Вклад сообщества - Автор: WhoTookMyCrypto.com


2017 год стал знаменательным для сектора криптовалют: быстрый рост их стоимости привел к тому, что они стали объектом внимания основных средств массовой информации. Неудивительно, что это вызвало к ним огромный и растущий интерес как со стороны широкой общественности, так и со стороны киберпреступников. Относительная анонимность, обеспечиваемая криптовалютами, делает их фаворитами преступников, которые часто используют их, чтобы обойти традиционные банковские системы и избежать финансового надзора со стороны регулирующих органов.

Учитывая, что люди проводят больше времени за смартфонами, чем за компьютерами, неудивительно, что киберпреступники также обратились к этим устройствам. В следующей статье подробно рассказывается о том, как мошенники атакуют пользователей криптовалюты через их мобильные устройства, а также о некоторых шагах, которые пользователи могут предпринять, чтобы защитить себя.


Поддельные криптовалютные приложения

Поддельные приложения платформы обмена криптовалютой

Вероятно, самым известным примером фейковых криптовалютных бирж является Poloniex. До запуска своего официального мобильного торгового приложения в июле 2018 года Google Play уже перечислил несколько поддельных приложений торговой платформы Poloniex, специально разработанных для обеспечения функциональности. Многие пользователи, загрузившие эти мошеннические приложения, обнаружили, что их учетные данные для входа в Poloniex были скомпрометированы, а их криптовалюты украдены. Некоторые приложения пошли еще дальше, запрашивая данные для входа в учетные записи Gmail пользователей. Важно отметить, что были скомпрометированы только учетные записи без двухфакторной аутентификации (2FA).

Следующие шаги помогут вам защититься от такого мошенничества.

  • Посетите официальный сайт биржи, чтобы проверить, действительно ли она предлагает мобильное торговое приложение. Если да, воспользуйтесь ссылкой, представленной на их сайте.

  • Читайте отзывы и рейтинги. Мошеннические приложения часто имеют много плохих отзывов, и люди жалуются на мошенничество, поэтому обязательно проверьте эти отзывы и рейтинги перед загрузкой приложения. Однако вам также следует скептически относиться к приложениям с отличными отзывами и рейтингами. Любое законное приложение имеет свою долю отрицательных отзывов.

  • Проверьте информацию о разработчике приложения. Посмотрите, предоставлены ли законные сведения о компании, адрес электронной почты и веб-сайт. Также желательно поискать информацию, предоставленную в Интернете, чтобы убедиться, действительно ли она связана с официальной платформой обмена.

  • Проверьте количество загрузок. Также следует учитывать количество загрузок. Очень популярная криптовалютная биржа вряд ли обеспечит небольшое количество загрузок.

  • Активируйте 2FA в своих аккаунтах. Хотя 2FA и не на 100% безопасен, его гораздо сложнее обойти, и он может существенно улучшить защиту ваших средств, даже если ваши учетные данные для входа скомпрометированы (см. статью о фишинге).


Поддельные приложения для криптовалютных кошельков

Существует множество типов поддельных приложений. Вариант направлен на получение личной информации от пользователей, такой как пароли их кошельков и закрытые ключи.

В некоторых случаях поддельные приложения предоставляют пользователям заранее сгенерированные публичные адреса. Таким образом, эти пользователи предполагают, что средства зачисляются на эти адреса, за исключением того, что в конечном итоге они не имеют доступа к закрытым ключам и, следовательно, не имеют доступа к внесенным средствам.

Примеры этих поддельных кошельков были созданы для популярных криптовалют, таких как Ethereum и Neo, и, к сожалению, многие пользователи потеряли свои средства. Вот некоторые профилактические меры, которые следует предпринять, чтобы не стать жертвой этой практики:

  • Меры предосторожности, указанные выше в параграфе, касающемся поддельных приложений обмена, также применимы. Однако дополнительная мера предосторожности, которую вы можете принять при использовании приложений-кошельков, заключается в том, чтобы гарантировать, что новые адреса генерируются при первом открытии приложения и что у вас есть закрытые ключи (или мнемоника). Легитимное приложение-кошелек позволяет экспортировать закрытые ключи, но также важно гарантировать, что создание новых пар ключей не будет скомпрометировано. Поэтому желательно использовать авторитетное программное обеспечение (желательно с открытым исходным кодом).

  • Даже если приложение предоставляет вам закрытый ключ (или мнемоническую фразу), вам следует убедиться, что публичные адреса могут быть получены и доступны с них. Например, некоторые биткойн-кошельки позволяют пользователям импортировать свои личные ключи или мнемоники для просмотра адресов и доступа к средствам. Чтобы свести к минимуму риск компрометации ключей и фраз, вы можете сделать это на изолированном компьютере (отключенном от Интернета).


Скрытые приложения для майнинга криптовалют (криптоджекинг)

Скрытый майнинг криптовалют (криптоджекинг) — один из любимых способов киберпреступников из-за небольшого количества препятствий на пути его реализации и низких накладных расходов. Кроме того, это предлагает им потенциал для долгосрочного регулярного дохода. Несмотря на низкую вычислительную мощность по сравнению с ПК, мобильные устройства все чаще становятся объектами скрытого майнинга криптовалют.

Помимо крипто-взлома веб-браузера, киберпреступники также разрабатывают программы, которые кажутся законными, игровые, общественно-полезные или образовательные приложения. Однако многие из этих приложений предназначены для тайного запуска сценариев майнинга криптовалюты в фоновом режиме.

Существуют также приложения для взлома криптовалюты, которые рекламируются как законные сторонние майнеры, но вознаграждение получают разработчик приложения, а не пользователи.

Что еще хуже, киберпреступники становятся все более изощренными и используют облегченные алгоритмы майнинга, чтобы избежать обнаружения.

Скрытый майнинг криптовалют (криптоджекинг) чрезвычайно вреден для ваших мобильных устройств, поскольку снижает производительность и ускоряет износ. Хуже того, они потенциально могут выступать в качестве троянских коней для более вредоносных вредоносных программ.

Чтобы обезопасить себя, можно принять следующие меры:

  • Скачивайте приложения только из официальных магазинов, например Google Play. Взломанные приложения не проходят предварительную проверку и, скорее всего, содержат сценарии скрытого майнинга криптовалют.

  • Следите за своим телефоном, чтобы убедиться, что аккумулятор не разрядится и не перегреется. Как только эти явления будут обнаружены, закройте приложения, которые их вызывают.

  • Постоянно обновляйте свое устройство и приложения, чтобы устранять уязвимости безопасности.

  • Используйте веб-браузер, который защищает от скрытого майнинга криптовалют, или установите надежные плагины для браузера, такие как MinerBlock, NoCoin и Adblock).

  • Если возможно, установите мобильное антивирусное программное обеспечение и регулярно обновляйте его.


Бесплатные подарки и поддельные приложения для майнинга криптовалюты

Это приложения, которые утверждают, что добывают криптовалюту для своих пользователей, но на самом деле не делают ничего, кроме показа рекламы. Они поощряют пользователей оставлять приложения открытыми, обещая со временем увеличить вознаграждение. Некоторые приложения даже поощряют пользователей оставлять 5-звездочный отзыв, чтобы получить вознаграждение. Конечно, ни одно из этих приложений на самом деле не занималось майнингом, и их пользователи никогда не получали никаких вознаграждений.

Чтобы защитить себя от этого мошенничества, имейте в виду, что для майнинга большинства криптовалют требуется узкоспециализированное оборудование (ASIC), а это означает, что майнинг на мобильном устройстве невозможен. Какие бы суммы вы ни извлекли, в лучшем случае они будут тривиальными. Держитесь подальше от таких приложений.


Обрезка приложений

Эти приложения изменяют адреса криптовалюты, которые вы копируете, и заменяют их адресами злоумышленника. Таким образом, хотя жертва хочет скопировать правильный адрес получателя, тот, который она вставляет для обработки транзакции, заменяется адресом злоумышленника.

Чтобы не стать жертвой этих приложений, необходимо принять некоторые меры предосторожности при обработке транзакций:

  • Всегда дважды или трижды проверяйте адрес, который вы вставляете в поле получателя. Транзакции в блокчейне необратимы, поэтому всегда следует быть осторожными с этим.

  • Лучше проверить полный адрес, а не только его часть. Некоторые приложения достаточно умны, чтобы вставлять адреса, похожие на тот, который вам нужен.


замена сим-карты

В ходе мошенничества с заменой SIM-карты киберпреступник получает доступ к номеру телефона пользователя. Для этого они используют методы социальной инженерии, чтобы обманом заставить операторов мобильной связи выдать им новую SIM-карту. В самой известной афере с заменой SIM-карты участвовал криптовалютный предприниматель Майкл Терпин. Он утверждал, что AT&T халатно использовала учетные данные его мобильного телефона, в результате чего он потерял токены на сумму более 20 миллионов долларов.

Как только киберпреступники получат доступ к вашему номеру телефона, они смогут использовать его для обхода любого A2F, который на него опирается. Оттуда они смогут получить доступ к вашим криптовалютным кошелькам и биржам.

Еще один метод, который могут использовать киберпреступники, — это отслеживание ваших SMS-сообщений. Уязвимости в сетях связи могут позволить злоумышленникам перехватить ваши сообщения, которые могут включать идентификационный код второго фактора 2FA, который вы должны получить при входе в систему.

Что делает эту атаку особенно тревожной, так это то, что пользователи могут стать ее жертвой не по какой-либо вине (в отличие от других типов мошенничества, когда пользователя обманом заставляют загрузить поддельное программное обеспечение или нажать на вредоносную ссылку).

Чтобы не стать жертвой мошенников, следует учитывать следующие шаги:

  • Не используйте номер своего мобильного телефона для 2FA через SMS. Вместо этого используйте такие приложения, как Google Authenticator или Authy, для защиты своих учетных записей. Киберпреступники не смогут получить доступ к этим приложениям, даже если у них есть ваш номер телефона. Вы также можете использовать устройство 2FA, такое как YubiKey или ключ безопасности Google Titan.

  • Не разглашайте личную информацию в социальных сетях, например номер своего мобильного телефона. Киберпреступники могут собирать эту информацию и использовать ее для кражи вашей личности в другом месте.

  • Никогда не следует рекламировать в социальных сетях, что вы владеете криптовалютами, это сделает вас мишенью. Или, если вы находитесь в ситуации, когда все уже знают, что вы владеете им, избегайте раскрытия личной информации, в том числе того, какие биржи или кошельки вы используете.

  • Договоритесь с вашими операторами сотовой связи о защите вашей учетной записи. Это может означать привязку PIN-кода или пароля к вашей учетной записи и указание, что только пользователи, знающие PIN-код, могут вносить изменения в учетную запись. Вы также можете потребовать внесения этих изменений лично и отклонить их по телефону.


Wi-Fi

Киберпреступники постоянно ищут точки входа в мобильные устройства, особенно пользователей криптовалют. Ярким примером является доступ к общедоступному Wi-Fi, который не является безопасным, и пользователям следует принять меры предосторожности перед подключением к нему. В противном случае они рискуют предоставить киберпреступникам доступ к данным, хранящимся на их мобильных устройствах. Эти меры предосторожности были описаны в статье об общедоступном Wi-Fi.


Заключение

Мобильные телефоны стали неотъемлемой частью нашей жизни. Фактически, они настолько тесно связаны с вашей цифровой личностью, что могут стать нашей самой большой уязвимостью. Киберпреступники знают об этой слабости и будут продолжать искать способы ее использовать. Защита ваших мобильных устройств больше невозможна. Это стало необходимостью. Оставайтесь в безопасности.