Посібник з безпеки апаратного гаманця: виявлення та уникнення поширених замилювань очей
У сфері криптовалют безпека завжди є найважливішим фактором. Багато користувачів обирають використовувати апаратний гаманець (також відомий як холодний гаманець), щоб захистити свої цифрові активи. Основна функція цього фізичного безпекового пристрою полягає в тому, щоб зберігати приватний ключ, що контролює токени, в офлайн-режимі на безпечному чіпі. Усі підтвердження та підписи транзакцій виконуються всередині пристрою, приватний ключ ніколи не контактує з підключеними до мережі пристроями, що значно знижує ризик кібернападів.
Проте безпека апаратного гаманця ґрунтується на одному важливому припущенні: пристрій у користувача має бути надійним і незмінним. Якщо зловмисник вже здійснив шкідливі дії з пристроєм до того, як користувач його отримав, тоді ця безпечна фортеця, яка повинна захищати приватний ключ, з самого початку втрачає свою функцію і стає пасткою, в яку шахраї можуть в будь-який момент впіймати свою здобич.
У цій статті буде представлено два типи поширених атак на апаратні гаманці, а також надано повний посібник з безпеки.
Типи атак на апаратний гаманець замилювання очей
Наразі атаки на апаратні гаманці в основному поділяються на два типи: технічні атаки та замилювання очей з попередньо заданими мнемонічними фразами.
Технічна атака
Ця атака полягає в фізичній модифікації апаратного гаманця. Зловмисники використовують такі технічні засоби, як заміна внутрішніх чіпів або впровадження шкідливих програм, які можуть таємно записувати або передавати мнемонічні фрази. Ці модифіковані пристрої зовні можуть не відрізнятися від оригіналів, але їхні основні функції були захоплені.
Зловмисники зазвичай маскуються під відомі проекти, бренди апаратних гаманців або лідерів думок у соціальних мережах, щоб безкоштовно замінити, розіграти тощо, відправляючи атаковані апаратні гаманці як "подарунки" жертвам.
У 2021 році повідомлялося, що один користувач отримав "безкоштовну заміну" пристрою, який нібито надіслав офіційний представник відомого бренду апаратних гаманців. Коли він використав свої власні мнемонічні фрази для відновлення гаманця на пристрої, токени на суму 78 000 доларів США були миттєво вкрадені. Подальший аналіз показав, що цей пристрій був заражений шкідливим програмним забезпеченням, яке могло викрадати мнемонічні фрази, коли користувач їх вводив.
замилювання очей заздалегідь заданих мнемонічних слів
Це нині найбільш поширене та найпростіше замилювання очей. Воно не залежить від складних технологій, а скоріше використовує інформаційні розриви та психологію користувачів. Його суть полягає в тому, що шахраї ще до того, як користувач отримає апаратний гаманець, заздалегідь налаштовують набір мнемонічних слів, використовуючи підроблені інструкції та обманні слова, спонукаючи користувача безпосередньо використовувати цей гаманець.
Шахраї зазвичай продають апаратні гаманці за низькою ціною через неофіційні канали (такі як соціальні платформи, стрімінгову електронну комерцію або ринок вживаних товарів). Як тільки користувачі нехтують перевіркою або прагнуть зекономити, вони легко потрапляють у пастку.
Шахраї купують оригінальні апаратні гаманці з офіційних каналів, потім відкривають їх і здійснюють зловмисні дії: активують пристрій, генерують і записують мнемонічну фразу гаманця, змінюють інструкцію та картку продукту. Після цього за допомогою професійного пакувального обладнання їх повторно упаковують, маскуючи під "повністю новий, не відкритий" продукт для продажу на електронних торгових платформах.
Наразі спостерігаються два види замилювання очей з використанням попередньо налаштованих мнемонічних фраз:
Пряме надання заздалегідь заданих мнемонічних слів: у упаковці є картка з надрукованими мнемонічними словами, що спонукає користувачів використовувати ці мнемонічні слова для відновлення гаманця.
Надати попередньо встановлений PIN-код: надати картку для скретч-коду, стверджуючи, що, зскобливши покриття, можна побачити унікальний "PIN-код" або "код активації пристрою", і брехати, що апаратний гаманець не потребує мнемонічної фрази.
Якщо користувач стикається з попередньо встановленими схемами замилювання очей з використанням мнемонічних фраз, то на поверхні в користувача є апаратний гаманець, але насправді він не володіє контролем над гаманець, оскільки контроль над цим гаманцем (мнемонічна фраза) завжди залишається в руках шахрая. Після цього всі токени, які користувач переводить у цей гаманець, фактично потрапляють прямо в кишеню шахрая.
!
Користувацький випадок
Користувач на одній з платформ короткого відео придбав апаратний гаманець. Отримавши товар, він виявив, що упаковка неушкоджена, а етикетка захисту також виглядає без ушкоджень. Розкривши упаковку, інструкція направила його використовувати попередньо встановлений PIN-код для розблокування пристрою. Він відчув здивування: "Чому я не можу самостійно встановити PIN-код? І чому протягом усього процесу мені не запропонували зробити резервну копію мнемонічної фрази?"
Під час консультації з обслуговуванням клієнтів, співробітник пояснив: "Це наш новий бездокументний апаратний гаманець, що використовує найновіші технології безпеки. Для зручності користувачів ми налаштували унікальний безпечний PIN-код для кожного пристрою, який можна використовувати після розблокування, що робить його ще більш зручним і безпечним."
Ця заява зняла сумніви користувачів. Він, слідуючи інструкціям, використав заздалегідь заданий PIN-код для завершення з'єднання і поступово перевів кошти в новий Гаманець.
На початку кількох днів отримання та перекази проходили нормально. Однак, в момент, коли він перевів велику суму токенів, всі токени з гаманця були переведені на незнайому адресу.
Після зв'язку з офіційною службою підтримки справжнього бренду, користувач усвідомлює: він придбав пристрій, який був активований заздалегідь і налаштований з мнемонічною фразою. Цей апаратний гаманець з самого початку не належав йому, а завжди контролювався шахраями. Так званий "новий покоління холодного гаманця без мнемонічної фрази" - це всього лише обман шахраїв.
!
Як захистити свій апаратний гаманець
Щоб запобігти ризикам на всіх етапах, від джерела до використання, будь ласка, ознайомтеся з наступним списком перевірки безпеки:
Перший крок: купівля та розпакування через офіційні канали
Наполягайте на покупках через офіційно вказані канали.
Після отримання пристрою перевірте, чи не пошкоджена зовнішня упаковка, пломби та вміст.
Введіть серійний номер пристрою на офіційному сайті, щоб перевірити статус активації пристрою, новий пристрій повинен показувати "Пристрій ще не активовано".
Другий крок: незалежно згенерувати та зробити резервну копію мнемонічної фрази
Перший раз, обов'язково самостійно активуйте пристрій, налаштуйте та зробіть резервну копію PIN-коду та коду прив'язки, створіть та зробіть резервну копію мнемонічної фрази.
Фізично зробіть резервну копію мнемонічної фрази (наприклад, написавши її на папері) або за допомогою спеціальних інструментів, і зберігайте її в безпечному місці, відокремленому від апаратного гаманця. Ніколи не фотографуйте, не робіть скріншоти і не зберігайте на жодному електронному пристрої.
!
Третій крок: тестування малих токенів
Перед внесенням великих токенів, рекомендується спочатку завершити повне тестування отримання та виведення за допомогою невеликої суми токенів.
Коли підключаєте програмний гаманець для підписання переказу, уважно перевірте інформацію на екрані апаратного пристрою (таку як валюта, кількість переказу, адреса отримувача), щоб переконатися, що вона збігається з відображеною в додатку. Після підтвердження успішного виведення токена, продовжте з подальшими операціями з великими сумами.
!
Висновок
Безпека апаратного гаманця залежить не лише від його основного технологічного дизайну, але й від безпечних каналів покупки та правильних звичок користувачів. Фізична безпека є абсолютно важливим елементом захисту цифрових токенів.
У світі криптовалют, де існують як можливості, так і ризики, обов'язково слід дотримуватися концепції безпеки "нульової довіри" — не довіряйте жодним каналам, особам або пристроям, які не пройшли офіційну перевірку. Будьте надзвичайно обережні щодо будь-якої "безкоштовної обіду", це перша і найважливіша лінія захисту ваших токенів.
Ця сторінка може містити контент третіх осіб, який надається виключно в інформаційних цілях (не в якості запевнень/гарантій) і не повинен розглядатися як схвалення його поглядів компанією Gate, а також як фінансова або професійна консультація. Див. Застереження для отримання детальної інформації.
14 лайків
Нагородити
14
7
Репост
Поділіться
Прокоментувати
0/400
Ramen_Until_Rich
· 08-15 22:30
Знову попався на гачок і обманутий, герой!
Переглянути оригіналвідповісти на0
WhaleWatcher
· 08-15 02:48
Попередньо встановлена мнемонічна фраза справді стара пастка, зараз хто ще ведеться на цей трюк.
Переглянути оригіналвідповісти на0
GweiWatcher
· 08-14 19:46
Чую твої слова, як знову хтось попався на шахрайство.
Переглянути оригіналвідповісти на0
RugPullSurvivor
· 08-14 19:46
Купуєте вживаний гаманець, чекаючи, що вас обдурять, як лоха?
апаратний гаманець防骗指南：识别预设мнемонічна фраза和技术篡改陷阱
Посібник з безпеки апаратного гаманця: виявлення та уникнення поширених замилювань очей
У сфері криптовалют безпека завжди є найважливішим фактором. Багато користувачів обирають використовувати апаратний гаманець (також відомий як холодний гаманець), щоб захистити свої цифрові активи. Основна функція цього фізичного безпекового пристрою полягає в тому, щоб зберігати приватний ключ, що контролює токени, в офлайн-режимі на безпечному чіпі. Усі підтвердження та підписи транзакцій виконуються всередині пристрою, приватний ключ ніколи не контактує з підключеними до мережі пристроями, що значно знижує ризик кібернападів.
Проте безпека апаратного гаманця ґрунтується на одному важливому припущенні: пристрій у користувача має бути надійним і незмінним. Якщо зловмисник вже здійснив шкідливі дії з пристроєм до того, як користувач його отримав, тоді ця безпечна фортеця, яка повинна захищати приватний ключ, з самого початку втрачає свою функцію і стає пасткою, в яку шахраї можуть в будь-який момент впіймати свою здобич.
У цій статті буде представлено два типи поширених атак на апаратні гаманці, а також надано повний посібник з безпеки.
Типи атак на апаратний гаманець замилювання очей
Наразі атаки на апаратні гаманці в основному поділяються на два типи: технічні атаки та замилювання очей з попередньо заданими мнемонічними фразами.
Технічна атака
Ця атака полягає в фізичній модифікації апаратного гаманця. Зловмисники використовують такі технічні засоби, як заміна внутрішніх чіпів або впровадження шкідливих програм, які можуть таємно записувати або передавати мнемонічні фрази. Ці модифіковані пристрої зовні можуть не відрізнятися від оригіналів, але їхні основні функції були захоплені.
Зловмисники зазвичай маскуються під відомі проекти, бренди апаратних гаманців або лідерів думок у соціальних мережах, щоб безкоштовно замінити, розіграти тощо, відправляючи атаковані апаратні гаманці як "подарунки" жертвам.
У 2021 році повідомлялося, що один користувач отримав "безкоштовну заміну" пристрою, який нібито надіслав офіційний представник відомого бренду апаратних гаманців. Коли він використав свої власні мнемонічні фрази для відновлення гаманця на пристрої, токени на суму 78 000 доларів США були миттєво вкрадені. Подальший аналіз показав, що цей пристрій був заражений шкідливим програмним забезпеченням, яке могло викрадати мнемонічні фрази, коли користувач їх вводив.
замилювання очей заздалегідь заданих мнемонічних слів
Це нині найбільш поширене та найпростіше замилювання очей. Воно не залежить від складних технологій, а скоріше використовує інформаційні розриви та психологію користувачів. Його суть полягає в тому, що шахраї ще до того, як користувач отримає апаратний гаманець, заздалегідь налаштовують набір мнемонічних слів, використовуючи підроблені інструкції та обманні слова, спонукаючи користувача безпосередньо використовувати цей гаманець.
Шахраї зазвичай продають апаратні гаманці за низькою ціною через неофіційні канали (такі як соціальні платформи, стрімінгову електронну комерцію або ринок вживаних товарів). Як тільки користувачі нехтують перевіркою або прагнуть зекономити, вони легко потрапляють у пастку.
Шахраї купують оригінальні апаратні гаманці з офіційних каналів, потім відкривають їх і здійснюють зловмисні дії: активують пристрій, генерують і записують мнемонічну фразу гаманця, змінюють інструкцію та картку продукту. Після цього за допомогою професійного пакувального обладнання їх повторно упаковують, маскуючи під "повністю новий, не відкритий" продукт для продажу на електронних торгових платформах.
Наразі спостерігаються два види замилювання очей з використанням попередньо налаштованих мнемонічних фраз:
Пряме надання заздалегідь заданих мнемонічних слів: у упаковці є картка з надрукованими мнемонічними словами, що спонукає користувачів використовувати ці мнемонічні слова для відновлення гаманця.
Надати попередньо встановлений PIN-код: надати картку для скретч-коду, стверджуючи, що, зскобливши покриття, можна побачити унікальний "PIN-код" або "код активації пристрою", і брехати, що апаратний гаманець не потребує мнемонічної фрази.
Якщо користувач стикається з попередньо встановленими схемами замилювання очей з використанням мнемонічних фраз, то на поверхні в користувача є апаратний гаманець, але насправді він не володіє контролем над гаманець, оскільки контроль над цим гаманцем (мнемонічна фраза) завжди залишається в руках шахрая. Після цього всі токени, які користувач переводить у цей гаманець, фактично потрапляють прямо в кишеню шахрая.
!
Користувацький випадок
Користувач на одній з платформ короткого відео придбав апаратний гаманець. Отримавши товар, він виявив, що упаковка неушкоджена, а етикетка захисту також виглядає без ушкоджень. Розкривши упаковку, інструкція направила його використовувати попередньо встановлений PIN-код для розблокування пристрою. Він відчув здивування: "Чому я не можу самостійно встановити PIN-код? І чому протягом усього процесу мені не запропонували зробити резервну копію мнемонічної фрази?"
Під час консультації з обслуговуванням клієнтів, співробітник пояснив: "Це наш новий бездокументний апаратний гаманець, що використовує найновіші технології безпеки. Для зручності користувачів ми налаштували унікальний безпечний PIN-код для кожного пристрою, який можна використовувати після розблокування, що робить його ще більш зручним і безпечним."
Ця заява зняла сумніви користувачів. Він, слідуючи інструкціям, використав заздалегідь заданий PIN-код для завершення з'єднання і поступово перевів кошти в новий Гаманець.
На початку кількох днів отримання та перекази проходили нормально. Однак, в момент, коли він перевів велику суму токенів, всі токени з гаманця були переведені на незнайому адресу.
Після зв'язку з офіційною службою підтримки справжнього бренду, користувач усвідомлює: він придбав пристрій, який був активований заздалегідь і налаштований з мнемонічною фразою. Цей апаратний гаманець з самого початку не належав йому, а завжди контролювався шахраями. Так званий "новий покоління холодного гаманця без мнемонічної фрази" - це всього лише обман шахраїв.
!
Як захистити свій апаратний гаманець
Щоб запобігти ризикам на всіх етапах, від джерела до використання, будь ласка, ознайомтеся з наступним списком перевірки безпеки:
Перший крок: купівля та розпакування через офіційні канали
Другий крок: незалежно згенерувати та зробити резервну копію мнемонічної фрази
!
Третій крок: тестування малих токенів
Перед внесенням великих токенів, рекомендується спочатку завершити повне тестування отримання та виведення за допомогою невеликої суми токенів.
Коли підключаєте програмний гаманець для підписання переказу, уважно перевірте інформацію на екрані апаратного пристрою (таку як валюта, кількість переказу, адреса отримувача), щоб переконатися, що вона збігається з відображеною в додатку. Після підтвердження успішного виведення токена, продовжте з подальшими операціями з великими сумами.
!
Висновок
Безпека апаратного гаманця залежить не лише від його основного технологічного дизайну, але й від безпечних каналів покупки та правильних звичок користувачів. Фізична безпека є абсолютно важливим елементом захисту цифрових токенів.
У світі криптовалют, де існують як можливості, так і ризики, обов'язково слід дотримуватися концепції безпеки "нульової довіри" — не довіряйте жодним каналам, особам або пристроям, які не пройшли офіційну перевірку. Будьте надзвичайно обережні щодо будь-якої "безкоштовної обіду", це перша і найважливіша лінія захисту ваших токенів.