Аналіз ризиків безпеки апаратних гаманців для криптоактивів

Криптоактиви апаратний гаманець є спеціальним фізичним пристроєм, призначеним для зберігання цифрових активів, і вважається ключовим інструментом для захисту шифрованих активів. Цей пристрій використовує вбудовані безпечні чіпи для офлайн-зберігання приватних ключів, що забезпечує повний контроль користувача над його криптоактивами. Апаратний гаманець зазвичай використовується в офлайн-режимі, що додатково знижує ризик під час мережевих атак.

Попри це, через недостатнє розуміння апаратних гаманців багатьма інвесторами, все ще відбувається велика кількість шахрайств щодо новачків, що призводить до крадіжки активів, збережених у апаратних гаманцях. У цій статті ми детально розглянемо два поширені методи крадіжки монет з апаратних гаманців: шахрайство з інструкціями та обман з модифікацією пристроїв.

Методи шахрайства з інструкціями

Цей спосіб крадіжки монет полягає в використанні незнання звичайних інвесторів щодо використання апаратних гаманців, шляхом заміни фальшивих інструкцій, що спонукає жертв переводити кошти на фішингові адреси. Жертви купують апаратні гаманці з неофіційних каналів, активують пристрій, слідуючи "інструкції", на якій зазначено "початковий пароль", і резервують "фразу для відновлення", що надрукована на "інструкції", після чого вони вносять значні кошти на адресу гаманця, що врешті-решт призводить до крадіжки активів.

Ця ситуація не пов'язана з самим апаратним гаманцем, а з тим, що злочинці заздалегідь активують пристрій, отримуючи адресу мнемонічної фрази, підробляють фальшиві інструкції та повторно упаковують, а потім через неофіційні канали продають вже активований апаратний гаманець жертвам. Щойно цільовий користувач переведе криптоактиви на цю адресу, він потрапить у заздалегідь підготовлену пастку шахрайства.

Відомий виробник апаратних гаманців нещодавно випустив попередження, вказавши, що деякі неофіційні магазини продають "активовані" апаратні гаманці, одночасно підробляючи інструкції з використання, спонукаючи користувачів вкладати кошти на адреси гаманців, створені злочинцями заздалегідь. Це підкреслює важливість розпізнавання офіційних каналів продажу.

Псевдокрадіжка модернізації пристроїв

Користувач апаратного гаманця певного бренду отримав посилку без попереднього замовлення, в якій знаходився новий апаратний гаманець та лист. У листі йдеться про те, що внаслідок кібератаки на компанію сталося витік даних користувачів, тому нові апаратні гаманці були надіслані постраждалим клієнтам, і користувачам рекомендується змінити пристрій для забезпечення безпеки.

Однак, автентичність цього листа викликає сумніви. Генеральний директор компанії бренду чітко заявив, що компанія не надасть жодних компенсацій у разі випадкової витоку особистих даних. Цей користувач також вважає, що це шахрайство, він поділився додатковими фотографіями, які демонструють очевидні сліди втручання всередині пластикової коробки апаратного гаманця.

Крім того, певна команда безпеки також повідомила про випадок підробки апаратного гаманця іншого бренду. Жертва придбала апаратний гаманець через неофіційні канали, але внутрішнє програмне забезпечення пристрою було замінене зловмисником, що дозволяло отримати доступ до шифрування активів користувача та здійснити крадіжку монет.

Рекомендації щодо безпечного використання

З наведеного вище прикладу видно, що атаки на ланцюг постачання апаратних гаманців стали досить поширеними, тому звичайні інвестори та виробники апаратних гаманців повинні бути вкрай обережними. Правильний спосіб використання може суттєво знизити ризик крадіжки монет:

1. Суворо купуйте апаратні пристрої через офіційні канали, будь-які апаратні гаманці, куплені через неофіційні канали, мають потенційні ризики безпеки.

2. Переконайтеся, що придбаний Гаманець знаходиться в неактивованому стані. Офіційно продані апаратні пристрої обов'язково повинні бути неактивованими. Якщо користувач після ввімкнення виявить, що пристрій вже активовано, або якщо в інструкції згадується "початковий пароль" або "дефолтна адреса", слід негайно припинити використання та повідомити про це офіційно.

3. Забезпечте, щоб всі ключові операції виконувалися безпосередньо користувачем. Крім активації пристрою, налаштування PIN-коду, генерації коду прив'язки, створення адреси та резервного копіювання тощо повинні виконуватися користувачем особисто, будь-який етап, що виконується третьою стороною, може призвести до фінансових ризиків. У нормальних умовах, при першому використанні апаратного гаманця, активація пристрою, створення гаманця, резервне копіювання мнемонічної фрази та налаштування PIN-коду повинні виконуватися користувачем самостійно.