Подмена SIM-карты

Слабое звено здесь не биржа, а ваш мобильный оператор: обманутый или подкупленный сотрудник может перенести номер за считаные минуты. В 2021 году ФБР зафиксировало 1611 жалоб на подмену SIM-карты, а потери превысили 68 млн $, тогда как за три предыдущих года в совокупности жалоб было 320. Если любую учетную запись, связанную с вашим биткоином, можно восстановить по текстовому сообщению, ваша телефонная компания фактически является вашим кастодианом.

Как это работает

Подмена SIM-карты представляет собой операцию в службе поддержки клиентов, которую выполняет человек, не являющийся клиентом.

Атакующие начинают со сбора информации. Утекшие базы данных дают имя, адрес, дату рождения и последние четыре цифры карты. Социальные сети дают остальные ответы на вопросы о знании фактов, которые операторы все еще задают. Публичное хвастовство криптовалютными запасами дает мотив, поэтому любой, кто выкладывает скриншоты портфеля, есть в каком-то списке.

Затем наступает перенос номера. Есть три пути, и все три по-прежнему используются: прийти в розничный салон с убедительным поддельным удостоверением личности, позвонить на линию поддержки и пройти проверочные вопросы или заплатить инсайдеру. В судебных делах в США неоднократно фигурировали сотрудники оператора или авторизованного розничного продавца, получавшие по несколько сотен долларов за каждый перенос, поэтому «мой оператор никогда так не поступит» не является моделью безопасности.

В тот момент, когда номер переходит, ваш смартфон теряет обслуживание, а телефон атакующего начинает принимать сообщения. Порядок действий дальше всегда похож. Сначала электронная почта, потому что большинство провайдеров разрешают сброс по SMS, а электронная почта является главным ключом ко всему остальному. Затем биржа, где сброса пароля плюс одноразового кода по SMS часто достаточно. Затем вывод средств, в три часа ночи по вашему времени.

SMS никогда не создавался для этой задачи, и органы по стандартизации это признали. Документ NIST SP 800-63B, опубликованный в 2017 году, относит одноразовые коды, доставляемые по сети общего пользования, к категории «ограниченного» аутентификатора, а значит, те, кто его внедряет, должны принимать и раскрывать риск именно этой атаки.

Почему это важно при покупке биткоина

Каждая крупная биржа в нашем обзоре предлагает что-то лучше SMS, и почти никто это не включает.

Kraken поддерживает ключи безопасности FIDO2 и функцию Global Settings Lock, которая замораживает изменения настроек безопасности и вывода средств до тех пор, пока вы намеренно ее не разблокируете. Coinbase поддерживает ключи безопасности и passkeys. Binance, Bitstamp и Bitpanda как минимум поддерживают коды приложения-аутентификатора. Аппаратный ключ безопасности является самым надежным из них, потому что он привязан к домену сайта, что защищает и от фишинга, и от подмены SIM-карты, и его нельзя прочитать по телефонной линии.

Второй шаг как раз и пропускают. Включение приложения-аутентификатора не поможет, если учетную запись все еще можно восстановить по текстовому сообщению, поэтому удалите номер телефона как способ восстановления, а не только как фактор входа. Проверьте страницу восстановления учетной записи, а не страницу двухфакторной аутентификации.

Попросите у оператора PIN-код для переноса номера или блокировку переноса номера. В США правила FCC, принятые в 2023 году, требуют от операторов аутентифицировать клиентов до переноса номера или замены SIM-карты, а также уведомлять вас, когда запрашивается то или другое. Такое уведомление и есть сигнал тревоги: если ваш телефон теряет обслуживание без причины, считайте это идущей атакой и переходите к компьютеру.

Затем есть часть, которую не исправит ни одна настройка биржи. Подмена SIM-карты может добраться только до тех биткоинов, которые хранит за вас какая-то компания. Биткоин на аппаратном кошельке не имеет номера телефона, процесса восстановления учетной записи и агента поддержки, которого можно уговорить. Покупайте на бирже, затем выводите. Эта единственная привычка полностью снимает весь этот класс атак для всего, кроме вашего торгового баланса.

Дело Terpin против Truglia: телефонный звонок на 24 млн $

Именно дело Майкла Терпина (Michael Terpin) подтверждено документами, а цифры в нем взяты из публичных судебных материалов.

7 января 2018 года атакующие завладели номером телефона Терпина и вывели примерно 24 млн $ в криптовалюте. В мае 2019 года суд в Калифорнии вынес решение против Николаса Труглии (Nicholas Truglia) на 75,8 млн $ по этому хищению. Позже Труглия был привлечен к ответственности на федеральном уровне, и в декабре 2022 года его приговорили к 18 месяцам тюрьмы и обязали выплатить около 20,4 млн $ в качестве возмещения. Отдельно Терпин подал иск к AT&T на 224 млн $, утверждая, что перенос стал возможен благодаря сотруднику самого оператора.

Прочитайте финал внимательно, потому что в нем и заключается урок. Годы судебных разбирательств дали решения, а не биткоины. Постановление о возмещении представляет собой требование к тем активам, которые у осужденного еще остались, а перемещенного и перемешанного биткоина в этой массе нет. Доля возврата украденной криптовалюты не равна доле возврата по украденной кредитной карте.

Подмена SIM-карты vs фишинг

И подмена SIM-карты, и фишинговая атака заканчиваются тем, что кто-то другой входит в вашу учетную запись, но требуют от вас разного. Фишингу нужна ваша ошибка: нажатая ссылка, код, введенный не в то поле, доверие к фальшивому агенту поддержки. Подмене SIM-карты от вас не нужно вообще ничего, и обычно она происходит, пока вы спите, а ваш телефон лежит экраном вниз на прикроватной тумбочке и не показывает сигнал. Обучение бдительности помогает в первом случае и бесполезно против второго.

Подмена SIM-карты vs двухфакторная аутентификация

Двухфакторная аутентификация является защитой, а подмена SIM-карты представляет собой атаку, которая побеждает ее слабый вариант. Три распространенные реализации не эквивалентны. Коды по SMS зависят от того, выполнит ли свою работу сотрудник телефонной компании, и именно они здесь являются конкретной целью. Коды приложения-аутентификатора находятся на вашем устройстве и переживают подмену SIM-карты, хотя их все еще можно передать на убедительную фальшивую страницу входа. Аппаратный ключ безопасности подписывает фактический домен, с которым вы имеете дело, поэтому он противостоит обоим. Выбор ответа «2FA включена» пропускает единственный важный вопрос: какая именно.