Контент, предоставленный сообществом – автор: WhoTookMyCrypto.com
2017 год стал знаменательным для криптовалютной индустрии из-за стремительного роста оценок, что в результате привело к широкому освещению в основных средствах массовой информации. Поскольку иначе и быть не могло, это обстоятельство вызвало к ним огромный интерес как со стороны широкой общественности, так и со стороны киберпреступников. Относительная анонимность, обеспечиваемая криптовалютами, сделала их желанным инструментом для злоумышленников, которые часто используют их для обхода традиционных банковских систем и уклонения от надзора со стороны регулирующих органов.
Учитывая, что люди, как правило, проводят больше времени за смартфонами, чем за настольными компьютерами, неудивительно, что киберпреступники обратили свое внимание на первые. Поэтому в следующей статье основное внимание уделяется механизмам, используемым мошенниками для доступа к пользователям криптовалюты через их мобильные устройства, а также некоторым мерам, которые последние могут предпринять, чтобы обезопасить себя.
Поддельные криптовалютные приложения
Поддельные приложения для обмена криптовалют
Самым известным примером поддельного приложения для обмена криптовалюты, вероятно, является Poloniex. Еще до запуска официального мобильного приложения в июле 2018 года в Google Play уже можно было найти несколько поддельных приложений обмена Poloniex, которые были специально разработаны с учетом функциональности. Многие пользователи, загрузившие эти мошеннические приложения, столкнулись с тем, что их учетные данные доступа к Poloniex были скомпрометированы, а их криптовалюты украдены. Некоторые приложения пошли еще дальше, даже запрашивая у пользователей учетные данные для доступа к их учетным записям Gmail. Необходимо отметить, что в конечном итоге скомпрометированы будут только учетные записи, в которых отсутствует двухфакторная аутентификация (2FA).
Следующие шаги помогут вам защититься от такого рода мошенничества:
Посетите официальный сайт биржи, чтобы убедиться, что она действительно предлагает мобильное торговое приложение. Если да, воспользуйтесь ссылкой, предоставленной на том же сайте.
Прочтите отзывы и рейтинги. Мошеннические приложения часто имеют многочисленные негативные отзывы от людей, жалующихся на мошенничество, поэтому обязательно проверяйте их перед загрузкой. Точно так же вам следует скептически относиться к приложениям, имеющим чрезмерно положительные комментарии и оценки. Каждое законное приложение всегда сопровождается изрядной долей отрицательных отзывов.
Просмотрите информацию, связанную с разработчиком приложения. Проверьте, предоставлены ли ссылки на законную компанию, веб-сайт или электронную почту. Затем вам следует выполнить онлайн-поиск предоставленной информации, чтобы убедиться, что она действительно связана с официальным обменным пунктом.
Проверьте количество загрузок. Эту деталь также необходимо учитывать, поскольку маловероятно, что очень популярный обменник будет иметь небольшое количество загрузок.
Активируйте аутентификацию 2FA в своих учетных записях. Хотя аутентификацию 2FA не на 100% безопасно, ее гораздо сложнее обойти, и она может существенно повлиять на защиту ваших средств — даже если ваши учетные данные для входа были скомпрометированы фишингом.
Поддельные приложения для криптовалютных кошельков
Существует множество типов поддельных приложений. Среди них те, которые стремятся получить персональные данные пользователей, например пароли и приватные ключи от их кошельков.
В некоторых случаях это поддельные приложения, которые предоставляют пользователям ранее сгенерированные публичные адреса. Пользователи будут предполагать, что они могут безопасно вносить средства на эти адреса, однако, поскольку им не предоставлены закрытые ключи, они не смогут получить доступ к средствам, которые они вносят туда.
Поддельные кошельки этого типа были созданы для популярных криптовалют, таких как Ethereum или Neo, и, к сожалению, многие пользователи потеряли свои средства. Вот некоторые меры предосторожности, которые вы можете предпринять, чтобы не стать жертвой таких мошенников:
Меры предосторожности, описанные в предыдущем разделе, посвященном поддельным приложениям обмена, в этом случае одинаково действительны. Однако дополнительная мера, которую можно принять при работе с приложениями-кошельками, — это гарантировать, что при первом открытии указанных приложений генерируются совершенно новые адреса и что у каждого из них есть соответствующие закрытые ключи или мнемонические начальные числа. Легальные приложения-кошельки позволят вам экспортировать ваши личные ключи; но также важно гарантировать, что генерация новых пар ключей не будет скомпрометирована. Поэтому вам следует использовать надежное программное обеспечение (желательно с открытым исходным кодом).
Даже если приложение предоставляет вам закрытый ключ (или начальное число), вам следует проверить, можно ли получить из него публичные адреса и получить к ним доступ. Например, некоторые биткойн-кошельки позволяют пользователям импортировать свои закрытые ключи или начальные значения для просмотра адресов и доступа к средствам. Чтобы свести к минимуму риск компрометации ключей и семян, в идеале эту операцию следует выполнять на компьютере, изолированном от сети (то есть отключенном от Интернета).
Приложения для криптоджекинга
Криптоджекинг стал одним из излюбленных практик киберпреступников благодаря легкому доступу и низкой стоимости, а также возможности предложить долгосрочный регулярный доход. Несмотря на меньшую вычислительную мощность по сравнению с ПК, мобильные устройства становятся все более распространенной целью криптоджекинга.
Помимо криптоджекинга веб-браузера, киберпреступники также разрабатывают программы, которые кажутся полностью законными функциональными, образовательными приложениями и играми. Однако многие из этих приложений были разработаны для тайного запуска сценариев в фоновом режиме.
Существуют также приложения для криптоджекинга, которые рекламируются как законные сторонние приложения для майнинга, но вознаграждение за которые в конечном итоге достается разработчикам, а не пользователям.
Что еще хуже, преступники становятся все более изощренными, что заставляет их устанавливать облегченные алгоритмы майнинга, которые чрезвычайно затрудняют их обнаружение.
Криптоджекинг невероятно вреден для мобильных устройств, поскольку снижает их производительность и ускоряет износ. Хуже того, он также может выступать в качестве троянского коня для других, еще более вредоносных типов вредоносных программ.
Следующие шаги могут быть полезны, чтобы защитить себя от криптоджекинга:
Скачивайте приложения только с официальных платформ, таких как Google Play. Пиратские приложения не подвергались предварительной проверке и, скорее всего, содержат скрипты для криптоджекинга.
Контролируйте свой телефон, чтобы выявить чрезмерный разряд батареи или перегрев. После обнаружения отмените приложения, которые вызывают эти эффекты.
Постоянно обновляйте свое устройство и приложения, чтобы устранять потенциальные уязвимости безопасности.
Используйте веб-браузер, который защищает от криптоджекинга, или установите надежные плагины, такие как MinerBlock, NoCoin и Adblock.
Если возможно, установите мобильное антивирусное программное обеспечение и регулярно обновляйте его.
Бесплатные подарки и поддельные приложения для майнинга криптовалют
Это приложения, которые имитируют майнинг криптовалют, но на самом деле они ничего не делают, кроме показа рекламы. Они стимулируют пользователей оставлять приложения открытыми, отражая увеличение вознаграждений с течением времени. Некоторые из этих приложений даже поощряют пользователей оставлять 5-звездочные отзывы в качестве условия получения вышеупомянутых наград. Конечно, ни одно из этих приложений не занимается эффективным майнингом, и их пользователи никогда не получат реального вознаграждения.
Чтобы защитить себя от этого мошенничества, необходимо понимать, что для майнинга большинства криптовалют требуется узкоспециализированное оборудование (знаменитые ASIC), а это значит, что провести операцию с мобильного устройства невозможно. И в любом случае любая сумма, которую можно было бы добыть таким способом, была бы тривиальной. По этой причине мы рекомендуем вам держаться подальше от подобных приложений.
Портативные приложения (приложения для обрезки)
Этот тип приложения изменяет адреса копируемых криптовалют и заменяет их адресами злоумышленника. Таким образом, хотя жертва и может скопировать правильный адрес получения, тот, который она вставила для обработки транзакции, будет заменен адресом злоумышленника.
Ниже мы представляем ряд мер, которые вы можете предпринять при обработке своих транзакций, чтобы не стать жертвой приложений такого типа:
Всегда дважды или даже трижды проверяйте адрес, который вы вставляете в поле доставки. Транзакции блокчейна необратимы, поэтому всегда следует действовать осторожно.
Лучше всего проверить весь предоставленный вами адрес, а не только его части. Некоторые приложения достаточно сложны, чтобы вставлять адреса, похожие на настоящие.
Замена SIM-карты
В ходе мошенничества с подменой SIM-карты злоумышленник получает доступ к номеру телефона пользователя. Они достигают этого, используя методы социальной инженерии, которые позволяют им обманывать операторов мобильной связи и заставлять их предоставить им копию SIM-карты. Самая известная афера с заменой SIM-карты затронула криптовалютного предпринимателя Майкла Терпина, который утверждал, что AT&T по неосторожности передала учетные данные его мобильного телефона третьим лицам, в результате чего он потерял токены на сумму более 20 миллионов долларов США.
Как только преступники получат доступ к вашему номеру мобильного телефона, они смогут использовать его для обхода любой аутентификации 2FA, которая на нем основана. Оттуда они попадут в ваши криптовалютные кошельки и обменные счета.
Еще один метод, который могут использовать киберпреступники, — это отслеживание ваших сообщений с помощью SMS. Сбои в сетях связи могут позволить злоумышленникам перехватить ваши сообщения, среди которых может быть пин-код 2FA.
Что делает эти типы атак особенно тревожными, так это то, что они не требуют активной роли со стороны жертвы, как в случае с загрузкой поддельного программного обеспечения или открытием вредоносных ссылок.
Чтобы не попасться на удочку этого типа мошенничества, можно принять следующие меры:
Не используйте номер своего мобильного телефона для аутентификации 2FA типа SMS. Вместо этого используйте такие приложения, как Google Authenticator или Authy, для защиты своих учетных записей. Киберпреступники не смогут получить доступ к этим типам приложений, даже если они завладеют вашим номером телефона. Кроме того, вы также можете использовать аппаратную аутентификацию 2FA, например YubiKey или ключи безопасности Titan от Google.
Никогда не раскрывайте личную информацию, например номер телефона, в социальных сетях. Киберпреступники могут воспользоваться этой информацией и использовать ее, чтобы выдать себя за вас на других сайтах.
Никогда не следует объявлять в социальных сетях, что вы владеете криптовалютой, потому что это может сделать вас мишенью. Если вы находитесь в положении, когда все знают, что они у вас есть, избегайте раскрытия личной информации, например, бирж или кошельков, которые вы используете.
Запланируйте защиту своей учетной записи у своих операторов мобильной связи. Это может включать в себя запрос PIN-кода или пароля для любых изменений, которые вы хотите внести в него. В качестве альтернативы вы также можете потребовать, чтобы указанные изменения можно было вносить только лично, что делает невозможным их внесение по телефону.
Wi-Fi
Киберпреступники постоянно ищут возможные способы доступа к мобильным устройствам, особенно к тем, которые используют криптовалюты. Одной из таких потенциальных точек входа является Wi-Fi. Общественные сети Wi-Fi небезопасны, и пользователям всегда следует принимать меры предосторожности перед подключением к ним. В противном случае они рискуют получить доступ к данным, хранящимся на их мобильных устройствах, киберпреступникам. Эти меры предосторожности были рассмотрены в статье, посвященной общедоступным сетям Wi-Fi.
Последние мысли
Мобильные телефоны стали неотъемлемой частью нашей жизни. На самом деле они настолько переплетены с нашей цифровой идентичностью, что могут стать нашей главной уязвимостью. Киберпреступники знают это и поэтому продолжают искать механизмы для их эксплуатации. Защита ваших мобильных устройств больше не является опцией, а стала необходимостью. Всегда действуйте осторожно.
