Сегодня криптовалютное сообщество потрясено: в результате серьёзного взлома один трейдер потерял 80 биткоинов (BTC) стоимостью около 6,6 миллиона долларов в ходе одной несанкционированной транзакции в пятницу.
Особенно тревожит то, при каких обстоятельствах произошёл этот взлом: средства пролежали всего 10 дней на совершенно новом аппаратном кошельке Ledger — устройстве, которое широко считается золотым стандартом для холодного хранения офлайн.
Вот что произошло, как это, вероятнее всего, случилось и какие важнейшие меры безопасности необходимо принять, чтобы защитить свои активы.
Как были похищены 6,6 миллиона долларов
Согласно данным отслеживания блокчейна, все 80 BTC оставались нетронутыми больше недели после перевода на новое устройство. Однако в пятницу кошелёк опустошили за одну мгновенную транзакцию.
Сами по себе аппаратные кошельки обладают надёжной защитой, однако становятся совершенно уязвимыми, если процесс настройки или фраза восстановления скомпрометированы. Специалисты по безопасности полагают, что эта катастрофическая потеря стала результатом одного из двух распространённых и изощрённых способов атаки:
Мошенничество с заранее настроенной сид-фразой: Возможно, жертва купила Ledger у неавторизованного стороннего продавца (например, на eBay или в непроверенном магазине Amazon). Злоумышленники-продавцы иногда заранее настраивают устройство, записывают 24 слова фразы восстановления, соскребают защитный слой с карточки, чтобы она выглядела «новой», а затем ждут, пока ничего не подозревающий покупатель загрузит на устройство криптовалюту.
Вмешательство в цепочку поставок: В более редких случаях устройства физически перехватывают и устанавливают на них специальную вредоносную прошивку до доставки покупателю, что позволяет хакерам удалённо клонировать сид-фразу.
Как защитить свои активы: 4 обязательных правила
Аппаратные кошельки защищают вас только в том случае, если вы контролируете их происхождение. Чтобы никогда не стать жертвой такого рода атаки, всегда следуйте этим рекомендациям по безопасности:
Покупайте напрямую у производителя: Никогда не покупайте аппаратный кошелёк на вторичных маркетплейсах, аукционных сайтах или у непроверенных дистрибьюторов. Заказывайте его только на официальном сайте производителя.
Проверьте состояние устройства: Настоящие Ledger или Trezor при первом включении всегда создают новую 24-словную сид-фразу, которая отображается на экране устройства. Если устройство пришло с заранее заданным PIN-кодом или заполненным листом восстановления, не используйте его.
Используйте официальные приложения для проверки: Перед переводом средств всегда подключайте устройство к официальному приложению-компаньону (например, Ledger Live). Приложение выполнит криптографическую проверку, чтобы выяснить, не подвергался ли внутренний чип вмешательству или модификации.
Проверьте кошелёк на небольшой сумме: При настройке любой новой системы кошелька сначала отправьте небольшую тестовую транзакцию. Попробуйте стереть данные устройства и восстановить его с помощью записанной фразы восстановления, чтобы убедиться, что резервная копия работает безупречно, прежде чем вносить миллионы.
Что вы думаете об этом? Вы по-прежнему полностью доверяете аппаратным кошелькам или атаки на цепочку поставок заставили вас усомниться?
Отказ от ответственности: Эта публикация предназначена исключительно для образовательных целей и не является финансовой или юридической консультацией. Всегда проводите собственную проверку при выборе способа хранения криптовалюты.