Zmanipulowane i fałszywe portfele sprzętowe: jak kupić je bezpiecznie

Fałszywy portfel sprzętowy to podrobione lub zmanipulowane urządzenie zaprojektowane do kradzieży twoich kryptowalut – zwykle dlatego, że przychodzi z ustawioną z góry frazą odzyskiwania albo potajemnie ujawnia frazę, którą tworzysz. Najlepsza obrona jest prosta: kupuj tylko u producenta lub autoryzowanego sprzedawcy, weryfikuj urządzenie podczas konfiguracji i nigdy nie używaj portfela, który przychodzi z już zapisaną frazą odzyskiwania.

Portfele sprzętowe to jeden z najlepszych sposobów ochrony kryptowalut, bo przechowują klucze prywatne offline. Właśnie ta reputacja sprawia, że oszuści je kopiują. Skompromitowane urządzenie daje fałszywe poczucie bezpieczeństwa, podczas gdy ktoś inny ma kopię twoich kluczy.

Jak działają ataki z użyciem zmanipulowanych i fałszywych portfeli

Istnieje kilka wariantów, ale większość przebiega według tego schematu:

1. 1Urządzenie zostaje zdobyte lub wyprodukowane. Oszuści kupują oryginalne urządzenia i je modyfikują albo produkują podrobiony sprzęt wyglądający jak popularna marka.
2. 2Jest odsprzedawane nieoficjalnymi kanałami. Platformy sprzedażowe, serwisy aukcyjne, sklepy w mediach społecznościowych i sklepy „z rabatami” to częste drogi.
3. 3Zostaje zastawiona pułapka. Paczka może zawierać zdrapkę z „frazą odzyskiwania” i instrukcją jej użycia albo zmodyfikowany firmware może zapisywać frazę, którą wygenerujesz.
4. 4Wpłacasz środki. Ponieważ urządzenie wygląda normalnie, wysyłasz na nie kryptowaluty.
5. 5Atakujący je opróżnia. Ponieważ ma frazę odzyskiwania, może odtworzyć twój portfel na własnym urządzeniu i przenieść wszystko – często czekając, aż saldo będzie duże.

Pokrewną taktyką jest oszustwo z „zamiennikiem” wysyłanym pocztą: ludzie dostają niezamówione urządzenie z listem, że ich stary portfel jest niebezpieczny i trzeba go wymienić. Urządzenie jest zmodyfikowane tak, by ukraść frazę odzyskiwania, którą wpisujesz podczas „migracji”. Nasz artykuł Ataki na łańcuch dostaw rozwija ten temat.

Hipotetyczny przykład

Ten scenariusz jest wymyślony, aby zilustrować schemat.

Wyobraź sobie, że Priya znajduje znany model portfela sprzętowego w ofercie na platformie sprzedażowej w wyraźnie niższej cenie niż w oficjalnym sklepie. Pudełko przychodzi w opakowaniu, które wygląda na nienaruszone, z wydrukowaną kartą z napisem „Twoja fraza odzyskiwania – przechowuj bezpiecznie”, a pod nim 24 słowa. Instrukcja każe wpisać te słowa podczas konfiguracji „dla szybszej aktywacji”. Zobacz też: Menedżery haseł a kryptowaluty.

Priya postępuje zgodnie z instrukcją, wysyła oszczędności do portfela i przez tygodnie wszystko wygląda normalnie. Potem jej saldo znika. Sprzedawca zachował kopię tych 24 słów. Nie było żadnego problemu z blockchainem ani z prawdziwymi urządzeniami marki – pułapką były urządzenie i instrukcja. Jeśli chcesz dowiedzieć się więcej, przeczytaj Oszustwa z walidacją i synchronizacją portfela.

Lista sygnałów ostrzegawczych

• W pudełku, na karcie lub w instrukcji znajduje się fraza odzyskiwania.
• Urządzenie jest już skonfigurowane, nie prosi o utworzenie PIN-u lub pokazuje istniejące konta.
• Cena jest znacznie niższa od ceny producenta.
• Sprzedawca nie jest wymieniony jako autoryzowany na oficjalnej stronie.
• Opakowanie nosi ślady ponownego zaklejenia, uszkodzonych plomb zabezpieczających, resztek kleju lub brakujących elementów.
• Instrukcja kieruje cię na stronę lub do aplikacji innej niż oficjalna strona producenta.
• Przychodzi niezamówione urządzenie z listem nakłaniającym do „migracji” środków.
• Kontrola autentyczności w aplikacji towarzyszącej kończy się niepowodzeniem lub wyświetla ostrzeżenie o urządzeniu.

Jak bezpiecznie kupić i skonfigurować portfel sprzętowy

Przed zakupem

1. 1Wejdź na stronę producenta, wpisując adres samodzielnie – uważaj na phishing przez reklamy w wyszukiwarkach.
2. 2Kup bezpośrednio tam lub u sprzedawcy wymienionego na tej oficjalnej stronie.
3. 3Unikaj urządzeń używanych, nawet od osób, które znasz.

Gdy przesyłka dotrze

Podczas konfiguracji

• Pozwól urządzeniu wygenerować nową frazę odzyskiwania i zapisz ją samodzielnie, offline.
• Nigdy nie wpisuj frazy odzyskiwania na komputerze, telefonie ani stronie internetowej.
• Aktualizuj firmware tylko przez oficjalną aplikację.
• Najpierw wyślij małą kwotę testową, a potem potwierdź adres odbiorczy na ekranie urządzenia.

Nasz przewodnik krok po kroku jak skonfigurować portfel sprzętowy opisuje cały proces, a jak wybrać portfel sprzętowy wyjaśnia, na co zwrócić uwagę przed zakupem.

Ochrona po zakupie

• Przechowuj frazę odzyskiwania offline, w bezpiecznym miejscu – rozważ stalowe kopie zapasowe frazy seed odporne na ogień i wodę.
• Każdą wiadomość, e-mail lub list z prośbą o frazę odzyskiwania traktuj jako oszustwo. Producenci nigdy o nią nie proszą.
• Zachowaj dane zakupu w tajemnicy; wycieki danych klientów mogą prowadzić do ukierunkowanego phishingu i oszustw pocztowych.
• Przed zatwierdzeniem transakcji sprawdzaj każdy adres na ekranie urządzenia.

Co zrobić, gdy podejrzewasz skompromitowane urządzenie

1. 1Przestań wpłacać na podejrzany portfel.
2. 2Zdobądź oryginalne urządzenie z oficjalnego źródła albo tymczasowo użyj innego zaufanego portfela.
3. 3Utwórz zupełnie nową frazę odzyskiwania na zaufanym urządzeniu.
4. 4Przenieś wszystkie środki z podejrzanego portfela do nowego jak najszybciej.
5. 5Skontaktuj się z producentem, podając dane sprzedawcy i urządzenia.
6. 6Zgłoś sprzedawcę platformie sprzedażowej oraz, w stosownych przypadkach, policji lub urzędowi ochrony konsumentów. Możesz też powiadomić nas przez nasz formularz zgłoszeniowy.

Jeśli środki zostały już skradzione, postępuj według artykułu co zrobić natychmiast, gdy twój portfel jest skompromitowany.

Podsumowanie

Portfel sprzętowy jest tak bezpieczny jak jego łańcuch dostaw. Kupuj u producenta lub autoryzowanego sprzedawcy, odrzucaj każde urządzenie, które przychodzi z frazą odzyskiwania lub bez zamówienia, uruchamiaj oficjalną kontrolę autentyczności i generuj własną frazę offline. Tych kilka nawyków eliminuje niemal całe ryzyko związane z fałszywymi i zmanipulowanymi urządzeniami.