far agire subito, prima di pensare. La truffa nota come "pig butchering" costruisce fiducia attraverso settimane di conversazione ordinaria, poi introduce una piattaforma di investimento che mostra profitti falsi e consente un prelievo anticipato per dimostrare che funziona. Le perdite della seconda sono in genere molto maggiori, perché la vittima le finanzia volontariamente, ripetutamente e con denaro che è andata a procurarsi.