Подделанные и фальшивые аппаратные кошельки: как купить безопасно

Поддельный аппаратный кошелёк — это контрафактное или вскрытое устройство, созданное для кражи вашей криптовалюты: обычно оно приходит с заранее заданной фразой восстановления или тайно передаёт ту фразу, которую вы создаёте. Самая надёжная защита проста: покупайте только у производителя или авторизованного реселлера, проверяйте устройство во время настройки и никогда не пользуйтесь кошельком, который пришёл с уже записанной фразой восстановления.

Аппаратные кошельки — один из лучших способов защитить криптовалюту, потому что они хранят ваши приватные ключи офлайн. Именно эта репутация и заставляет мошенников их копировать. Скомпрометированное устройство даёт ложное чувство безопасности, пока у кого-то другого есть копия ваших ключей.

Как работают атаки с подделанными и фальшивыми кошельками

Есть несколько вариантов, но большинство развивается по такой схеме:

1. 1Устройство добывают или производят. Мошенники покупают подлинные устройства и модифицируют их или производят контрафактное железо, похожее на популярный бренд.
2. 2Его перепродают через неофициальные каналы. Маркетплейсы, аукционные сайты, магазины в соцсетях и «дисконт»-магазины — обычные пути.
3. 3Расставляется ловушка. В посылке может быть скретч-карта с «фразой восстановления» и инструкцией её использовать, или изменённая прошивка может записать фразу, которую вы сгенерируете.
4. 4Вы вносите средства. Устройство выглядит нормально, поэтому вы отправляете на него криптовалюту.
5. 5Злоумышленник его опустошает. Поскольку у него есть фраза восстановления, он может восстановить ваш кошелёк на своём устройстве и вывести всё — часто дождавшись, пока баланс станет крупным.

Родственная тактика — мошенничество с «заменой», присланной по почте: люди получают устройство, которое не заказывали, с письмом о том, что их старый кошелёк небезопасен и его нужно заменить. Устройство модифицировано, чтобы украсть фразу восстановления, которую вы вводите во время «миграции». Подробнее об этом — в нашей статье Атаки на цепочку поставок.

Гипотетический пример

Этот сценарий выдуман, чтобы проиллюстрировать схему.

Представьте, что Прия находит известную модель аппаратного кошелька в объявлении на маркетплейсе по заметно более низкой цене, чем в официальном магазине. Коробка приходит в упаковке, которая выглядит целой, с напечатанной карточкой «Ваша фраза восстановления — храните в безопасности» и 24 словами. Инструкция предлагает ввести эти слова при настройке «для более быстрой активации». См. также: Менеджеры паролей и криптовалюта.

Прия следует инструкции, отправляет на кошелёк свои сбережения, и несколько недель всё выглядит нормально. Затем баланс исчезает. Продавец сохранил копию этих 24 слов. С блокчейном и настоящими устройствами бренда всё было в порядке — ловушкой были само устройство и инструкция. Если хотите узнать больше, прочитайте Мошенничество с «валидацией» и «синхронизацией» кошельков.

Чек-лист тревожных сигналов

• В коробке, на карточке или в инструкции есть фраза восстановления.
• Устройство уже настроено, не просит создать PIN-код или показывает существующие аккаунты.
• Цена намного ниже цены производителя.
• Продавца нет в списке авторизованных реселлеров на официальном сайте.
• На упаковке есть следы повторной заклейки, повреждённые защитные пломбы, остатки клея или недостающие детали.
• Инструкция направляет вас на сайт или в приложение, отличные от официальных ресурсов производителя.
• Приходит устройство, которое вы не заказывали, с письмом, призывающим «перенести» средства.
• Проверка подлинности в сопутствующем приложении не проходит или выдаёт предупреждение об устройстве.

Как безопасно купить и настроить аппаратный кошелёк

Перед покупкой

1. 1Заходите на сайт производителя, вводя адрес самостоятельно, — остерегайтесь фишинга через поисковую рекламу.
2. 2Покупайте прямо там или у реселлера, указанного на этом официальном сайте.
3. 3Избегайте подержанных устройств, даже от знакомых.

Когда устройство пришло

Во время настройки

• Позвольте устройству сгенерировать новую фразу восстановления и запишите её сами, офлайн.
• Никогда не вводите фразу восстановления на компьютере, телефоне или сайте.
• Обновляйте прошивку только через официальное приложение.
• Сначала отправьте небольшую тестовую сумму, затем сверьте адрес получения на экране устройства.

Наше пошаговое руководство о том, как настроить аппаратный кошелёк, описывает весь процесс, а статья как выбрать аппаратный кошелёк объясняет, на что обратить внимание перед покупкой.

Как защитить себя после покупки

• Храните фразу восстановления офлайн в надёжном месте — рассмотрите стальные резервные копии сид-фразы для защиты от огня и воды.
• Считайте мошенничеством любое сообщение, письмо или e-mail с просьбой сообщить фразу восстановления. Производители никогда её не запрашивают.
• Держите данные о покупке в тайне: утечки клиентских данных могут привести к целевому фишингу и мошенничеству по почте.
• Перед подтверждением транзакции сверяйте каждый адрес на экране устройства.

Что делать, если вы подозреваете, что устройство скомпрометировано

1. 1Прекратите пополнять подозрительный кошелёк.
2. 2Приобретите подлинное устройство из официального источника или временно используйте другой доверенный кошелёк.
3. 3Создайте совершенно новую фразу восстановления на доверенном устройстве.
4. 4Переведите все средства с подозрительного кошелька на новый как можно скорее.
5. 5Свяжитесь с производителем и сообщите данные о продавце и устройстве.
6. 6Пожалуйтесь на продавца маркетплейсу и, при необходимости, в полицию или в орган по защите прав потребителей. Вы также можете сообщить нам через нашу форму для жалоб.

Если средства уже украдены, следуйте инструкции что делать немедленно, если ваш кошелёк скомпрометирован.

Итог

Аппаратный кошелёк безопасен ровно настолько, насколько безопасна его цепочка поставок. Покупайте у производителя или авторизованного реселлера, отказывайтесь от любого устройства, которое пришло с фразой восстановления или без заказа, запускайте официальную проверку подлинности и генерируйте собственную фразу офлайн. Эти несколько привычек устраняют почти весь риск, связанный с поддельными и вскрытыми устройствами.