Oltalama (phishing)

Kripto para, oltalama (phishing) yapanlara kart dolandırıcılığından daha iyi ödeme yapar, çünkü ters ibraz yoktur ve aranacak bir kartı veren kuruluş yoktur. FBI'ın 2023 tarihli kripto para dolandırıcılığı raporu 69.000'den fazla şikayet ve 5,6 milyar doları aşan kayıp saydı ve bir donanım cüzdanı üreticisinin sızan müşteri dosyası, 272.853 ev teslimat adresini hedef listesi olarak dolaşıma soktu. On iki veya yirmi dört kurtarma kelimenizi isteyen her şey hırsızlıktır, istisnasız.

Nasıl çalışır

Bitcoin sahiplerine yönelik oltalama dört biçimde gelir ve her biri farklı savunmalar gerektirir.

Kimlik bilgisi oltalaması bir borsanın giriş sayfasını benzer bir alan adına kopyalar; buraya genellikle bir arama reklamı, sahte bir “olağan dışı giriş algılandı” e-postası veya yanlış yazılmış bir URL üzerinden ulaşılır. Modern sürümü canlı bir aktarımdır: yazdığınız her şey, kimlik doğrulayıcı uygulama kodunuz dahil, saniyeler içinde gerçek siteye iletilir, yani altı haneli kodun doğru olması hiçbir şey kanıtlamaz. Bunu yalnızca bir donanım güvenlik anahtarı atlatır, çünkü anahtar gerçekte konuştuğu alan adını imzalar ve benzer bir site için kullanılabilir bir çıktı üretmeyi doğrudan reddeder.

Kurtarma ifadesi oltalaması hesabı atlar ve doğrudan cüzdana gider. Bir “cüzdan doğrulama” formu, sahte bir yazılım güncellemesi, “cihazınızı senkronize etmesi” gereken bir destek görevlisi veya paranızın risk altında olduğunu söyleyen bir tarayıcı açılır penceresi olarak gelir. Kurtarma kelimeleri cüzdanın kendisidir: BIP39 bu on iki veya yirmi dört kelimeyi elinizde tutacağınız her özel anahtara dönüştürür, bu yüzden onları okuyan herkes tüm cüzdanınızı kendi makinesinde yeniden oluşturabilir ve boşaltabilir. Hiçbir üreticinin, borsanın veya destek ekibinin onları görmek için meşru bir nedeni yoktur, hiçbir zaman.

İmza oltalaması okuyamadığınız bir şeyi onaylamanızı ister. Bu çoğunlukla bir Ethereum sorunudur, çünkü tek bir imza bir token üzerinde sınırsız harcama izni verebilir, ancak Bitcoin kullanıcıları tanımadıkları kısmen imzalanmış bir işlemi veya rastgele bir mesajı imzalamaları istendiğinde bunun bir sürümüyle karşılaşır.

Taklit destek sosyal mühendisliğe karışır: doğru logoya sahip bir hesaptan X veya Telegram'da, bir sorunu herkese açık şekilde paylaşmanızdan dakikalar sonra gelen bir yanıt. Gerçek destek size asla ilk önce ulaşmaz.

Bitcoin satın alırken bu neden önemli

Oltalamayı gerçekten durduran savunmalar, sonsuza kadar sürdürdüğünüz bir tetikte olma hali değil, bir kez yaptığınız yapılandırma tercihleridir.

Borsanıza her zaman aynı yoldan ulaşın. Alan adını yer imine ekleyin ve yalnızca o yer imini kullanın, asla bir arama sonucunu ve asla bir e-postadaki bağlantıyı kullanmayın. İnceleme sayfalarımız, bu sitenin kapsadığı 24 borsanın her biri için resmi web sitesini listeler; bu size bir URL'yi karşılaştırabileceğiniz ikinci bir yer verir.

Hesaba bir donanım güvenlik anahtarı ekleyin. Kraken ve Coinbase ikisi de FIDO2 anahtarlarını destekler ve bunlar, gerçek zamanlı bir aktarım saldırısının iletemeyeceği tek faktördür. Anahtar bir seçenek değilse, bir kimlik doğrulayıcı uygulama yine de kısa mesajlardan iyidir.

Para çekme adresi beyaz listesini açın, böylece çalınan bir oturum bir hedef uyduramasın.

Kurtarma kelimelerini bir kez yazılacak şeyler olarak görün. Kurulum sırasında kağıda veya metale yazılırlar ve asla bir telefona, bir bilgisayara, bir fotoğrafa, bir parola yöneticisine veya bir forma yazılmazlar. Bir donanım cüzdanı bunları yalnızca kurulum veya kurtarma sırasında kendi ekranında ister, başka hiçbir zaman istemez. Herhangi bir yazılım isterse, logo ne kadar inandırıcı olursa olsun o yazılım düşmancadır.

Son olarak, bir son tarihle gelen her şeyde yavaşlayın. Aciliyet, her oltalama mesajının paylaştığı tek bileşendir, çünkü adres çubuğunu kontrol etmeye zamanı olan biri artık kurban olmaz.

Ledger müşteri listesi, yıllar sonra hâlâ kullanılıyor

Temmuz 2020'de Ledger, e-ticaret ve pazarlama veri tabanının ihlal edildiğini, yaklaşık bir milyon e-posta adresinin yanı sıra daha küçük bir dizi ayrıntılı müşteri kaydının açığa çıktığını bildirdi.

Aralık 2020'de tüm döküm açıkça yayımlandı: bir donanım cüzdanı satın almış kişilerin adlarını, telefon numaralarını ve fiziksel gönderim adreslerini içeren 272.853 sipariş kaydı. Bu, nerede yaşadıkları da dahil olmak üzere kripto para tuttukları bilinen hanelerin bir listesidir.

Sonrasında olanlar, bu sayfanın olayı adlandırmasının nedenidir. Kurbanlar, yıllar boyunca Ledger güvenlik bildirimi görünümündeki oltalama e-postaları ve mesajları aldı. 2021 yılında bazıları, orijinalinin güvenlik nedenleriyle değiştirildiğini söyleyen bir not ve mevcut kurtarma ifadesinin yeni donanıma girilmesi talimatını içeren, sahte Ledger cihazları barındıran paketler aldı. Bazıları ise ev adreslerine atıf yapan şantaj mesajları aldı.

Ders tek bir şirketin ötesine geçer. Bir üreticinin pazarlama sistemlerinden alınan veriler, oltalamayı kişisel ve inandırıcı kılmaya yeter ve bu verilerin süresi dolmaz. Bitcoin donanımı veya hizmeti satın aldığınız bir şirketin bir noktada bilgilerinizi sızdıracağını varsayın ve bu sızıntının pahalı değil utanç verici olacağı bir düzen kurun.

Oltalama vs sosyal mühendislik

Oltalama, sosyal mühendisliğin daha geniş pratiği içindeki bir tekniktir. Sosyal mühendislik, bir insanı kendi çıkarına aykırı davranmaya ikna eden her saldırıyı adlandırır; oltalama bunun seri üretilmiş, mesaj tabanlı sürümüdür ve küçük bir kısmın yanıt vereceği umuduyla binlerce kişiye gönderilir. Bu ayrım savunma seçerken önemlidir. Oltalama büyük ölçüde teknolojiyle çözülebilir, çünkü güvenlik anahtarları, yer imleri ve beyaz listeler dikkat edip etmediğinize bakmaksızın işler. Daha geniş sosyal mühendislik, özellikle size özel canlı bir telefon görüşmesi, bunun yerine süreç kuralları gerektirir: gelen bir iletişim istedi diye asla para hareket ettirmeyin.

Oltalama vs pig butchering

Oltalama, gelecek altmış saniye içinde bir kimlik bilgisi ister; pig butchering gelecek altı ay boyunca bir ilişki ister. Bir oltalama mesajı zaten kullandığınız bir hizmeti taklit eder ve düşünmeden önce hemen harekete geçilmesi için tasarlanmıştır. Pig butchering haftalarca sıradan sohbetle güven kurar, sonra sahte kâr gösteren ve işe yaradığını kanıtlamak için erken bir para çekmeye izin veren bir yatırım platformu getirir. İkincisinden doğan kayıplar genellikle çok daha büyüktür, çünkü kurban bunları isteyerek, tekrar tekrar ve gidip bulduğu parayla finanse eder.