Фишинг

Мошенники зарабатывают на фишинге в криптовалютах больше, чем на мошенничестве с картами, потому что здесь нет чарджбэка и нет эмитента, которому можно позвонить. Отчет ФБР о мошенничестве с криптовалютами за 2023 год насчитал более 69 000 жалоб и потери свыше 5,6 млрд $, а утекший клиентский файл одного производителя аппаратных кошельков пустил в оборот 272 853 адреса доставки на дом в качестве списка целей. Любой запрос ваших двенадцати или двадцати четырех слов восстановления является кражей, без исключений.

Как это работает

Фишинг против держателей биткоина принимает четыре формы, и каждая требует своей защиты.

Фишинг учетных данных копирует страницу входа на биржу на похожий домен, куда обычно попадают через поисковую рекламу, поддельное письмо «обнаружен необычный вход» или опечатку в URL. Современная версия представляет собой живой релей: все, что вы вводите, включая код из приложения-аутентификатора, в течение секунд переправляется на настоящий сайт, поэтому правильный шестизначный код ничего не доказывает. Устоять перед этим может только аппаратный ключ безопасности, потому что ключ подписывает домен, с которым он действительно общается, и просто отказывается выдавать что-либо пригодное для похожего сайта.

Фишинг сид-фразы обходит счет и целится в кошелек. Он приходит в виде формы «проверки кошелька», поддельного обновления прошивки, агента поддержки, которому нужно «синхронизировать ваше устройство», или всплывающего окна браузера с утверждением, что ваши средства под угрозой. Слова восстановления и есть кошелек: BIP39 превращает эти двенадцать или двадцать четыре слова в каждый приватный ключ, который у вас когда-либо будет, поэтому любой, кто их прочитает, может восстановить весь ваш кошелек на своей машине и опустошить его не спеша. Ни у одного производителя, биржи или службы поддержки нет никакой законной причины их видеть, никогда.

Фишинг подписи просит вас одобрить то, что вы не можете прочитать. Это в основном проблема Ethereum, где одна подпись может предоставить неограниченное разрешение на расходование токена, но пользователи биткоина сталкиваются с его версией, когда их просят подписать незнакомую частично подписанную транзакцию или произвольное сообщение.

Сторона, выдающая себя за поддержку, вливается в социальную инженерию: ответ в X или Telegram от аккаунта с правильным логотипом, появляющийся через несколько минут после того, как вы публично описали проблему. Настоящая поддержка никогда не связывается с вами первой.

Почему это важно при покупке биткоина

Защита, которая действительно останавливает фишинг, состоит в настройках, которые вы делаете один раз, а не бдительность, которую вы поддерживаете вечно.

Попадайте на свою биржу всегда одинаково. Сохраните домен в закладки и пользуйтесь только этой закладкой, никогда результатом поиска и никогда ссылкой в письме. На страницах наших обзоров указан официальный сайт для каждой из 24 бирж, которые освещает этот сайт, что дает вам второе место для сверки URL.

Поставьте на счет аппаратный ключ безопасности. Kraken и Coinbase обе поддерживают ключи FIDO2, и это единственный фактор, который атака с релеем в реальном времени не может переправить. Если ключ недоступен, приложение-аутентификатор все равно лучше текстовых сообщений.

Включите белый список адресов вывода, чтобы украденная сессия не могла придумать получателя.

Относитесь к словам восстановления как к тому, что записывают один раз. Они попадают на бумагу или металл при настройке и никогда не вводятся в смартфон, компьютер, фото, менеджер паролей или форму. Аппаратный кошелек запрашивает их на собственном экране при настройке или восстановлении и ни в какое другое время. Если их запрашивает какое-либо программное обеспечение, это программное обеспечение враждебно, каким бы убедительным ни был логотип.

Наконец, не спешите с чем-либо, что приходит с крайним сроком. Срочность является единственным ингредиентом, который есть в каждом фишинговом сообщении, потому что человек, у которого есть время проверить адресную строку, перестает быть жертвой.

Список клиентов Ledger, который используют до сих пор спустя годы

В июле 2020 года Ledger сообщила, что ее база данных электронной коммерции и маркетинга была взломана, что раскрыло примерно один миллион адресов электронной почты вместе с меньшим набором подробных записей клиентов.

В декабре 2020 года полный дамп был опубликован открыто: 272 853 записи заказов, содержащих имена, номера телефонов и физические адреса доставки людей, купивших аппаратный кошелек. Это список домохозяйств, о которых известно, что они владеют криптовалютой, вместе с тем, где они живут.

То, что последовало, и есть причина, по которой эта страница называет этот инцидент. Жертвы получали фишинговые письма и сообщения, оформленные как уведомления безопасности Ledger, еще годы после этого. В 2021 году некоторые получили посылки с поддельными устройствами Ledger и запиской, утверждавшей, что оригинал заменяют по соображениям безопасности, и инструкциями ввести существующую фразу восстановления в новое оборудование. Другие получили сообщения о вымогательстве со ссылкой на их домашний адрес.

Урок выходит за рамки одной компании. Данных, взятых из маркетинговых систем производителя, достаточно, чтобы сделать фишинг личным и правдоподобным, и они не истекают. Исходите из того, что компания, у которой вы покупали оборудование или услуги для биткоина, в какой-то момент допустит утечку ваших данных, и выстройте такую конфигурацию, при которой эта утечка будет неприятной, а не дорогой.

Фишинг vs социальная инженерия

Фишинг представляет собой прием внутри более широкой практики социальной инженерии. Социальной инженерией называют любую атаку, которая убеждает человека действовать против собственных интересов; фишинг является ее массовой версией на основе сообщений, рассылаемая тысячам людей в надежде, что откликнется часть. Различие важно при выборе защиты. Фишинг в значительной степени решается технологиями, поскольку ключи безопасности, закладки и белые списки работают независимо от того, внимательны вы или нет. Более широкая социальная инженерия, особенно живой телефонный звонок, подготовленный для вас, требует вместо этого процедурных правил: никогда не переводите средства потому, что входящий контакт вас об этом попросил.

Фишинг vs схема «разделки свиньи» (pig butchering)

Фишинг хочет получить учетные данные в следующие шестьдесят секунд; схема «разделки свиньи» (pig butchering) хочет отношений в течение следующих шести месяцев. Фишинговое сообщение выдает себя за сервис, которым вы уже пользуетесь, и рассчитано на немедленное действие, до того как вы подумаете. Схема «разделки свиньи» (pig butchering) строит доверие неделями обычной беседы, затем представляет инвестиционную платформу, которая показывает фальшивую прибыль и разрешает ранний вывод, чтобы доказать, что работает. Потери от второй обычно гораздо больше, потому что жертва финансирует их добровольно, многократно и деньгами, которые она пошла и собрала.