SIM 卡劫持

薄弱环节是您的移动运营商，而不是交易所：被欺骗或被收买的员工可以在几分钟内转出一个号码。FBI 在2021年记录了1,611起 SIM 卡劫持投诉，损失超过6,800万美元，而此前三年的投诉总数合计为320起。如果任何涉及您比特币的账户可以通过短信恢复，那么您的电信公司实际上就是您的托管方。

运作方式

SIM 卡劫持是一次由非客户本人执行的客户服务操作。

攻击者首先进行侦察。泄露的数据库提供姓名、地址、出生日期和银行卡的后四位数字。社交媒体提供运营商仍会询问的其余知识型验证答案。在公开场合炫耀加密货币持有量则提供了动机，因此任何发布资产组合截图的人都在某份名单上。

接着是转网。有三种途径，三种至今仍在使用：带着足以乱真的假身份证走进零售门店，致电客服并通过验证问题，或者收买内部人员。美国的多起起诉案件反复涉及运营商或授权零售商的员工每次劫持收取几百美元，因此"my carrier would never"并不是一种安全模型。

号码转出的那一刻，您的手机会显示无服务，攻击者的手机开始接收信息。随后的操作顺序总是相似的。首先是电子邮箱，因为大多数服务商允许通过短信重置密码，而电子邮箱是通往其他一切的万能钥匙。然后是交易所，密码重置加上短信一次性验证码往往就足够了。最后是提币，时间是您所在时区的凌晨三点。

短信从来不是为这项工作设计的，标准制定机构也已明确指出。NIST 于2017年发布的 SP 800-63B 将通过公共电话网络发送的一次性验证码归类为“受限”验证方式，意思是实施方必须接受并披露正是这种攻击所带来的风险。

购买比特币时为何重要

本站评测的每家大型交易所都提供比短信更好的方式，但几乎没有人开启。

Kraken 支持 FIDO2 安全密钥，并提供 Global Settings Lock，在您主动解锁之前冻结安全设置和提币设置的更改。Coinbase 支持安全密钥和通行密钥。Binance、Bitstamp 和 Bitpanda 至少都支持验证器应用验证码。硬件安全密钥是其中最强的，因为它与网站域名绑定，既能防范钓鱼攻击，也能防范 SIM 卡劫持，而且无法通过电话线路读出。

人们容易忽略的是第二步。如果账户仍可通过短信恢复，开启验证器应用并没有帮助，因此请把手机号码从恢复方式中移除，而不只是从登录验证因素中移除。请检查账户恢复页面，而不是双重验证页面。

请向运营商申请转出 PIN 码或号码转移锁。在美国，FCC 于2023年通过的规定要求运营商在转移号码或更换 SIM 卡之前验证客户身份，并在收到任一请求时通知您。这条通知就是警报：如果您的手机无故失去服务，请将其视为攻击正在进行，并尽快使用一台电脑处理。

还有一部分是任何交易所设置都无法解决的。SIM 卡劫持只能触及由某家公司代您持有的币。存放在硬件钱包中的比特币没有电话号码，没有账户恢复流程，也没有可以被说服的客服人员。请在交易所购买，然后提币。这一个习惯就能让这整类攻击对除交易余额之外的一切失效。

Terpin v. Truglia，一通价值2,400万美元的电话

Michael Terpin 的案件有书面记录可查，其中的数字都是公开的法庭记录。

2018年1月7日，攻击者接管了 Terpin 的手机号码，盗走了约2,400万美元的加密货币。2019年5月，加利福尼亚州的一家法院就这起盗窃案对 Nicholas Truglia 作出了7,580万美元的判决。Truglia 后来被联邦起诉，并于2022年12月被判处18个月监禁，并被责令支付约2,040万美元的赔偿金。Terpin 另行起诉 AT&T，索赔2亿2,400万美元，主张该运营商自己的员工促成了这次劫持。

请仔细阅读结局，因为教训就在这里。多年的诉讼换来的是判决，而不是币。赔偿令是针对被定罪者仍持有的资产提出的求偿，而已被转移和混币的比特币不在其中。被盗加密货币的追回率与被盗信用卡的追回率不可同日而语。

SIM 卡劫持 vs 钓鱼攻击

SIM 卡劫持和钓鱼攻击最终都是别人登录了您的账户，但它们对您的要求不同。钓鱼攻击需要您出错：点击了链接，把验证码输入了错误的框，或者相信了假冒的客服。SIM 卡劫持完全不需要您做任何事，而且通常发生在您熟睡时，手机屏幕朝下放在床头柜上，显示无信号。安全意识培训对前者有帮助，对后者毫无用处。

SIM 卡劫持 vs 双重验证

双重验证是防御手段；SIM 卡劫持是击败其中一种薄弱版本的攻击。三种常见的实现方式并不等同。短信验证码依赖电信公司员工尽职尽责，正是这里被针对的目标。验证器应用验证码保存在您的设备上，不受 SIM 卡劫持影响，但仍可能被转发到足以乱真的虚假登录页面。硬件安全密钥会对您实际连接的域名签名，因此两种攻击都能抵御。把"2FA is on"当作答案，就跳过了唯一重要的问题，即开启的是哪一种。