Как воруют криптовалюту с биржи

Как хакеры могут украсть вашу криптовалюту? Советы как можно этого избежать

От фейковых приложений в Google Play до общественного Wi-Fi: чего стоит опасаться в первую очередь.

Криптовалютная индустрия постоянно сталкивается с испытаниями — и хакеры, пожалуй, одно из самых неприятных. Ежегодно тысячи людей становятся жертвами сайтов-клонов и обычного фишинга. А это значит, что мошенники делают ставку на главную уязвимость в системе — человеческую невнимательность и самонадеянность. Но есть и хорошие новости: защитить свои средства все же можно.

Эксперты Hacker Noon проанализировали данные об атаках в 2017 году и пришли к выводу, что их можно разделить на три категории:

• Атаки на блокчейны, биржи и ICO;
• Распространение ПО для скрытого майнинга;
• Атаки, направленные на криптовалютные кошельки пользователей.

В данном материале мы опишем шесть излюбленных приемов хакеров и расскажем, что нужно делать, чтобы избежать подобных атак.

Навигация по материалу:

Приложения Google Play Store и App Store

Не устанавливайте мобильные приложения, в которых нет особой необходимости. А если все-таки загружаете их — не забудьте о двухфакторной аутентификации. Наконец, не поленитесь проверить ссылки на приложения на официальном сайте платформы, чтобы убедиться в их подлинности.

Чаще всего жертвами хакеров становятся владельцы смартфонов на Android. Слабое место этой операционной системы кроется в отсутствии возможности двухфакторной аутентификации.

Такой вид авторизации требует введения пароля, логина и некоторой информации, известной только пользователю. К тому же операционная система Google известна своей уязвимостью к вирусам — ее уровень безопасности ниже, чем на iPhone. Но вернемся к Android: хакеры добавляют в Google Play Store приложения от имени криптовалютных ресурсов, а когда такое приложение запускается, пользователи вводят персональные данные и тем самым открывают доступ хакерам.

Одна из нашумевших историй связана с криптобиржей Poloniex: трейдеры скачивали приложения для мобильных устройств, которые были размещены хакерами в Google Play от имени площадки и на самом деле никак не были с ней связаны.

Команда Poloniex не разрабатывала приложений на Android, а на ее сайте нет ссылок на мобильные приложения. Более 5,5 тыс. трейдеров стали жертвами этого ПО, пока его не удалили из Google Play.

Apple предприняла жесткие меры для защиты пользователей iOS, введя строгие правила размещения контента в своем магазине, которые мешают распространению вредоносного ПО.

Боты в Slack

Если вы пользуетесь этим мессенджером, сообщайте о Slack-ботах (чтобы их блокировали), игнорируйте активность ботов и установите защиту на Slack-канал.

Чаще всего боты похищают криптовалюту, сканируя популярные мессенджеры. Хакеры создают бот, который генерирует извещения для владельцев криптовалют об определенных проблемах. Пользователь переходит по ссылке, предложенной ботом, и вводит личный ключ.

Самой масштабной и успешной хакерской операцией, которая задействовала боты, стал случай с Enigma. Хакеры использовали название Enigma, пока проект вел предпродажу токенов, запустили Slack-бот и похитили у доверчивых пользователей 500 тыс. долларов в эфире.

Плагины и аддоны для криптовалютной торговли

Бороться с этой угрозой можно несколькими способами: установите отдельный браузер для торговли, используйте режим инкогнито, заведите отдельный компьютер или смартфон для торговли, установите антивирус и не скачивайте никакие аддоны.

Эти дополнения могут «прочитать» все, что вы набираете. Такие расширения разрабатываются на JavaScript, что делает пользователей особенно уязвимыми к хакерским атакам. Необходимо придерживаться перечисленных выше правил, чтобы оградить себя от атак.

Аутентификация по SMS

Если вы используете авторизацию по SMS, обязательно отключите переадресацию звонков, чтобы предотвратить доступ к вашим данным. И не проходите двухфакторную аутентификацию по SMS, когда пароль приходит на телефон — для этого лучше использовать специальную программу.

Специалисты по кибербезопасности компании Positive Technologies утверждают, что перехватить SMS с паролем, пересылаемое по протоколу SS7, — дело нехитрое. Текстовые сообщения можно взломать с помощью инструментов, которые используют слабые места сотовой сети.

Общественный Wi-Fi

Никогда не используйте для криптовалютных транзакций общественный Wi-Fi.

Важно также регулярно обновлять прошивку роутера, для этого производители аппаратного обеспечения постоянно выпускают обновления. Элементарная атака KRACK происходит, когда устройство пользователя переподключается к хакерской сети Wi-Fi.

Затем хакеры попросту скачивают информацию либо отправляют ее по сети — информация о ключах от криптовалютных кошельков не исключение. Эта проблема особенно актуальна для общественных сетей Wi-Fi.

Сайты-клоны и фишинг

Если заходите на криптовалютные сайты, протокол HTPPS — это обязательное условие. Используя Chrome, установите расширение и, получив сообщение от любого криптовалютных ресурсов, копируйте ссылку в браузер.

Существует множество разных способов защиты от хакеров. И хотя угроза не сокращается, пользователи становятся грамотнее и учатся лучше прятать свою конфиденциальную информацию.

Источник

Украсть невозможное Статьи редакции

Как хакеры воруют криптовалюту

2 августа 2016 года курс биткоина по отношению к доллару упал на 20%. Если в 19:30 один биткоин стоил $560, то в 23:54 уже $480. Причиной падения стала одна из крупнейших по размеру краж за всю историю существования криптовалюты — хакеры украли с гонгконгской биржи Bitfinex 119 756 биткоинов, что равносильно $60 млн.

Криптовалюту, само определение которой связано с безопасностью и анонимностью, воруют уже не впервые. Обозреватель vc.ru рассказал о самых крупных аферах, связанных с воровством криптовалюты, и попробовал разобраться, как хакерам это удаётся.

В 2007 году американский предприниматель Джед Маккалеб приобрел домен Mtgox.com. Его идея заключалась в том, чтобы сделать Mtgox торговой площадкой по покупке и продаже карт для настольной игры Magic: The Gathering. В 2010 году Маккалеб переориентировал сайт, сделав из него биржу для торговли биткоинами.

В 2010 году популярность биткоина только набирала обороты, однако желающих купить или продать криптовалюту было много. Когда через биржу Маккалеба начали проходить десятки тысяч долларов, он понял, что бизнес стал слишком велик и он не может им управлять.

Маккалеб продал биржу Марку Карпелесу — 28-летнему программисту, который жил в Японии с женой и ребёнком. Wired пишет, что Карпелес был увлечен биткоинами. Предприниматели познакомились на онлайн-форуме — там Карпелес был известен под ником Magicaltux (волшебный смокинг). Карпелес начал переписывать программную часть биржи, и к 2013 году, когда цена биткоина возросла с $13 до своего пика в $1200, Mt.Gox стала самой крупной площадкой по торговле биткоинами.

Самое крупная кража в истории

Несмотря на успех — к маю 2013 года на бирже ежедневно торговалось до 150 тысяч биткоинов — Mt.Gox постепенно превращалась в хаос. Осенью 2013 года федеральные агенты США взыскали с банковского счета компании $5 млн, так как Mt.Gox не была зарегистрирована как финансовый посредник. В это же время Coinlab — бывший партнер компании — подал на Mt.Gox в суд, требуя $75 млн. В судебном иске было сказано, что Mt.Gox нарушила условие соглашения с Coinlab и продолжала осуществлять торговлю в США и Канаде.

Эти проблемы привели к сбоям в работе биржи, в частности, американские пользователи ждали месяцами, чтобы вывести средства. В конечном итоге, Mt.Gox упала с первого места в списке самых популярных бирж на третье.

В феврале 2014 года Mt.Gox остановила вывод денег с биржи. 10 февраля в пресс-релизе компания заявила, что «пытается прояснить технические тонкости обмена валют». Работа биржи была остановлена на две недели, а Марк Карпелес отказывался давать какие-либо комментарии.

24 февраля Mt.Gox прекратила обрабатывать любые операции, и через несколько часов сайт перестал работать. Примерно в это же время прессе стал доступен внутренний документ компании, в котором объяснялась причина сбоев — в течение нескольких лет с биржи были украдены 744 408 биткоинов. Впоследствии компания нашла 200 тысяч украденных биткоинов на старом кошельке, созданном в 2011 году.

Украденные биткоины эквивалентны $460 млн. Кража, которая является одной из самых крупных в истории осталась, нераскрытой. Кроме того, в ней много нестыковок.

По версии Mt.Gox, хакеры использовали баг в системе транзакций, который существовал с первого дня работы биржи, и незаметно переводили небольшие суммы денег на свои счета.

Впечатляющий объём украденных средств вряд ли был незаметен. Мошенники украли 744 тысячи биткоинов — это примерно 6% всей существующей валюты. «Даже самый небрежный аудитор заметил бы такое количество средств, утекающее со счетов Mt.Gox», — пишет The Verge.

Среди интернет-пользователей даже появилась теория заговора о том, что кражу совершил один из сотрудников биржи. Никто не обвинял владельца Mt.Gox Марка Карпелеса — биржа была его детищем — однако в ней работали еще 18 человек, один из которых мог обнаружить баг и воспользоваться им.

Если мы когда-нибудь найдем этих воров, то лишь используя старые добрые инструменты системы правосудия.

— редактор The Verge Рассел Брэнд

С 2014 года дело Mt.Gox расследует тот же прокурор, который занимался делом Росса Ульбрихта, обвинённого в создании интернет-магазина наркотиков Silk Road.

В мае 2016 года биткоин-биржа Kraken объявила, что возместит бывшим пользователям Mt.Gox $91 млн. «После заявленного Mt.Gox банкротства был запущен процесс возврата средств клиентам биржи. Заниматься этим было поручено японскому попечителю Нобуаки Кобаяси и бирже Kraken», — пишет издание Bits Media. Кобаяси заявил, что «было рассмотрено более 24 тысяч жалоб и многие из них были удовлетворены».

$47 млн эфира

Кража биткоинов с биржи Mt.Gox была самой крупной, но далеко не единственной. В июне 2016 года злоумышленники похитили 3,5 млн единиц эфира. Цифровую валюту Ethereum в 2013 году создал российский разработчик Виталик Бутерин.

Как и биткоин, эфир — это децентрализованная валюта, построенная таким образом, что сторонние организации могут контролировать её части. Одной из таких организаций является DAO (Децентрализованная автономная организация), контролирующая примерно 10 млн эфира, что равняется $132,7 млн. В пятницу 16 июня злоумышленники нашли уязвимость в программном обеспечении DAO и смогли похитить 3,5 млн эфира. Курс Ethereum сразу же упал с $21,50 за единицу до $12. По новому курсу украденная сумма равняется $47 млн.

Децентрализованная структура Ethereum не позволяет принимать серьезные решения одному человеку или организации — все изменения вводятся за счет голосования. Основатель Ethereum Виталик Бутерин предложил «софт форк» — решение, которое заморозит все украденные средства на счете мошенника. Это решение практически единогласно поддержало сообщество.

20 июля 2016 года большая часть сообщества проголосовала за «хард-форк» — еще одно решение, целью которого было обновление протокола и миграция на новый блокчейн. После объявления о хард-форке сторонние разработчики анонсировали проект Ethereum Classic. Его целью было сохранить первоначальный блокчейн. Координатор Ethereum Classic известен под ником Arvicco и живет на территории России.

«Развитием событий в эфириум-сообществе были недовольны многие, но никто ничего не предпринимал, и тогда активные майнеры, трейдеры, разработчики и просто криптоэнтузиасты, собравшиеся вокруг нашего сайта, решили, что нужно брать инициативу в свои руки. Так зародилась идея проекта Ethereum Classic, и теперь к нам присоединяются единомышленники со всего мира», — рассказал в интервью изданию Bitnovosti Arvicco, по совместительству руководящий этим изданием.

Вину за кражу сообщество возложило на DAO. «По сути, мошенник просто использовал уязвимость в неправильно написанном коде. Программисты, которые его писали, должны нести ответственность», — считает один из членов сообщества.

Одним из решений, которое предложило сообщество, был откат базы Ethereum на несколько часов назад, однако это затронуло бы не только мошенническую операцию, но и все остальные сделки. «Нельзя просто откатить Ethereum назад, это приведет к хаосу. Вина полностью лежит на DAO и я предлагаю просто дать организации утонуть — Ethereum сможет восстановиться», — рассуждает другой член сообщества.

Последняя капля

Между активными сторонниками криптовалют часто возникают дискуссии о том, какая валюта лучше. Злорадство биткоин-энтузиастов по поводу взлома Ethereum не продлилось долго. 2 августа 2016 года злоумышленники взломали гонгконгскую биржу Bitfinex, похитив 119 756 биткоинов. На момент взлома эта сумма равнялась $72 млн, однако курс биткоина просел практически сразу — с $600 до $460 — и она снизилась до $60 млн.

Система безопасности Bitfinex имела серьёзную уязвимость. В качестве попечителя биржа использовала компанию BitGo. Ключи от кошельков хранились на серверах биржи и BitGo, третья же копия находилась в хранилище без доступа к интернету. Пользователи могли снять деньги лишь в том случае, если у них не было никаких задолженностей. Forbes пишет, что такая концепция похожа на эскроу — когда две стороны сделки доверяют средства эскроу-агенту и тот возвращает их, если все условия сделки были выполнены.

Однако злоумышленники смогли обойти защиту BitGo и получить доступ к тысячам кошельков клиентов. Им также удалось переписать алгоритмы BitGo, сняв ограничение на сумму выводимых средств.

Средства были перечислены на тысячи кошельков за короткий промежуток времени, а Bitfinex была абсолютно бессильна.

— колумнист Forbes Фрэнсис Коппола

Через несколько дней после кражи Bitfinex решили уравнять потери всех пользователей, сняв 36,067% биткоинов с каждого кошелька. Разумеется, решение биржи было воспринято со скепсисом. Представители Bitfinex добавили, что ищут инвесторов, которые будут готовы возместить потери, однако добавили, что «такие вопросы, обычно, занимают время».

Банкир и колумнист Forbes Фрэнсис Коппола (однофамилица американского режиссёра — прим. ред.) считает, что кража была спроектирована самой биржей. «Неудивительно, что BItfinex винят всех, кроме себя. Я могу ошибаться, но мне кажется, что кража была спланирована и осуществлена кем-то из Bitfinex», — пишет Коппола.

В качестве доказательства своим словам Коппола приводит схему процедуры перевода средств. Bitfinex хранит деньги каждого пользователя на отдельном аккаунте. Каждый из них защищен тремя ключами: двух ключей достаточно для перевода средств. Один ключ хранится у пользователя, второй у Bitfinex и третий у BitGo.

Однако у биржи есть специальный API, который отправляет программный запрос на перевод средств BitGo. «Поэтому взлом биржи означает, что злоумышленник имел один ключ от каждого кошелька и доступ к API, которое отправляет запрос на перевод от Bitfinex», — пишет Коппола.

Колумнист резонно замечает, что такая схема развязывает руки хакерам, и либо создатели биржи «чрезвычайно наивны», либо каким-то образом замешаны в краже. В мае 2015 года Bitfinex уже взламывали. Тогда злоумышленники похитили полторы тысячи биткоинов — примерно $330 тысяч.

Последствия

После каждой кражи курс криптовалют заметно падает. Например, из-за кражи с биржи Bitfinex курс биткоина упал на 20%. Генеральный директор биткоин-биржи BitMEX Артур Хэйс отмечает, что такие инциденты не позволяют криптовалюте быть стабильной денежной единицей. Усугубляет ситуацию и то, что биржи криптовалют слабо регулируются государством, поэтому непонятно, когда и как пользователи смогут возместить свои потери и смогут ли вообще.

Основатель трейдинговой платформы Magnr Джо Ли считает, что долгосрочные перспективы криптовалют далеки от радужных. «Трейдеры следят за курсом биткоина, и в долгосрочной перспективе он слишком нестабилен», — говорит Ли.

Однако есть и противоположное мнение. Аналитик Тур Демистер не видит никаких знаков того, что рынок криптовалют наполнен и ожидает, что за следующий год курс биткоина заметно вырастет.

Неудивительно, что рынки криптовалют паникуют после каждого инцидента. В феврале 2016 года из Центрального банка Бангладеша были украдены $81 млн и это стало известно лишь в марте, когда кражу обнаружили государственные служащие. За кражей криптовалюты можно наблюдать, фактически, в реальном времени.

И хотя кражи случаются не так часто, отсутствие у обычного пользователя возможности что-то изменить, делает биткоин, эфир и их аналоги не самым лучшим вложением. «Если вы любите играть, криптовалюта — идеальный актив, однако если вы ищете альтернативу денежному инструменту, то лучше смотреть в другое место», — говорит профессор экономики Колледжа Льюиса и Кларка Эрик Тимон.

Источник