С помощью социальной инженерии за последний год хакерам удалось похитить 21 тыс. токенов криптовалюты Etherum (ETH) на сумму в 10 млн долл.
Как выяснили специалисты по компьютерной безопасности из «Лаборатории Касперского», кроме взлома криптовалютных бирж, эксплуатации уязвимостей в смарт-контрактах и использования зловредов-майнеров, преступники прибегают также к классическим методам социальной инженерии, приносящим им миллионы долларов.
Целью хакеров, как правило, являются не только владельцы криптовалютных кошельков, но и все те, кто интересуется этой темой.
Чтобы стало понятнее, объясним. В основе криптовалют лежит ассиметричное шифрование с публичным и приватным ключами. А адрес кошелька, на который может перевести деньги любой желающий, можно сгенерировать из открытого ключа, который, в свою очередь, получается из закрытого (приватного).
Приватный ключ требуется для совершения любых операций, и, разумеется, именно он интересует мошенников. Хотя надо сказать, злоумышленники охотятся не только за приватным ключом жертвы: часто их цель – заставить пользователя собственноручно перевести средства на их счета.
Чаще всего жертвами мошенников становятся инвесторы, желающие принять участие в ICO. Чтобы обмануть их, злоумышленники создают фейковые веб-сайты и рассылают фишинговые письма, в которых указывают адреса для перевода средств.
Так, к примеру, поступили злоумышленники, разместившие в Twitter сообщение об ICO от имени проекта Switcheo. Им тогда удалось похитить в криптовалюте более 25 тыс. долл.
Есть и иной риск потери денег – взлом криптобиржи с последующим похищением средств пользователей. Здесь можно напомнить о недавних проблемах крупнейшей южнокорейской биржи Bithumb, когда сервис, сообщив о краже 32 млн долл., остановил проведение всех операций. А в конце прошлого года после похищения 17% всех активов свою деятельность прекратил другой криптовалютный биржевой сервис – Youbit.
Всем известно, что для приобретения и обмена криптовалют используются биржи. Они же предоставляют услуги по хранению цифровых денег, генерируя пользователю отдельный кошелек для каждой из валют, и держа приватные ключи на свои серверах.
Естественно, если мошеннику удастся заполучить аутентификационные данные от биржевого аккаунта, он получит доступ и к деньгам пользователя. Этим-то и объясняется обилие фишинговых ресурсов, имитирующих страницы авторизации популярных криптовалютных бирж.
Многие пользователи предпочитают хранить валюту в отдельных кошельках, которые можно разделить на два вида: онлайн и офлайн. Использование онлайн-кошелька не безопаснее хранения активов в кошельке биржи: вы доверяете приватный ключ третьей стороне и не контролируете его.
По словам ведущего аналитика веб-контента «Лаборатории Касперского» Надежды Демидовой, «самыми надежными считаются аппаратные криптокошельки, которые представляют собой физическое устройство, которое генерирует и хранит в своей памяти неизвлекаемый закрытый ключ. При проведении транзакции все необходимые операции происходят внутри кошелька, и наружу выдается только электронная подпись».
Вместе с тем способы получения доступа к онлайн-кошельку жертвы не отличаются от классического фишинга – мошенники, как правило, создают страницы, имитирующие страницу аутентификации на сайте сервиса. А ссылки на поддельные ресурсы, чаще всего, распространяются по электронной почте со стандартными угрозами блокировки аккаунта или о необычной активности в нем. Главное – пользователю нужно «пройти идентификацию» для предотвращения пропажи средств.
Знакомясь с исследованием, осознаешь: шаблоны мошеннических действий постоянно эволюционируют, и защититься от них не так просто. При этом, учитывая перспективы цифровой экономики, сфера криптовалют является для преступников весьма привлекательной и прибыльной. И будет оставаться такой в будущем.
Больше материалов читайте на сайте fingazeta.ru
