房产热销电话:400-888-88888
新闻资讯CLASS
联系方式contact us
地址:某市某区某街某号
电话:13912345678
传真:13912345678
新闻详情 当前位置:首页 > 新闻详情
SIM卡交换攻击盗币猖獗比特币从业者如何自保?
发布人:betway-必威官网手机版-betway体育app 发布日期:2020-02-16 18:05:34

  举个例子:在过去十年的大部分时间里,这两种做法的结合导致了越来越多的SIM交换攻击,最终导致盗窃比特币和其他加密货币的行为日益猖獗。

  SIM卡交换是攻击者获得受害者无线电话帐户控制权的一种低成本、非技术性的方式。要发起攻击,黑客需要知道移动无线运营商如何验证身份以及有关受害者的某些信息。通常,得到受害者的一个电话号码就足够了。

  现在,有明确的证据表明,美国大多数拥有无线运营商电话号码的人都容易受到SIM交换的攻击。如果你持有不想被盗的比特币,这一事实可能会更加令人痛苦。

  由哈佛大学计算机科学系和普林斯顿大学信息技术政策中心的教授和博士组成的联合研究小组在2020年1月发表的一项经验研究中证明了潜在的SIM交换的日益增加。

  普林斯顿大学副教授,论文的作者之一阿文德·纳拉亚南(Arvind Narayanan)在推特上总结道: “攻击者打电话给你的载体,假装是你,并要求将服务转移到新的由攻击者控制的SIM卡上。这已经够糟糕了,但是数百个网站还在使用SMS (Short Message Service短信服务)进行两因素身份验证,使你的帐户处于危险之中。”

  该研究测试了美国五家主要无线运营商的身份验证协议--AT&T,T-Mobile,Tracfone,US Mobile和Verizon。SIM卡交换测试为每个运营商尝试10个不同的预付费帐户,经过测试之后,作者发现所有五个运营商都使用了被认为不安全的身份验证方法。

  纳拉亚南表示:“综合起来,这些发现有助于解释为什么SIM卡交换一直是一个持续存在的问题。”

  更麻烦的是,SIM卡交换问题已经严重到在研究期间纳拉亚南的手机SIM卡都被交换了。当他打电话报告欺诈行为时,其运营商的客户服务部门在验证了攻击者之后就无法对教授进行验证。最后纳拉亚南通过运用研究成果来利用运营商的协议漏洞,从而重新获得了对无线帐户的控制。

  幸运的是,纳拉亚南迅速做到了这一点。一旦攻击者控制了受害者的无线帐户,他们就有可能进行大量的破坏。如研究中所述,这在很大程度上是由于用户为在线访问数字资产设置的不安全的身份验证方法(例如基于SMS或基于呼叫的2FA,一旦攻击者可以访问你的无线帐户,这些方法就不安全)和安全性问题(涉及容易获取的公共信息,例如母亲的娘家姓)。此外,该研究还发现了17个网站,仅凭SIM交换就可以破坏用户帐户(此方法的基础来自据集)。该研究发布后不久,T-Mobile告知作者,在对其进行审查后,它已停止使用“最近的号码”进行客户身份验证。

  SIM交换已经进行了多年。许多SIM卡交换目标属于以下两个类别之一:拥有珍贵社交媒体帐户的名人,例如Twitter的首席执行官,杰克·多尔西(Jack Dorsey)或拥有大量加密货币的人。去年,在比特币牛市鼎盛时期,一些加密货币所有者就被进行了SIM交换。

  2019年12月,加密货币记者和播客Laura Shin发布了一个播客片段,讲述了她作为最近的SIM卡交换受害者的经历。Shin并未遭到抢劫,但她的经历值得注意,因为她透露,尽管她之前曾在2016年报道过该主题并在几年前积极保护自己的帐户,但她仍然很脆弱。

  最终,使比特币所有者比其他无线运营商客户更容易作为SIM交换目标的事实是,比特币交易记录在区块链上,因此它们不能被撤销。与无线帐户不同,当局要抓住被盗的比特币要困难得多(尽管可以通过区块链分析来追查)。

  此外,与大多数在线银行账户不同,只有少数加密货币交易所(如Coinbase,Gemini,ItBit和由FDIC保险提供担保,该保险为会员银行中的存款提供最高25万美元的保险。当将比特币的价值视为一种去中心化的不可变资产时,这是很合理的。但这也意味着安全永远不应被视为理所当然。

  企业家和投资者迈克尔·特平(Michael Terpin)是高净值加密货币所有者,他与人共同创立了第一个针对比特币爱好者的天使基金,即Bitangels基金,他们都非常清楚这一宗旨。

  关于Terpin案的司法纠纷卷入了他于2018年8月针对AT&T进行的2.24亿美元持续诉讼中。两次有组织的黑客交换了Terpin的T-Mobile和AT&T帐户相关的SIM卡。据他介绍,第一次SIM交换后,一群攻击者“在波士顿的两家商店里互相殴打,以使我放弃这两个帐户的凭据。”

  在进行了这些交换之后,黑客在Terpin开设的交换帐户中抢了一半多一点的比特币,“当时比特币大约是100美元。”

  第一次SIM交换后,Terpin要求两个运营商提供更高的安全性。事实证明,AT&T和T-Mobile各自提供了“高级配置保护选项”。但是,就像Terpin说的一样,当T-Mobile的店内验证“无端口”选项和AT&T添加的六位数帐户密码都被证明无用时,2018年1月,一名新泽西AT&T零售店的19岁员工出卖了Terpin的账户密码,以换取100美元的贿赂。

  “是的,” Terpin说,“他们唯一能得到的就是山寨币,但那天它们恰好具有很高的价值。”

  与比特币不同,Terpin被盗的山寨币(TRIG,SKY和STEEM)没有可用的钱包私钥硬件备份选项。

  尽管Terpin的上一次SIM交换发生在两年多以前,但他说,每周都有一名新的SIM交换受害者与他联系,以寻求帮助。如果他们真想解决的话,他会将他们指向他的法律团队和加利福尼亚州的REACT工作组。

  Terpin 声称,在Truglia的另一次SIM欺诈保释听证会上的证据(一个iCloud备份文件)表明Truglia可能也是他2400万美元攻击背后的SIM卡交换者。在Terpin袭击的同一天,Truglia向家人和朋友发送了邮件,表明他从钱包中窃取了价值超过2000万美元的加密货币,并将其转换为比特币,他的生活永远改变了。尽管调查仍在进行中,但Terpin声称Truglia是由26人组成的分散式SIM卡交换小组的成员之一。

  调查记者布莱恩·克雷布斯(Brian Krebs)将Truglia的案子与盗窃SIM卡交换者的其他几项逮捕,指控和刑罚结合在一起,对这些角色进行详细的描述。据克雷布斯说,他们都是男性,年龄在25岁以下。

  2020年1月,一份报告指责18岁的加拿大居民Samy Bensaci对区块链研究小组负责人Don Tapscott实施SIM交换,所幸的是这未能成功。这个故事将加密货币社区中的许多SIM交换目标与其在纽约市举行的年度共识会议的出席联系起来。它还证实了Krebs的报告,该报告将SIM交换加密货币盗窃行为与名为在线论坛的用户相联系。

  比特币和隐私专家Matt Odell说:“我认为每个人总是对年轻一代采用新技术感到措手不及。”他参与了多个项目,例如共同主持“地窖故事”播客。

  就像大规模采用本身一样,比特币和相关的SIM卡交换盗窃的现象似乎是由年轻一代针对较原始系统的受害者发起的。

  Webroot的安全分析师泰勒·莫菲特(Tyler Moffitt)表示:“围绕这项技术创造的法律总是落后的。”他指的是比特币所有者由于其无线运营商而处于独特的危险境地。“我看不出在未来五年内会出现[更严格的运营商消费者保护法],到那时,黑客已经从SIM交换盗窃加密货币中赚了一大笔钱。”

  莫菲特(Moffitt)是众多认为在权衡便利性和安全性时,人们将始终倾向于便利性的人之一。这正是无线运营商账户和整个美国社会被设计成的方式。

  但是响亮的声音开始发出。2020年1月9日,美国六位议员签署了致美国联邦通信委员会(FCC)主席阿吉特·派(Ajit Pai)的一封信,他此前曾担任Verizon的总顾问。该信提倡加强针对无线客户的SIM交换欺诈保护,并指出了调查人员与REACT工作组就SIM交换总损失的声明:“他们已经知道3000多名SIM交换受害者,这造成了7000万美元的损失。“

  这封信还解决了SIM卡交换黑客行为变得更加复杂的指控问题。现在,攻击者还通过欺骗或强迫零售员工在其计算机上以远程桌面协议的形式运行恶意软件,从而直接入侵无线运营商计算机中,而不仅仅是行贿。

  信中写道:“你是否曾看到有关违规的报道……涉及对无线运营商的入侵,包括零售商店中的计算机以及客户服务代理商使用的计算机?”

  更加严重的是,这封信的立法者和作者认识到,SIM卡交换盗窃对国家安全构成了非常现实的威胁。据称许多政府机构雇员使用不同级别的2FA。在这种假设下,有组织的黑客或民族国家行为者团体可以访问公共官员的电子邮件帐户,然后以几种严重的破坏性方式利用该访问权,例如从联邦紧急事务管理局的警报和警告中发出虚假的紧急警报。

  Terpin在2019年秋季向FCC发送了类似的信,其中有更具体的要求。

  这是无线运营商的核心安全故障–与银行,航空公司和酒店不同,这些机构的无线帐户的密码访问权限是基于是否具有密码而“通过”或“失败”,但运营商员工可以使用整个无线帐户的密码。主要是为了方便客户,当客户摔坏或丢失手机,然后急需返回我们的以移动设备为中心的世界时。但是,鉴于许多运营商商店,甚至以最大运营商名称冠名的商店,实际上都是第三方拥有和经营的,因此这种核心安全漏洞显得更加糟糕。

  “不仅仅是电信公司的员工,” Yubico的首席产品官Guido Appenzeller说。Yubico是一家以发明YubiKey闻名的硬件安全公司。“每个第三方零售雇员都可以访问这些数据库。”

  在某些地区,第三方零售运营商的最低时薪每小时低至10美元,很明显,这就是为什么零售零售商会以每100美元的价格泄露数千个帐户密码的原因。

  从一开始,比特币文化中就有一条深植其代码中的共同信仰—获得真正的自由意味着要承担个人,财务和技术责任的新高度。隐私和操作安全没有什么不同,通常我们不会为了方便而牺牲它们,但会在交易和借贷等牟利活动中丧失。总体而言,损失更多是提高比特币安全性的最佳动力,但重要的是不要以为你的行李不够大而成为盗窃的受害者。

  打破常规是无线运营商未针对比特币用户进行优化的原因之一。大多数人不会成为SIM交换的目标,但是,根据Appenzeller的说法,如果有人“说有超过10,000美元的比特币钱包,SIM交换无疑在经济上对黑客有吸引力”。

  还有一些更复杂,更容易获得的恶意软件攻击实例,它们绕过了基于应用程序的2FA,而无需进行SIM交换。其中包括使用冒名顶替者的仿冒网站,例如上次Binance黑客攻击中所使用的网站,以及危害更大的DNS劫持或中毒行为,通常由民族行为者用来从事间谍活动,例如海龟行动。

  好消息是,有可用的技术可以防止SIM交换和更复杂的网络钓鱼攻击。大众消费者市场上最强大的2FA方法是U2F,即使用USB的两因素身份验证。Appenzeller表示,使用U2F消除了基于SIM卡的攻击的风险,并消除了“网络钓鱼和其他中间人攻击以及其他恶意软件攻击”。

  他的公司Yubico与Google共同创建了U2F,并在其旗舰产品YubiKey中使用了U2F。这样,YubiKey相当于2FA的硬件钱包,并且在撰写本文时,还没有一个用户成为SIM交换相关盗窃的牺牲品。

  对于本文,我们与几位安全专家和比特币社区成员进行了交谈。根据这些信息,以下列出了为避免SIM卡交换攻击而应做的“不要做的事项”:

  如果你不使用比特币进行交易,请不要将其保留在交易所中。请参阅此交易清单(),这些交易所因黑客和其他恶意活动而丢失了客户的钱。

  重新访问你的无线运营商和其他在线帐户的安全策略。你可以尝试入侵自己的帐户来进行测试。Twofactorauth.org是一个不错的起点。

  “我正在使用密码管理器,这是一个很好的做法。与我一起工作的每个人都使用密码管理器。” — Guido Appenzeller

  “就密码/密钥管理而言,我使用多个加密USB备份的可靠密码管理器。房屋外面至少一个备份(和房屋内至少一个备份)。我总是在旅行时携带一份副本,偶尔与我的妻子和另一个兄弟一起进行测试和设置浏览。我的大部分资产位于硬件钱包上,然后适度放入比特币核心钱包,我用它为我的所有Casa,移动应用,Lightning,beta客户等提供资金。”

  “购买多个YubiKeys(用于冗余),并尽可能将它们用于2FA。许多密码管理器支持YubiKey 2FA,而许多Web应用程序现在支持U2F 2FA,较新的YubiKeys也支持。如果Web应用程序仅支持TOTP滚动代码,你仍然可以使用Yubico身份验证器应用程序将数据保存在YubiKey上。”

  有关如何保护你的比特币免受SIM交换攻击以及如果发生意外时如何处理的更多信息,请参阅《SIM交换圣经》。当比特币牛市时,攻击(SIM交换或其他方式)往往会发生。

  疫情肆虐,灾难当前,CSDN 联合PyCon中国、wuhan2020、xinguan2020 等力量举办「Python开发者日」线上公益峰会,本次活动特邀数位一线Python技术专家重点围绕python在疫情项目中的具体应用展开,分享真实项目环境中使用Python应对挑战的真知灼见。

地址:某市某区某街某号    座机:400-8888-888    手机:15012345678
版权所有:    技术支持:某网站建设公司    betway-必威官网手机版-betway体育app