Напомним, кошельками в индустрии криптовалют называют программное обеспечение, платформу, устройство или простой носитель с приватными ключами, которые открывают доступ к содержимому определённого блокчейн-адреса. В целом кошельки принято делить на горячие и холодные.
Горячие — это кошельки с постоянным доступом к интернету, которые вдобавок хранят в себе приватные ключи. Такие программы обеспечивают удобство использования, поскольку для проведения транзакции пользователю достаточно нажать несколько кнопок. Примерами горячих кошельков являются MetaMask, уже знакомый нам Phantom, Core и прочие популярные платформы.
Криптовалютный кошелёк Phantom
В то же время холодные кошельки не подключены к интернету, из-за чего они менее уязвимы перед хакерами. Эту категорию представляют аппаратные кошельки, которые хранят приватные ключи за пределами онлайна, где в том числе подписывают транзакции. Такие устройства требуют подтверждения каждого действия с сид-фразой со стороны пользователя, что также является дополнительным уровнем защиты криптоактивов.
Аппаратный кошелёк Ledger Nano X
В статье речь идёт о так называемых бумажных кошельках. По сути это лист бумаги, на котором зафиксированы публичный и приватный ключи для распоряжения криптовалютами.
Пример бумажного кошелька для криптовалют
Такой кошелёк нужно хранить в безопасности, ведь любой человек с доступом к приватному ключу может перевести монеты владельца на свой адрес. Собственно, это и произошло с упомянутым пользователем Реддита.
Как хакеры крадут криптовалюты?
Пользователь объяснил, что пытался придерживаться всех норм безопасности, однако его биткоины всё равно пропали с кошелька. Вот соответствующая реплика жертвы обмана.
Я пытаюсь понять, как кто-то получил доступ к моему кошельку. Я думал, что храню его одним из самых надёжных способов. Всё было сделано вручную: я сгенерировал свой приватный ключ и распечатал его на бумаге на компьютере, который был отключён от интернета. Затем я перевёл свои BTC на этот кошелек и хранил бумагу в сейфе, ключ от которого есть только у меня. Тем не менее, кто-то перевёл все мои BTC на другой адрес.
Пример бумажного кошелька для криптовалют
Автор записи воспользовался сайтом walletgenerator.net для создания адреса и приватного ключа своего кошелька. Как он сам заявляет, весь процесс был проведён в офлайне, то есть за пределами интернета. Сначала jdmcnair загрузил JavaScript-клиент сайта на компьютере, затем сгенерировал нужные комбинации, конвертировал их в PDF-файл, почистил кэш браузера и переслал документ на принтер для печати.
Изначально жертва ситуации предположила, что именно принтер был уязвимым звеном во всей этой цепочке.
Перечисленные операции были проделаны пользователем приблизительно год назад, однако криптовалюты пропали с его кошелька лишь в начале июля этого года. Юзер заметил пропажу накануне и опубликовал запись на Реддите, которую в итоге удалил.
Кошелёк предполагаемого мошенника получил не только транзакцию одной жертвы, но и дополнительные переводы с как минимум двадцати кошельков. Все они были совершены в одно время.
Крупный перевод на адрес мошенника
jdmcnair не слишком расстроен потерей относительно небольшой суммы, однако так или иначе призвал сообщество разобраться в произошедшем. В свою очередь, у комментаторов быстро появилась правдоподобная теория – вектором атаки мог быть сайт для генерации приватных ключей для бумажного кошелька.
Один из комментаторов отметил, что платформу продали ещё в 2017 году. Кроме того, на Реддите есть посты с жалобами на Walletgenerator от других пользователей. К примеру, вот одна из записей, в которой автор обвиняет указанные платформы в скаме.
Пост на Реддите с историей об уязвимости Walletgenerator
Сейчас данная страница и вовсе не открывается в браузере – оказывается, она действительно была инструментом для фишинга со стороны мошенников. Ситуацию не спасает даже тот факт, что автор поста генерировал секретные комбинации в офлайне, как это и принято делать.
Вот что по этому поводу пишет комментатор под псевдонимом Veloder.
Возможно в коде, который генерирует кошельки на этом сайте, есть уязвимость. То есть присутствует недостаток энтропии, ограничивающий его генерацию всего несколькими сотнями или тысячами уникальных приватных ключей ключей, так что все они могут быть получены достаточно легко. Или другой вариант: разработчик этого сайта действительно является мошенником, умышленно распространяющим вредоносный клиент.
Данный сценарий предполагает, что генерация приватных ключей не была защищена, а значит у мошенников был доступ к кошельку жертвы. Соответственно, они просто ждали нужного момента или пополнения адреса, чтобы перевести активы себе.
Транзакции с кошелька владельца взломанного кошелька
Ещё один возможный сценарий – код просто создавал имитацию работы, а затем выдавал своим жертвам уже заранее сгенерированные приватные ключи, к которым был доступ у мошенников. Соответственно, последним было достаточно ввести секретную комбинацию в интерфейс другого подходящего кошелька и вывести средства жертв. Это также объясняет одновременный перевод средств сразу с нескольких кошельков на его адрес, о котором было упомянуто раньше.
😈 БОЛЬШЕ ИНТЕРЕСНОГО МОЖНО НАЙТИ У НАС В ЯНДЕКС.ДЗЕНЕ!
В интервью журналистам Cointelegraph глава отдела безопасности операций Certik Хью Брукс подтвердил догадки комментаторов. Вот его реплика по поводу произошедшего.
Некоторые из этих платформ для генерации кошельков могут быть откровенным мошенничеством. На сайте, о котором идёт речь в треде, указан IP-адрес в РФ. Если посмотреть на инструмент Criminal IP, то можно увидеть, что на этот адрес подано несколько жалоб о мошенничестве.
Решение проблемы, по мнению Брукса, простое. Пользователи, желающие обеспечить безопасное хранение криптовалют, должны использовать «надёжных поставщиков аппаратных кошельков по типу Ledger и Trezor».
Правда, и тут не всё так просто. Мошенники активно используют социальные сети в попытках выманить сид-фразы владельцев таких устройств, на чём регулярно акцентируют внимание те же сотрудники Ledger.
Аппаратный кошелёк Ledger Stax
Данная история станет неприятным уроком для jdmcnair. Впрочем, выход из неё всё же есть. Владельцам криптовалют стоит использовать аппаратные кошельки по типу Ledger, при этом заказывая их непосредственно у производителя. Вдобавок безопаснее использовать несколько подобных устройств с разными сид-фразами, равномерно распределяя монеты между ними. Таким образом получится защитить большую часть своих активов в случае утечки секретной комбинации в реальной жизни или в случае взлома какой-то децентрализованной платформы.
Ещё больше интересного ищите в нашем крипточате бывших богачей. Там ждём наступления нового буллрана на рынке цифровых активов, который рано или поздно всё же случится.
ПОДПИСЫВАЙТЕСЬ НА НАШ КАНАЛ В ТЕЛЕГРАМЕ, ЧТОБЫ БЫТЬ В КУРСЕ.
