Philadelphias asuvat USA muusik G. Love on andnud teada, et ta kaotas umbes 5,92 BTC-d ehk umbes 420 000 dollarit pärast seda, kui langes ohvriks hästi läbi mõeldud veebipõhisele pettusele (phishing), mis kasutas vale Ledgeri rahakoti rakendust Apple'i App Store'is.
Avalikult jagatud üksikasjad näitavad, et kunstnik allatas kompromitteeritud versiooni sellest, mida ta pidas autentse riistvararahakoti seadistusrakenduseks. Paigaldamise käigus paluti teda sisestada tema 24-sõnaline seed-fraas – see on igas krüptovaluuta-rahakotis oluline element, mis annab täieliku juurdepääsu.
Pärast seed-fraasi sisestamist võtsid kurjategijad kohe rahakoti üle ja tühjendasid selle hetkega. See tõlgendab murespanevat trendi: phishing-attakid muutuvad aina reaalsetemaks ja suudavad petta isegi kogenud kasutajaid kauplustes, millele enamik inimesi usub.
G. Love jagas oma kogemusest sotsiaalmeedias järgmise postituse ja pildid ning hoiatas teisi kasutajaid mitteautentsete rahakottide rakenduste eest.
Kurjategijad tühjendavad kasutajate vahendeid reaalajas seed-fraasi eksploiteerimise abil
Selline rünnak on kohutav meenutus ühest olulisemast krüptovaluuta turvalisuse põhimõttest: ära jagage oma seed-fraasi – eriti ära sisestage seda üheski rakenduses, mis ei ole seotud tunnustatud riistvaraseadmega.
Sel juhul imiteeris vale rakendus autentse Ledgeri rahakoti esmase kasutuselevõtu protsessi, luues seega vale julgeoleku tunne. Autentse tarkvara liidesi ja juhiseid järgides suutsid kurjategijad petta kasutajaid nii, et nad ignoreerisid potentsiaalsete ohtude kohta antavaid hoiatusi ja andsid edasi tundlikku teavet.
Seed-fraasi kompromitteerumine tähendas, et lisautentimist ei vajatud. Kurjategijatel oli täielik juurdepääs rahakotile ja nad suutsid 5,92 BTC-d liigutada vaid mõne sekundi pärast.
Krüptovaluuta tehinguid ei saa tagasi pöörata nagu traditsioonilisi pangakontotehinguid, seega on teie vahendite liigutamisel need praktikas tagasipööramatuks. See tegur teeb seed-fraasi phishingu üheks kõige kahjulikumaks rünnakuveeriks krüptovaluuta maailmas.
ZachXBT jälgis vahendeid KuCoiniga seotud aadressile
Chain’i uurija ZachXBT jälgis tehingute jälge ja leidis, et vahendid saadeti aadressile, mis on seotud KuCoinga.
Tema analüüs viitab sellele, et rünnaku teostaja võis kasutada vahetusplatvormi infrastruktuuri vahendite liigutamise varjamiseks – seda meetodit kasutatakse sageli, et raskendada jälgimist ja vähendada tagasivõtmise võimalusi.
ZachXBT jagas üksikasju tehingute voogust ja võimalikest lõpp-punktide kohta.
Sügavam analüüs näitab, et raha võis läbi minna mitmete deposiit-aadresside, mis on tõenäoliselt seotud kiirvahetusteenustega, mis võimaldavad kiiret teisendamist ja väljavõtmist ilma tugeva identiteedikinnitamiseta.
Vahetusplatvormide ülevalpidamine küsimuse alla seatud, kuna vastavusnõuetes on puudujaid
Lisaks vahendite jälgimisele tõstis ZachXBT ka esile süsteemsed probleemid, mis puudutavad keskendatud vahetusplatvorme vastavusnõuete ja salakasvuliste tegevuste jälgimise osas.
Näiteks lisati KuCoini sarnased platvormid, kuna nad hoiavad teiste inimeste raha: „Alati on olemas mure kurjategijate üle, kes kasutavad vahendajate või personaalseid kontosid raha pesemise tegevuste korraldamiseks“, ütles ta. Tema väitel kasutatakse neid kontosid sageli kaupa, et varastatud varasid liigutada ilma piisava ülevalpidamiseta.
Üks õiguskaitseorganite jaoks olemasolevate probleemide põhjustajatest on see, et kui on palju deposiit-aadresse, siis on raha jälgimine raskem, kuna rünnaku teostajad saavad varastatud vahendeid jaotada ja seejärel liigutada või vahetada mitme sissepääsupunkti kaudu.
See rõhutab eriti selgelt suuremat probleemi krüptovaluuta valdkonnas: turvalisuse soovi vastandus kasutaja privaatsusele. Vahetusplatvormid on olulised likviidsuse ja ligipääsu tagamiseks, kuid vastavusnõuete puudumine võimaldab kurjategijatel lihtsalt tegutseda.
Fälsi rakenduste kasvav risk usaldusväärsetes keskkondades
Siiski teeb selliste rakenduste olemasolu Apple'i App Store'is olulisi küsimusi platvormi turvalisuse ja rakenduste läbivaatamise tasandil.
Paljude kasutajate jaoks on ametlikud rakenduspoed turvalised ruumid. Siiski viitab see juhtum sellele, et isegi hoolikalt kureeritud turuplatsid on haavatavad tänapäevastele pettustele. Rünnaku teostajad on saanud osavamaks läbivaatamisprotsesside ümberpääsemiseks, loodes rakendusi, mis näevad ja tunduvad autentsete teenustena.
See trend on eriti ohtlik uutele või vähem tehniliselt osavatele kasutajatele, kes sageli, eriti tarkvara allalaadimisel, toetuvad rakenduspoegade usaldusmärgistele.
Arvestades Ledgeri brändi mainet riistvararahakottide turvalisuse valdkonnas, on see sageli phishing-kampaaniate sihtmärk. Sellised rünnakud kasutavad ära tühja koha ootatava käitumise ja tegeliku turvalisuspraktika vahel, eriti seed-fraasi haldamise osas.
Õppetunnid krüptovaluuta kasutajatele ja kuhu me edasi liigume
G. Love’i juhtum on tõsine meenutus krüptovaluuta maailmas iseomandatud turvalisuse privileegi kohta. Kuigi aluseks oleva blockchain-tehnoloogia on turvaline, on kasutaja tasandil olemas nõrga kohad.
Isegi parimad tavapraksised – näiteks rakenduste autentsuse kontrollimine, kolmandate osapoolte rakenduste allalaadimise vältimine ja seed-fraasi sisestamine ainult riistvaraseadmes – on olulised. Samas peaksid kasutajad kontrollima teavet ametlikest allikatest ja kasutama otse linke volitatud ettevõtete veebisaitidelt, kui nad rahakotte seadistavad.
Samas nõuab see olukord veel suuremat vastutust kogu ekosüsteemi piires – rakenduspoegade operaatoritelt kuni keskendatud vahetusplatvormideni. Selliseid rünnakuid saab leevendada täiustatud läbivaatamisprotsesside ja reageerimismehhanismide ning paremate vastavusnõuete abil.
Nagu krüptovaluuta kasutus edasi kasvab, nii kasvab ka ohtude keerukus. Tööstus peab leidma tasakaalu avatud ligipääsu ja üha keerukamate pettuste eest piisava tarbijakaitse vahel.
Lõpuks on see juhtum õpetlik: see illustreerib lihtsat fakti krüptomaailmas – kui teil on oma võtmed kontrolli all, siis teil on ka oma vahendid kontrolli all; kui aga te kaotate selle kontrolli (isegi lühikeseks ajaks), siis kahju võib olla parandamatu.
Teade: See ei ole kauplemis- ega investeerimisnõuanne. Enne igasuguse krüptovaluuta ostmist või teenuste investeerimist tehke alati oma uuringud.
Jälgige meid Twitteris @nulltxnews, et olla kursis viimaste Crypto-, NFT-, AI-, küberturvalisuse, jaotatud arvutuste ja Metaverse-uudistega!
Source: https://nulltx.com/musician-loses-420k-in-bitcoin-after-fake-ledger-app-scam-exposes-wallet-vulnerabilities/
