Безпека апаратного гаманця: виявлення двох поширених шахрайських схем

У сфері криптовалют апаратний гаманець вважається важливим інструментом для захисту цифрових активів. Цей фізичний пристрій спеціально призначений для офлайн зберігання приватних ключів, що дозволяє користувачам повністю контролювати свої криптовалюти. Оскільки зазвичай він працює в офлайн середовищі, апаратний гаманець значно знижує ризик піддавання мережевим атакам.

Попри це, через недостатнє розуміння багатьох інвесторів апаратних гаманців, все ще відбувається чимало шахрайських інцидентів, спрямованих на новачків, що призводить до втрати активів, збережених в апаратних гаманцях. У цій статті будуть детально описані два поширені методи шахрайства з апаратними гаманцями: шахрайство з інструкціями та шахрайство з маскуванням модифікацій пристроїв.

Методи шахрайства з інструкціями

Цей спосіб шахрайства в основному використовує незнайомство звичайних інвесторів із методом використання апаратного гаманця. Шахраї замінюють фальшиві інструкції, спонукаючи жертв переводити гроші на заздалегідь підготовлену фішингову адресу. Конкретно, коли жертви купують апаратний гаманець з неофіційних каналів, вони активують пристрій за "початковим PIN-кодом", вказаним у "інструкції" в упаковці, і резервують "фразу-відновлення", надруковану на ньому. Потім вони вносять великі суми на адресу гаманця, що врешті-решт призводить до крадіжки коштів.

Ця ситуація не пов'язана з тим, що гаманець був зламаний, а з тим, що злочинці заздалегідь активували гаманець, отримавши адресу та мнемонічну фразу, а потім підробили інструкцію та переробили упаковку. Ці активовані апаратні гаманці продаються через неофіційні канали, і як тільки жертва переведе активи на адресу, вона потрапить у стандартну пастку для крадіжки криптовалюти з підробленого гаманця.

На вторинному ринку в Азії також існують подібні ризики. Виробники апаратних гаманців попереджали користувачів, що деякі неофіційні магазини під час продажу "активованих" апаратних гаманців змінювали інструкції з використання, спокушаючи користувачів класти кошти на адреси гаманців, які були заздалегідь створені злочинцями. Тому важливо так само розпізнавати офіційні канали продажу, як і розпізнавати офіційні веб-сайти.

Псевдопідробка схеми модернізації обладнання

У іншому випадку користувач випадково отримав посилку, що нібито надійшла від компанії з виробництва апаратних гаманців, в якій містився новий апаратний гаманець і лист. У листі стверджувалося, що через кібератаку компанія зазнала витоку даних користувачів, тому нові пристрої були надіслані постраждалим клієнтам, і користувачам пропонувалося замінити пристрій для забезпечення безпеки.

Однак справжність цього листа викликає сумніви. Генеральний директор компанії апаратного гаманця чітко заявив, що компанія не надасть жодних компенсацій за випадкове розкриття особистих даних. Користувачі, які отримали пакунок, також зазначили, що це шахрайство, і поділилися додатковими зображеннями, які демонструють явні ознаки підробки пакування пристрою.

Крім того, відома компанія з безпеки також повідомила про випадок підробленого апаратного гаманця. Жертва купила апаратний гаманець через неофіційні канали, але внутрішнє програмне забезпечення пристрою було замінено зловмисниками, що дозволило їм отримати доступ до криптоактивів користувача та здійснити крадіжку монет.

Рекомендації щодо безпечного використання

З наведених прикладів видно, що атаки на постачальницький ланцюг апаратних гаманців вже стали досить поширеними. Інвестори та виробники апаратних гаманців повинні бути настільки ж обережними. Ось кілька порад щодо правильного використання апаратних гаманців, які допоможуть уникнути ризику крадіжки криптовалюти:

1. Продовжуйте купувати апаратні пристрої лише з офіційних каналів. Будь-який апаратний гаманець, придбаний через неофіційні канали, може містити ризики безпеки.

2. Переконайтеся, що придбаний гаманець знаходиться в неактивованому стані. Офіційно продані апаратні пристрої повинні бути неактивованими. Якщо користувач після ввімкнення виявить, що пристрій вже активовано, або в інструкції згадуються "початковий пароль" або "за замовчуванням адреса", слід негайно припинити використання та зв'язатися з офіційною службою підтримки.

3. Забезпечте, щоб адресу гаманця створював сам користувач. Окрім активації пристрою, налаштування PIN-коду, генерація коду прив'язки, створення адреси та резервне копіювання повинні виконуватись користувачем особисто. Будь-який етап, переданий третій стороні, може призвести до ризику втрати коштів. У нормальних умовах, під час першого використання апаратного гаманця, активація пристрою, створення гаманця, резервне копіювання мнемоничної фрази та налаштування PIN-коду мають виконуватись користувачем самостійно.